在网络技术中，端口(Port)大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的 端口，端口号的范围从0到65535，比如用于浏览网页服务。
9 b$ m( f8 v/ h: M& [' T1 U/ |+ G9 |, b+ b7 L
　　查看端口 9 V; v) Q' _) }" J

; l7 a4 o% u9 o) g7 O9 ?% T2 @　　在windows 2000/XP/Server 2003中要查看端口，可以使用Netstat命令： 1 ]: i& N; t. T& p

: L" P4 d8 `: E8 m: N7 m　　依次点击“开始→运行”，键入“cmd”并回车，打开命令提示符窗口。在命令提示符状态下键入“netstat -an”，按下回车键后就可以看到以数字形式显示的TCP和UDP连接的端口号及状态。 * i  k3 ^7 c+ ]  _( S

. ^0 i! U. c/ i8 m* S　　关闭/开启端口
2 V, d* B+ N* O" l" a9 i8 _" r2 G7 x1 b; C
　　在介绍各种端口的作用前，这里先介绍一下在windows中如何关闭/打开端口，因为默认的情况下，有很多不安全的或没有什么用的端口是开启的，比如Telnet服务的23端口、ftp服务的21端口、SMTP服务的25端口、RPC服务的135端口等等。为了保证系统的安全性，我们可以通过下面的方 法来关闭/开启端口。 8 r& j3 [2 i  J9 M1 t7 L9 b" i
0 A: c% C8 o! q" u
　　关闭端口
* }; z8 @; `% r! t( A1 Z; k  j5 k" ~6 s3 ~9 b# x/ [
　　比如在windows 2000/XP中关闭SMTP服务的25端口，可以这样做：首先打开“控制面板”，双击“管理工具”，再双击“服务”。接着在打开的服务窗口中找到并双击 “Simple Mail Transfer Protocol (SMTP)”服务，单击“停止”按钮来停止该服务，然后在“启动类型”中选择“已禁用”，最后单击“确定”按钮即可。这样，关闭了SMTP服务,就相当于关闭了对应的端口。 4 Q8 B9 n7 ?9 Z% F- a

8 x; O' [$ C" `( {9 X　　开启端口 8 ^# l3 m! J, Z

. b9 [# f; m% q% s+ i$ b　　如果要开启该端口只要先在“启动类型”选择“自动”，单击“确定”按钮，再打开该服务，在“服务状态”中单击“启动”按钮即可启用该端口，最后，单击“确定”按钮即可。
. x- y3 T. n% K7 z2 @  _* W8 r3 Z: b
　　提示：在windows 98中没有“服务”选项，你可以使用防火墙的规则设置功能来关闭/开启端口。 . k; V5 v- z" Z( h& b" \

# Y- {- [$ k5 Q) ^, z% p　　端口分类
" B+ U  |+ c1 h- y1 L8 N) T5 m( Z& Y" I$ G
　　逻辑意义上的端口有多种分类标准，下面将介绍两种常见的分类：
6 E4 e8 F9 ?) N6 ^0 x- |+ R6 Y4 X) C. _/ I# _6 _3 m% f
　　1. 按端口号分布划分 ! J  F' {' a/ Q+ v

4 ~; `+ R. k+ Z* `  }& `) l: N2 o　　(1)知名端口(Well-Known Ports) ' W7 B( x) u6 I# ?" O9 i

. r; k# c0 j- N5 m8 G) b# L' }　　知名端口即众所周知的端口号，范围从0到1023，这些端口号一般固定分配给一些服务。比如21端口分配给ftp服务，25端口分配给SMTP(简单邮件传输协议)服务，80端口分配给HTTP服务，135端口分配给RPC(远程过程调用)服务等等。 $ o$ u, g  N' @, v' S

