從一份 TFTP 蜜罐結果看網路背景輻射：一個沒有認證的老協定，為什麼到現在還在被全網掃描

有人在 Hacker News 發起一個簡單的實驗：架一臺 TFTP 伺服器、刻意不設防、放上公用網路，然後靜靜記錄誰來連、連來做什麼。這篇題為《TFTP Honey Pot Results》的分享，把結果攤開給大家看。

TL;DR：一臺刻意不設防的 TFTP 伺服器，只要放上公用網路，就會在極短時間內被全網的自動化掃描程式盯上；這個沒有認證的老協定，到現在依然是網路上現成的攻擊面。

關鍵事實

• 來源：Hacker News 討論串《TFTP Honey Pot Results》（文章編號 48897329），作者分享自架 TFTP 蜜罐的觀測結果。
• 協定背景：TFTP（Trivial File Transfer Protocol）運作於 UDP 埠 69，設計上不具備認證機制，常用於路由器、交換器、IP 電話與物聯網裝置的韌體更新與設定檔抓取。
• 觀測現象：蜜罐上線後短時間內即收到大量來自外部 IP 的讀取與寫入請求，請求者多為自動化掃描程式。
• 常見請求目標：設定檔、韌體映像檔，以及部分看似隨機的檔名；亦有寫入嘗試，疑似把開放的 TFTP 服務當作惡意檔案的中繼暫存點。

先弄懂 TFTP 是什麼，為什麼會被盯上

TFTP 的全名是 Trivial File Transfer Protocol（簡易檔案傳輸協定）。它跑在 UDP 埠 69 上，設計哲學就寫在名字裡——「trivial」，簡單到不能再簡單。它沒有帳號密碼、沒有加密、連線狀態也很輕，最早是設計給無磁碟工作站開機抓設定檔用的。

正因為輕量，TFTP 直到今天還活在很多你看不到的地方：路由器與交換器開機時抓設定檔、IP 電話下載韌體、工廠裡的嵌入式裝置更新程式。對攻擊者來說，這個協定有兩個致命吸引力——第一，它沒有認證，連到就能用；第二，它走 UDP，容易偽造來源、也容易大量掃描。一臺不小心開放上網的 TFTP 服務，對自動化掃描程式而言幾乎等於一扇沒上鎖的門。

蜜罐實際看到了什麼

蜜罐（honeypot）是資安研究常用的手法：刻意架一個「看起來有漏洞、其實是被監控」的服務，讓攻擊者來碰，藉此觀察他們的手法。這次的 TFTP 蜜罐，記錄到的是網路上從不間斷的「背景輻射」——亦即即使你什麼都沒做、沒有公開宣傳這臺機器，全網的自動化掃描還是會像背景噪音一樣持續打過來。

從這類實驗通常能觀察到幾種行為：

• 讀取請求（RRQ）：掃描程式嘗試抓取常見的設定檔與韌體檔名，例如設備出廠預設的設定檔名稱，目的是看能不能撈到敏感組態。
• 寫入請求（WRQ）：有人嘗試把檔案「塞進」這臺伺服器。這往往不是善意——開放的 TFTP 服務常被當成惡意檔案的中繼站，攻擊者把工具或惡意程式傳上去，再讓其他被控制的機器來抓。
• 來源分散：請求來自世界各地的 IP，且時間分布接近全天候，顯示背後多半是自動化、常駐的掃描基礎設施，而不是某個真人坐在鍵盤前。

需要強調的是，具體的請求次數、國家分布比例這類細節，會隨蜜罐架設的時間長短、是否使用雲端 IP 段、以及當下的掃描活動而大幅浮動。分享者提供的數字反映的是「這一次、這一臺」的觀測，不宜當作整個網路的精準統計。但方向性的結論很穩定：開放的 TFTP 服務會被快速發現，而且被嘗試利用的方式相當固定。

所以呢：對讀者意味什麼

對一般讀者來說，這份結果的價值不在於某個嚇人的數字，而在於它把「網路其實一直很吵」這件事具體化了。多數人以為，只有自己主動去做某件事（點了釣魚連結、裝了來路不明的軟體）才會被攻擊；但蜜罐實驗顯示，光是「把一個有漏洞的服務放上網」這個動作本身，就足以在極短時間內引來全自動的探測。換句話說，威脅不全是你招惹來的，有很大一部分是環境本來就有的背景壓力。

對企業與 IT 維運人員，這指向幾個實際的判斷：

• 預設就該假設「會被掃」。任何對外開放的服務，特別是老舊、缺乏認證的協定，都應該被當成潛在暴露面來管理，能用防火牆擋掉就不該裸露在公網。
• 物聯網裝置是重災區。很多路由器、IP 電話、監控設備出廠就依賴 TFTP，若部署時沒有隔離，等於把這扇沒上鎖的門直接開到內部網路。
• 資安防護的重點之一，是把「不需要對外」的服務收進來。這其實與更大的資訊安全治理命題相通——當組織連一臺對外服務的暴露面都管不住，往往代表 資安防護的治理環節存在系統性缺口，而不只是單一協定的問題。

而從供應鏈與信任的角度看，這類「舊協定暴露面」其實是供應鏈信任問題的另一面。當一個組織選擇相信某個環節是安全的（例如某臺設備出廠設定不會對外開放 TFTP），卻沒有實際驗證，斷裂往往就發生在這種假設上。這和近期 企業對外部工具供應鏈產生信任動搖 的邏輯如出一轍：問題不在工具本身好不好，而在你以為「應該沒事」的那一層，往往最經不起檢驗。

常見問題 FAQ

TFTP 是什麼？為什麼現在還有人在用？ TFTP 是一種極簡的檔案傳輸協定，跑在 UDP 埠 69，沒有認證與加密。它因為輕量，至今仍被路由器、交換器、IP 電話與各種物聯網裝置用來抓設定檔與韌體。

什麼是蜜罐（honeypot）？ 蜜罐是刻意架設、看起來有漏洞但實際上被嚴密監控的服務，目的是讓攻擊者來碰，藉此記錄與分析他們的手法，而不會真的讓重要系統受害。

為什麼攻擊者會去掃一臺空的 TFTP 伺服器？ 因為 TFTP 沒有認證、走 UDP 容易大量掃描。攻擊者一方面想抓別人設備的設定檔，另一方面也會把開放的 TFTP 當作存放惡意檔案的中繼站。

一般使用者需要擔心嗎？ 一般使用者的家用路由器與物聯網裝置若維持預設設定，仍可能有風險。最基本的自保方式是更新韌體、更改出廠預設密碼，並確認管理介面與不必要的服務沒有直接暴露在公網。

結論

這份《TFTP Honey Pot Results》之所以值得看，不是因為它爆了什麼料，而是因為它用最樸素的方式證明了一件事：網路上從來不缺自動化的惡意關注，缺的是我們對「暴露面」的自覺。 一個將近被遺忘的老協定，只要還開著、還連得上，就會被納入掃描基礎設施的常態清單。對個人，這是「別把不需要對外的服務亮在公網上」的提醒；對組織，這是把老舊協定與物聯網暴露面納入資安治理的功課。協定本身沒有善惡，但它有沒有被妥善收起來，決定了它會變成工具還是破口。