撞号的备用 HTTP 口
9080 是多款产品的默认 HTTP 端口，撞号最典型的是 IBM WebSphere（应用服务器默认 HTTP 传输链）与 Apache APISIX（默认代理监听口）。扫描报告里看到 9080 不能直接定性，必须先看响应头、路径特征与证书，判断它是应用服务器还是 API 网关。
基本信息
| 服务 | WebSphere 应用服务器 HTTP / APISIX 代理口 |
|---|---|
| 协议 | TCP/HTTP（HTTPS 需另行配置） |
| 默认端口 | 9080 |
| 管理面 | 网关的管理接口通常独立端口，不应与代理口同网段开放 |
| 暴露面 | 按产品与用途分级 |
典型使用场景
- 应用服务器未改端口时以 9080 作为业务默认入口
- API 网关试运行：默认在 9080 上承接业务流量
- 资产测绘：识别该端口上究竟是哪款产品
- 排障：出现 502/404 时先确认请求打到了哪一层
- 迁移期并行：老应用服务器与新网关同时监听
产品识别与本地定位
产品识别与本地定位
curl -sI http://host:9080/ | head -3 # 看响应头与状态码
curl -sI http://host:9080/apisix/admin/ | head -3 # 网关管理路径特征
ss -lntp | grep 9080 # 本机监听
# 拿到 pid 后: ps -fp <pid> 或 ss -lntp 的进程列确认服务名排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 产品定性 | curl -sI 看响应头与错误页 | banner 被改：结合证书与默认页特征判断 |
| 管理面 | 访问网关管理路径 | 管理接口业务网可达：路由与插件可被改写 |
| TLS | openssl s_client 看证书 | 自签或过期证书：客户端校验失败，表现像网络不通 |
| 上游连通 | 网关日志中的上游错误 | 9080 可访问但业务 502：问题在上游而非端口 |
同一端口号在不同产品里含义完全不同，这类撞号端口在资产清单里必须记到「主机 + 进程 + 产品」粒度：只写「开放 9080」既无法判断是应用服务器还是网关，也无法定级风险。
网关口与业务口的关系
当 9080 是 API 网关的代理口时，它是所有业务流量的必经之路：网关配置错误会表现为全站 502，而单个后端异常只影响部分接口。排障时先看网关日志里是否命中路由与上游，再决定是否往后端服务查。
WebSphere 这类应用服务器的端口在管理控制台与应用配置文件里各有一处记录，改动后必须同步；只改一处会出现「管理台显示新端口、实际监听仍是旧端口」的错位，排查时极易被误导。
网关代理口与管理面同网段开放且管理面不做鉴权：能访问管理路径就等于能改路由、绕过认证策略，业务入口变成任何人都能拧的水龙头。