  q: S. K. E, D2 R8 m! {8 `5 v+ i: E　　(2)动态端口(Dynamic Ports)
* d6 ~( Q# Q7 x3 D; @0 n! Z; `, D: l, Z0 D$ m$ z
　　动态端口的范围从1024到65535，这些端口号一般不固定分配给某个服务，也就是说许多服务都可以使用这些端口。只要运行的程序向系统提出访问网络 的申请，那么系统就可以从这些端口号中分配一个供该程序使用。比如1024端口就是分配给第一个向系统发出申请的程序。在关闭程序进程后，就会释放所占用 的端口号。 ! G4 Y* z- n8 o: h1 }+ ~8 n7 O
3 L4 S4 Z7 G1 z7 F1 k
　　不过，动态端口也常常被病毒木马程序所利用，如冰河默认连接端口是7626、WAY 2.4是8011、Netspy 3.0是7306、YAI病毒是1024等等。 ' P2 J8 |+ M: A7 Z- g: r8 |
) u- d8 z( M/ F: U
　　2. 按协议类型划分
) s3 I3 H, i9 w. Y
2 \+ T' C! [2 l. d9 Q$ Z  ]　　按协议类型划分，可以分为TCP、UDP、IP和ICMP(Internet控制消息协议)等端口。下面主要介绍TCP和UDP端口：
% p$ _0 b. u5 E9 l" C2 D5 m
2 i) d# E0 y; v9 x8 U+ u　　(1)TCP端口 - h, ^% S8 w0 x5 L! c3 v- \
7 \( r; u: \! \& |6 |3 u3 u! ^$ s
　　TCP端口，即传输控制协议端口，需要在客户端和服务器之间建立连接，这样可以提供可靠的数据传输。常见的包括ftp服务的21端口，Telnet服务的23端口，SMTP服务的25端口，以及HTTP服务的80端口等等。
+ E4 ?7 S. D2 M) ~& t
4 o; f& {7 L$ ]　　(2)UDP端口 : ~# S4 i2 t8 c3 O% T* _& D

6 a' I6 |( o' K* w　　UDP端口，即用户数据包协议端口，无需在客户端和服务器之间建立连接，安全性得不到保障。常见的有DNS服务的53端口，SNMP(简单网络管理协议)服务的161端口，QQ使用的8000和4000端口等等。

常见网络端口
& E( x2 F$ V2 x$ n- N' x
+ `! X/ _' e+ ?5 {  `　　网络基础知识端口对照 # N. _3 {6 z7 \! E

) S6 E2 p/ Y6 f) k+ J　　端口：0
. M1 ~* c6 m2 r4 s7 U0 Y* _6 M* L; P% G
　　服务：Reserved
5 H- a' P6 ?' i% D6 D- O9 K. m( M, r& ~* o2 {$ k) D
　　说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。
- d) m- ]. [& d3 m5 O+ q8 n1 ^, X
2 V3 E: t$ |# i! U　　端口：1 , B. |1 Z1 \" B! h: C- v+ A" U
% \2 P2 g8 ~8 Q. `' w2 [; r& x) X3 c* O
　　服务：tcpmux
4 D: {- v9 B+ {) w/ \8 U  T/ k- {7 X5 I+ O
　　说明：这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户， 如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐 户。
) y+ o2 {! ~0 T6 }7 H3 L* I5 e) D7 o2 h7 o
　　端口：7 ; e2 x# F/ _' t
* ]9 n5 G9 c! X: F( [! Z- ]
　　服务：Echo
6 l+ X6 I$ ^1 S  {8 j% s9 r$ q: j0 Q% r) x; x7 j& E6 K
　　说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。 6 Q4 g5 m$ i  }/ o) ?/ C7 Z

5 k* ?1 _0 u' ?* B　　端口：19
, g. A9 n& H* ^" w3 F, r# Y
% y: P# L6 V2 |4 A; v" Y. k# z' b　　服务：Character Generator
/ S( {3 X. E+ d+ r* R
, \( r/ g% \5 D- q5 b　　说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。 HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
) P. P: k1 ^4 P) Q+ r4 {+ ]+ g3 o9 c1 W- e
　　端口：21 7 w  M# j! q2 D2 X2 x. U

  x5 F; o6 h6 q: V　　服务：ftp
( S$ v" `: h1 j1 p; U& p+ {! d! H4 Z  Q
: ?5 J) Y4 W2 s. u# v0 W0 t. g　　说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。 木马Doly Trojan、Fore、Invisible ftp、WebEx、WinCrash和Blade Runner所开放的端口。
; d: B( i5 B2 n6 U) Z1 `2 m8 m. D+ ^) X* h# S: b" Z
　　端口：22
: y! D0 c. ^) f" W
  u  b+ n5 h, A　　服务：Ssh 7 T; @- U1 e4 y9 x7 `$ w8 M

