暴露端口（ssh rdp）的弊端有哪些？

[NevadaLi]

看到隔壁在说开了 22 端口被各种扫，还有 3389 的，即便改了端口也没什么用，照样被扫，还有可能一天上千次的尝试登录。

其实我很不理解，他扫归他扫，他试归他试，对用户有什么影响？即便尝试了几千万次，不知道你密码有什么用？反正都是登不上，何必要管他们，放着不就完了？有什么影响？

也看到过有人说被黑了的，但这些无一例外都是弱密码导致的，和端口暴不暴露、协议安不安全没任何关系。

至于说“如果哪天 rdp/ssh 出现了漏洞，那直接中招”这种想法，rdp/ssh 已经发展了几十年，相关技术已经足够成熟，除非你机器系统过于老旧仍然使用远古版本，试问，现代 rdp/ssh 有哪些是由于协议漏洞而被黑了的？确实有很多的高危漏洞在不断被暴出来，我们公司也会要求升级 openssh 版本，但先不说这些漏洞的使用都是有前置条件的，即便满足了前置条件也做不到直接登录机器，更多的是某些加密算法强度不能满足现代化要求，又或者有机会出现中间人攻击。

如果希望纯利用漏洞来登录一台机器，往往需要多个漏洞相互配合。这么复杂的攻击显然不是扫端口这种广撒网的方式能成功的，这种程度已经是针对性攻击了。比如交易所/加密钱包被攻破被盗，这是已经被盯上了，大概率使用了人性的漏洞（钓鱼，弱密码，不安全的存储/传输方式，撞库），而不是安全协议本身有问题，包括各种远程访问协议，传输协议等，这些社工方式不在本帖考虑范围内。

对于 nfs, samba, ftp, telnet 这些东西，nfs 和 smb 本来就是内网用的，不应该暴露公网(即便如此，smb v3 和 nfs v4 都有加密协议)； ftp 和 telnet 上古产物不考虑。至于其他的，比如宝塔面板，xx 面板出现大规模漏洞，这是第三方软件的事情，和 ssh rdp 本身无关。

以上只说 ssh 和 rdp ，只是感觉这俩东西足够安全（你的密码本身没有问题），完全不需要做其他额外的防护。

所以，请告诉我暴露这些端口的弊端有哪些？

[Gitmeeri]

尝试登录的都是针对弱密码的，试了那些常见字典库不行它们会自己离开。。。

[kenneth104]

曝露了，就可以直接把你端口 dd 死
遇到过不少了

[fano]

防火墙限制下源地址，比如禁止中国大陆以外访问。

[NevadaLi]

@kenneth104 #22 ddos 是攻击，这东西无论什么端口都能被 d ，包括 80 443 ，照这么说机器都别放互联网了，都有可能被 dd 的。。。

[lnbiuc]

@uuair #12 输入法暴露了用户密码，和 rdp 有啥关系呢

[ysc3839]

@NevadaLi 你自己说的“现代 rdp/ssh”，难道 2019 年不算“现代”？

[NevadaLi]

@ysc3839 #26 2019 算啥现代啊，官方都 eol 了，现在只有扩展支持

[WhatTheBridgeSay]

其实是为了减小攻击面，非常简单直接地逻辑，当然很多人看到爆破就惶惶不可终日也是完全没必要。

真正的渗透成功是要所有的安全防护措施都失效才能成功，瑞士奶酪理论，当你全部的措施有且只有一个密码的话，攻击面不仅大且薄，突破一层就可以成功渗透，甚至有的时候碰上漏洞都不用走正门爆破。高价值目标都是要层层防火墙+复杂口令+公钥体系认证+MFA 的，甚至再严格一点的还有网闸、独立骨干网等物理隔离堪称御敌 1000 自损 800 的手段

[jqtmviyu]

我就没改 ssh 端口, 关闭密码登录, 只允许密钥.
服务全在 docker 里.

