3310 是什么
3310 是 ClamAV 守护进程的默认监听端口。邮件网关、文件上传服务与各类附件处理组件把文件交给它扫描，由它返回是否命中病毒库。相比每次调用命令行扫描程序，常驻守护进程省去了反复加载病毒库的开销，因此在需要频繁扫描的场景里被广泛集成。
接口默认没有认证
同网段任何主机都能向它提交文件让服务端解析，这既消耗资源，也可以被用来探测病毒库版本与扫描能力。若它监听在业务网段，等于把一条可被滥用的资源通道摆在网上。
基本信息
| 服务 | ClamAV 守护进程 |
|---|---|
| 协议 | TCP 3310 |
| 用途 | 文件与邮件病毒扫描接口 |
| 典型集成 | 邮件网关、上传组件 |
| 安全等级 | 本机或内网，需限制来源 |
典型使用场景
- 邮件网关对附件做病毒扫描后再投递
- 文件上传系统在落盘前调用扫描接口
- 排查上传失败时确认扫描服务是否可用
- 更新病毒库后验证扫描结果能否正常返回
- 安全核查时确认扫描服务是否对业务网段开放
检查与验证
检查与验证
ss -lntp | grep 3310 # 确认监听地址
systemctl status clamav-daemon | head -5 # 服务状态
clamdscan /tmp/sample.bin # 本地扫描验证配置要点
配置要点
# clamd.conf
# TCPSocket 3310
# TCPAddr 127.0.0.1 # 仅监听本机，避免被滥用
# MaxThreads 20 # 控制并发，防止被拖垮
# 修改后需重启守护进程生效集成方式对照
| 集成方式 | 端口或形式 | 说明 |
|---|---|---|
| 常驻守护进程 | TCP 3310 | 调用快，需注意来源限制 |
| 命令行工具 | 无端口 | 每次加载病毒库，开销较大 |
| 本地套接字 | 文件路径 | 本机集成更安全 |
病毒库更新失败会让扫描能力悄悄下降却不报错：把病毒库版本与更新时间纳入监控，比只看服务进程是否存活更能反映真实防护状态。
扫描服务未做来源限制时，业务网内任意主机都可以提交文件，既可能耗尽线程导致正常业务排队，也能借响应差异探测防护能力。