' E3 j  o" H* q! I　　说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
/ v; _3 I! N. A2 w
9 M$ j4 K8 C( i9 g　　端口：23 7 I, V9 j* A  h1 o
' V; @( C4 k$ H4 C8 ^/ a
　　服务：Telnet
# S. \% W" d5 J2 n/ |2 t! t! f) _
　　说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。 * J+ g* ]) k/ z
: A8 Y! X4 Z" J' E8 J& U
　　端口：25
8 c# P) k7 d/ G3 m$ C' I' E& }& @. @1 o, f; H% ~- o
　　服务：SMTP   s' _9 h2 L: s( p7 u0 R

/ F  J$ W# o, d5 Q+ R# @# v　　说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E -MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email PassWord Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。 3 I# @5 D) W8 u: i1 f' b& Z3 u
　　在网络技术中，端口(Port)大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的 端口，端口号的范围从0到65535，比如用于浏览网页服务- N8 g% C. q' L$ Z7 V& n

) l1 s0 ]/ r! [$ x" j　　端口：31
+ V: U; Z; H, x- u
9 U* h. B% j5 Y, I　　服务：MSG Authentication
+ f- T" z6 x% D  s1 z+ s1 D
$ b' {3 D) ]3 n. ^5 C　　说明：木马Master Paradise、Hackers Paradise开放此端口。
' I0 J, ]/ _/ B( T5 \
, N6 H: A3 D/ b# {8 x　　端口：42 4 m0 N/ T" k" Y! s* g
; v+ @  e, a" ?
　　服务：WINS Replication 5 d2 R4 f6 v' G+ n5 U& U$ L

) w2 U7 Y6 o7 d2 m2 M  g' z　　说明：WINS复制
  M7 G, h, t8 w& X4 e" Q4 R7 l  P& `2 N8 ^) ~
　　端口：53 ! f- a# Y- a9 p
9 I1 p8 [/ p+ o: P' H
　　服务：Domain Name Server(DNS) 9 B2 R2 G& v1 E
  o( B& s/ i) B( {6 t
　　说明：DNS服务器所开放的端口，入侵者可能是试图进行区域传递(TCP)，欺骗DNS(UDP)或隐藏其他的通信。因此防火墙常常过滤或记录此端口。

端口：67 , h" m. B* }) U! Z% P7 S# F" [9 F
/ }5 |/ u) y$ f4 x9 G1 P
　　服务：Bootstrap Protocol Server ' c  D6 `+ m" d5 o

$ }7 ?# ~- j$ Q/ E　　说明：通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。HACKER常进入它 们，分配一个地址把自己作为局部路由器而发起大量中间人(man-in-middle)攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请 求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。
) e' S& a- g9 H2 b2 k3 n' U( S& [
4 u# R+ E9 j7 s) V4 z　　端口：69 * n6 _# Y8 h/ f5 h1 o

6 T" E8 S: h) C8 q  U+ Z, Q　　服务：Trival File Transfer
) B3 W' Y; m% X4 Q, z$ z: ~: \' {6 U/ N9 o' B
　　说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。8 m& w3 I+ G7 C  ]( O

3 z7 Y/ B( n# f' r7 H　　端口：79
/ E: _6 ?" C  P
% Z  t) T( k4 |2 G% k3 E　　服务：Finger Server ; f" u- n. j3 k- v0 C. |6 f) R
0 z' b- ?7 A' Z+ q, Z' @# R+ O
　　说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。
$ X! Y) T. C3 _( `! h* h9 N& Q) c
　　端口：80 # ]$ G/ J% l0 H' z  R

: B7 Y  H7 [4 r　　服务：HTTP $ |5 f0 h; k* |) w7 g

  ^5 k; d; R- h/ a; W1 {　　说明：用于网页浏览。木马Executor开放此端口。
3 H# J+ }, x* g/ I" E/ ]+ U# n- g; v4 x
　　端口：99 8 X4 F' M) j1 }* F! G+ |! F

; @3 m7 L1 G1 u! Q6 ?3 s/ n; p　　服务：Metagram Relay
- C2 `2 t# a  ^( [9 t
, m+ Q1 X5 }' R! q( d9 X# U　　说明：后门程序ncx99开放此端口。 0 U- {- k4 Y9 E% _, j' w
& I) t/ Q# g/ d, p
　　端口：102 # c( M9 D1 r: p- v