[NevadaLi]

@WhatTheBridgeSay 改端口号确实理论上来说可以减小攻击面，但我不认可这个方法，因为很多常用服务的端口号都是固定的，为什么 3389 不行？按照这个逻辑来说，那貌似我们互联网的各种 https 都应该是随机端口号，而不是固定的 443 。

如果说存在某个漏洞是由于 3389 这个数字导致触发了什么奇奇怪怪的溢出之类的原因要改掉 3389 ，这个是可以接受的。

[NevadaLi]

@jqtmviyu hhh ，我也差不多，ssh 这东西我熟，如果有人说 22 不安全，要改掉端口号我是不会听的（技术角度），因为我服务十来年了 ssh 暴露在外从没有出过问题。

[uuair]

@NevadaLi #15 你看，你让我提供案例，我提供了你又说现在系统没问题，你是杠精转世嘛？我现在免费给你一个目前 3389 的漏洞让你自己试试？？当年输入法漏洞，用的就是微软的智能输入法，懂？任何软件都有漏洞，暴露的越多，漏洞越多。五六年没问题，那是因为你不配有问题好么。

[NevadaLi]

@uuair #32 你举得例子有问题啊，都说了“密码设置了很复杂，系统不是古董，但由于漏洞被拿到登录权限的”，你的输入法漏洞，请问，现在的系统还有智能 ABC ？这都多少年了，2024 年拿一个几十年前的系统距离没有任何说服性，既然这样，您不如拿个 1970 年 1 月 1 日的机器来举例吧，那时候甚至登录这个功能有没有还不好说呢。

我指的就是 rdp 和 ssh 经过了十多二十年的发展，安全性已经很可靠了，也没说 rdp 和 ssh 生来就很可靠啊。

还有，什么叫做我不配有问题？请不要人身攻击好吧，就事论事，我尊重你，也请你尊重我，上升到人身攻击就没什么好说的了。

[NevadaLi]

@uuair #32 而且不止我一个认为是输入法是第三方的问题，参考 # 25

你说智能 ABC 是原生自带这没问题，配合 rdp 也没问题，但这东西他不是现代的啊，我没见过没到 eol 的系统有你说的问题的。

举例不看前提条件，还说对方是钢精，服了。。。

[uuair]

@NevadaLi #33 玻璃心，我不跟你讨论了，我说你不配，不是你人不配，而是你的服务器，不配被人关注而已。别的我也不说了，我可真幼稚。

[NevadaLi]

@uuair #35 talk is cheap, show me your attack.

https://www.v2ex.com/t/1095021

[godall]

目前来讲网络安全访问有好到差：
1. 物理隔离（典型案例国内公务网）
除了所谓的电磁监听以外，其他就别想了。

2. 逻辑隔离（硬件网络防火墙+白名单）
上来就默认所有端口关闭，白名单模式（端口白名单+对端 ip 白名单）。当然防火墙也是 linux 系统的，也有可能攻破。基本上能隔绝 99.9999%攻击了吧，那种乱七八糟 0day 漏洞也不行，起码 ip 就隔离了。

3. 软件策略隔离（操作系统/应用软件）
比如 ssh+私钥证书。 除了软件漏洞外能基本隔绝破解。

4. 账户密码+多因子验证策略
比如苹果 google 的二步认证，必须密码+手机验证码。

5. 账户密码
比裸奔强点。别人知道账户密码就能登录

6.裸奔
强大无比！


个人以为，大多数情况下，限制客户端 ip 策略要比其他强一点，能隔绝形形色色的软件 bug ，比如修不完漏洞的 Windows 。

其他策略都是基于软件本身安全的情况下（二步认证也一样），实际上这是个空头承诺。

[NevadaLi]

@godall #37 这么一分析确实，ip 白名单几乎是最强大的，这方法可以隔绝几乎所有攻击，毕竟访问不到被保护的系统内部。