: D3 M) Y3 d0 P+ W　　服务：Message transfer agent(MTA)-X.400 over TCP/IP 1 y7 j% Q$ t  S
8 n% L* D- Q4 @2 l/ R8 Y& j
　　说明：消息传输代理。 . m3 w# ]7 Z9 ~# }
0 o5 I4 h- \$ R6 V
　　端口：109 + W* m! i; f3 }' C
. ?" ~0 l- P7 V& w! `) ?% |- c$ T
　　服务：Post Office Protocol -Version3 4 _' L- d9 l' l

. s; p3 [1 @  l) h, E　　说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。
  k) D5 `# f( f6 O$ M3 M/ y/ v* ~' A
　　端口：110 & s% k% \; T0 h* }

' b' g$ O( V% k  r　　服务：SUN公司的RPC服务所有端口 0 U, [7 m8 _: K5 X+ W& G' S; A

9 V) K3 M. v- L( G- l+ r6 ^　　说明：常见RPC服务有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等 9 x, {+ M% M: z& I+ X2 x+ o2 l
7 t% ^# I; u# A  [4 A$ e
　　端口：113
+ J/ D4 x2 h" e& |3 x3 [3 m; b) H  y3 e8 P" W
　　服务：Authentication Service 3 C1 h/ K" T1 {7 _$ _. [$ ~- N

; f$ m- u5 r$ g, `3 q6 I" D　　说明：这是一个许多计算机上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多计算机的信息。但是它可作为许多服务的记录器，尤其 是ftp、POP、IMAP、SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，将会看到许多这个端口的连接请求。记住，如果阻断这个 端口客户端会感觉到在防火墙另一边与E-MAIL服务器的缓慢连接。许多防火墙支持TCP连接的阻断过程中发回RST。这将会停止缓慢的连接。
- Z4 n3 J0 o* h9 f% ], o; A! a. i2 V! u/ s! j4 n6 Y' `7 A
　　端口：119 ! W; P7 h; K0 z
- M$ o3 t5 M  ]7 R
　　服务：Network News Transfer Protocol 1 S/ K/ r4 w4 p( p  k
4 \+ J, N. e6 O# ?# @6 ^  P) w
　　说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他 们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。 - y: L8 Y/ o0 H  ^+ P; J1 M' B+ @

: _* }; ^/ u( o  G! f4 ^2 o　　端口：135   P7 d2 `8 z) Q* |
& w! _* t" g7 u7 L3 ?3 ?
　　服务：Location Service $ p2 k% J5 A/ A( U- X( a% D, @" a  ~
) ^: O/ M: }& f) V, N: R4 _* G
　　说明：Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗?什么版本?还有些DOS攻击直接针对这个端口。
$ S5 p$ x! Y  v4 V+ ~  m
' S/ E' y# G6 E# W; |  H8 c5 C4 L% d　　端口：137、138、139
( o- ^: r7 T* Y% M* F  {4 z$ a* \. K
　　服务：NETBIOS Name Service
2 H' B, {/ A$ S5 b* i4 K
/ H4 f( k; `" x' ]$ A: i5 L( z( N% C　　说明：其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口：通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。
5 B  u# P- B9 r
/ G4 l& c$ I6 e7 y. n' L　　端口：143 3 b) |$ E, q/ c. W' P, S8 h

# e! a  Q/ U( S6 {' q9 ~; Z　　服务：Interim Mail Access Protocol v2
5 A2 U1 a) F4 `* w0 e4 p( p+ x$ o' r7 G
　　说明：和POP3的安全问题一样，许多IMAP服务器存在有缓冲区溢出漏洞。记住：一种LINUX蠕虫(admv0rm)会通过这个端口繁殖，因此许多 这个端口的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认允许IMAP后，这些漏洞变的很流行。这一端口还被用于 IMAP2，但并不流行。
8 t, y6 K) \# K
/ }, q( v5 O( a+ B　　端口：161 ( v3 Q* l2 v* P: I9 {' B; b/ M; `
2 u4 O: c( g  ^4 X/ M& S7 e: H
　　服务：SNMP
) E- T1 I6 Y; o$ i9 {+ v, L
  b. j4 _( s  z; M" E　　说明：SNMP允许远程管理设备。所有配置和运 行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码 public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络。

端口：177
$ O* j5 D4 a: t" L  B
, W: L0 K+ p6 B. A: c$ r　　服务：X Display Manager Control Protocol   Q, G$ g/ l$ d: v

5 d1 V6 B6 c; _9 M. d* k# A  g　　说明：许多入侵者通过它访问X-windows操作台，它同时需要打开6000端口。
* z! F! i& U# L
8 ^& _- K0 j, `2 R, o4 X　　端口：389
* v0 i- B0 X& c! }5 t9 K* {
0 }: t  ]' c! G0 e8 D　　服务：LDAP、ILS : Y9 O6 X$ Q3 H& Z

7 K6 w7 @4 p$ H6 }" p; H　　说明：轻型目录访问协议和NetMeeting Internet Locator Server共用这一端口。
: [& Z! h" U/ y8 k/ Y' k. s- ^
) z6 I- y9 l/ x  C8 U; Y　　端口：443
+ B% k) p3 |* N) X$ P2 D
$ n& C% D4 r& g2 S1 m　　服务：Https / o/ I, k  n0 ~5 Z) Q) J8 G
7 E, o# I* `2 c% c
　　说明：网页浏览端口，能提供加密和通过安全端口传输的另一种HTTP。/ @( ^# |; Y4 d9 Y0 h# ?7 V) Y) t

7 R3 j/ H: ^9 w. N8 Q+ d& |  |( T9 `　　在网络技术中，端口(Port)大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的 端口，端口号的范围从0到65535，比如用于浏览网页服务 # S2 j, g5 v( A( t

6 q# ]* @! P* V, Z1 P5 z5 x6 Y　　端口：456
3 y1 o/ x4 m' q3 v# ^" s; \# t
; I4 u( S* @4 a& Z+ M/ h　　服务：[NULL]
. }1 Z7 O* d6 y# `
4 z. D) T7 ?7 }. I8 R　　说明：木马HACKERS PARADISE开放此端口。 . j) H1 x- E# q) q- }' c& S1 [5 a2 V

+ x6 i5 Y% i9 S, [: S$ c  ^* u6 e/ V　　端口：513   Z! v) Q4 c( ~: d

4 I0 b& f8 \6 x, z) K+ S　　服务：Login,remote login
8 e& L$ ~  w+ Q/ }( n# b
" ~" g& v- I" w! v0 x　　说明：是从使用cable modem或DSL登陆到子网中的UNIX计算机发出的广播。这些人为入侵者进入他们的系统提供了信息。 # {) j; G& D- J. a5 ~
( N, h0 j7 V8 d4 j) H3 [/ D2 k
　　端口：544 1 t" n8 X; f, s1 O- F
* X9 F$ N8 T! }+ M2 W7 Q
　　服务：[NULL] 3 q9 Y. l' w+ u, e. b3 l

9 F5 A3 z( x. C　　说明：kerberos kshell
0 r  b' I% A6 p1 q  {4 a0 |% S9 h; w" a* c8 f  p' j0 k
　　端口：548
# B) [3 B1 ]; Y8 M& F7 d# X. Y% N! u
　　服务：Macintosh,File Services(AFP/IP)
! F8 d5 U2 Q  h0 V9 _6 f: w. Y+ d+ k
& o1 o! E2 K7 H　　说明：Macintosh,文件服务。 + H% A2 C/ N4 j& ^
1 `; y8 @% p7 B: f; {& Z
　　端口：553
8 @' U' @6 G; k: W0 ~; ], ~% F, s- T0 D( o
　　服务：CORBA IIOP (UDP)
. `9 W- ]( I0 e# t6 ]- d% ?
$ G, D7 x; [- Q6 r2 q& {　　说明：使用cable modem、DSL或VLAN将会看到这个端口的广播。CORBA是一种面向对象的RPC系统。入侵者可以利用这些信息进入系统。
* B1 h6 D2 Q0 U5 H! J! K# I6 O3 z6 q* m4 L: E
　　端口：555 # x$ Z" X$ ^  v0 b( c7 O

* V, ~2 R- e' N- j" `　　服务：DSF
* S" i3 x7 H3 M6 ^7 S- {* n8 V/ M9 J8 \4 C, B2 \  V
　　说明：木马PhAse1.0、Stealth Spy、IniKiller开放此端口。
  Z. L! x, Y. S+ \
3 }4 `1 f" H- Z: O9 z2 K9 O　　端口：568
$ C8 z" [4 o4 V- R  o: R3 {8 `4 g: d" l# j8 ]" m' C# _- [
　　服务：Membership DPA 3 T; L( i5 A4 I6 b- ?
' V2 v( p# s; z; l
　　说明：成员资格 DPA。 1 K* [, D+ d/ I6 D% P* V0 _; X
, Y6 f+ }. ?7 F% ~7 h/ N
　　端口：569 5 J' T/ V/ T, {& _* q

' T9 [4 X* {3 V　　服务：Membership MSN
% B& D( ~4 N. q" W! R5 R7 D
( B7 n1 @8 ]# k/ V, G$ V　　说明：成员资格 MSN。
7 o( z& [  Z9 W% [" l- v
8 w. o2 F) _0 B* t* q: e　　端口：635 2 \. V# ]  @1 p: n6 ~. t% M

4 ~- j* U$ J5 E7 L! N　　服务：mountd
  k5 e" P: z! z- A7 n( f
8 [; [) Y$ o0 P- e　　说明：Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个端口的扫描是基于UDP的，但是基于TCP的mountd有所增加(mountd同时运行于两个端口)。 记住mountd可运行于任何端口(到底是哪个端口，需要在端口111做portmap查询)，只是Linux默认端口是635，就像NFS通常运行于 2049端口。 1 T8 o) m6 V+ r
/ ^6 s$ G% y- }: h; X( q
　　端口：636
5 x4 q3 x) S* @. ]5 @7 ]3 e8 ^' H- o. h; U) l* |' b( P  z
　　服务：LDAP
  ?% W) z- Z! S' r
  z9 n0 v! M" N7 s　　说明：SSL(Secure Sockets layer)
2 T& C$ `# }2 J0 y4 x6 B7 m# l" T4 y4 W
　　端口：666
+ ^% y5 d9 G7 ~0 o8 t% [1 u1 c9 G, r7 n, E
　　服务：Doom Id Software # x: l. l: N' l) D; X+ c3 b

; j+ X: @7 h6 z　　说明：木马Attack ftp、Satanz Backdoor开放此端口
% W+ m* z9 }) \& _
& ?$ s# z! [+ D$ z　　端口：993 ) y) k9 L/ p/ M! I" E; ?

+ B; L4 k7 |1 Y! B% k　　服务：IMAP 6 }9 n- h7 @; n( e, t

8 D. ]( k7 Q  A' D  Y+ T　　说明：SSL(Secure Sockets layer)
4 v. X, H7 A) c$ F, N1 x- Z) s& b! `; M8 A( y
　　端口：1001、1011
% {  G" F8 m4 F* _7 P% a
1 V, C( W- k4 g, S$ H　　服务：[NULL]
9 {) P2 k& x* I  w+ g6 ~6 m: G' O3 s) [: y2 T
　　说明：木马Silencer、WebEx开放1001端口。木马Doly Trojan开放1011端口。

端口：1024 % N' d7 s+ Y+ M( f* @9 L

+ ^- u, E$ C- X* g/ ^9 y; M4 ~1 G$ M　　服务：Reserved . ?) c/ K/ S) c

9 A, _2 s, o- _& F/ @　　说明：它是动态端口的开始，许多程序并不在乎用哪个端口连接网络，它们请求系统为它们分配下一个闲置端口。基于这一点分配从端口1024开始。这就是说 第一个向系统发出请求的会分配到1024端口。你可以重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024端口。还有SQL session也用此端口和5000端口。
& A* {! `$ @+ ~# k; @
6 Q  a/ r  [/ F% ~　　端口：1025、1033
6 e3 J4 P4 J6 f- z8 K5 w/ a
# o4 C( e2 K! `; m0 y, G　　服务：1025：network blackjack 1033：[NULL] ! B$ S) V7 u6 v7 @9 z! Q0 w, z0 D2 ^
8 v4 y* J, [: O3 I: G
　　说明：木马netspy开放这2个端口。 # R4 A+ I: o1 G8 R8 C* Y7 `

3 R6 M5 _" R7 s  V. p　　端口：1080 6 ^& G! K! K7 _0 M( j
% V( l% c8 ^, M1 z
　　服务：SOCKS 5 B% _) H# A/ e  B6 {
5 Q1 b" y% q: }' G+ ^- f( {* h) j: K
　　说明：这一协议以通道方式穿过防火墙，允许防火墙后面的人通过一个IP地址访问INTERNET。理论上它应该只允许内部的通信向外到达 INTERNET。但是由于错误的配置，它会允许位于防火墙外部的攻击穿过防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种情 况。 6 {  }$ q$ U* M% {/ m& k
" p& G1 i+ ?; h. W/ c, F  M
　　端口：1170
$ |. S  |& v7 n. J. h' P. ]
# C: X; Q. J  ]$ j5 F, U* i( \　　服务：[NULL] " E8 X9 m$ Z2 q/ T# ]0 P# @
0 A( F( n' a( d, U/ z: k
　　说明：木马Streaming Audio Trojan、Psyber Stream Server、Voice开放此端口。 3 W5 D) G. O) H. y4 |* z
; ^1 a7 j( z5 v! I2 ^  A6 k
　　端口：1234、1243、6711、6776 0 {: U5 o* O2 n0 u. F+ M

, z9 K5 [( x' K$ ]8 X& ?' N　　服务：[NULL]
7 f5 l6 L3 T; v' ]+ @- Q8 D! N/ l, }. o8 `- k5 p/ E+ s: S
　　说明：木马SubSeven2.0、Ultors Trojan开放1234、6776端口。木马SubSeven1.0/1.9开放1243、6711、6776端口。 ! x. V2 F3 L8 D$ D
! i1 {, E, P/ u) J  O2 V- k$ `; ?  y' i
　　端口：1245 % Q1 M, Y9 i8 [/ B* T- a6 @4 M

6 L. g) T  D. n" t　　服务：[NULL]
3 l( @% s5 ~1 E9 c6 n, j( h) G, G5 ]
　　说明：木马Vodoo开放此端口。
% \* t4 f/ z, w) I% {
/ ]% U) r: D. F1 N1 i2 b　　端口：1433   o. i7 ~5 d) z  w2 c% E; @
) F& J/ ?2 ]  Y
　　服务：SQL
. T/ o8 Q5 j  f: A  [' g+ _+ ?3 r  g4 B& o6 A# a% ^4 q3 k& x+ o
　　说明：Microsoft的SQL服务开放的端口。 - |$ |. e" s; x& }; Y
: U/ Y; i6 O" p  {2 D+ B6 H" g5 P
　　端口：1492
0 }1 q% F+ @2 t$ c/ c* z
6 k4 T8 ^+ C4 A' ^' J/ ^( H　　服务：stone-design-1 ' G1 n: C4 V& |' `+ L

  g& o* k/ o( o0 u9 R　　说明：木马ftp99CMP开放此端口。 ! b# q! n/ t/ C& c) [

5 H1 \, V: o! b* a0 k! z　　端口：1500 ! n  V0 X4 J% v

% z& K' O: b/ H- V3 N　　服务：RPC client fixed port session queries " e) X7 S+ L. }  T

+ Y, Z) R! m7 _- U5 {* R　　说明：RPC客户固定端口会话查询
! ~" m& E& i. h/ O5 h+ k, U$ Z6 z& Q
　　端口：1503 + l1 v( u  o; K  a
6 P# V! R% ~6 L8 w# U
　　服务：NetMeeting T.120 ' F% }* k9 Q% S4 B
  u! z8 p0 N3 c
　　说明：NetMeeting T.120   {5 Z" a$ j; l: A) Q" G7 w
' l6 a1 B/ r# T1 _: w- q& }2 D) `
　　端口：1524
) Y  B( x# m  W
% m. [# G9 W; Y" b　　服务：ingress 6 T0 W# v. `9 n* `& G

8 B( }; k/ B1 K4 N1 ]6 C　　说明：许多攻击脚本将安装一个后门SHELL于这个端口，尤其是针对SUN系统中Sendmail和RPC服务漏洞的脚本。如果刚安装了防火墙就看到在 这个端口上的连接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个SHELL。连接到 600/pcserver也存在这个问题。 4 H1 Q' k2 N5 ^- Z( g
2 T$ C+ j" q0 R  H+ R

! _# Y9 n) W% ^+ }+ J8 G& H3 n　　在网络技术中，端口(Port)大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的 端口，端口号的范围从0到65535，比如用于浏览网页服务

常见网络端口(补全)
# v! @1 S. C/ `) ^# I* c0 U  Q5 z
　　553 CORBA IIOP (UDP) 如果你使用cable modem或DSL VLAN，你将会看到这个端口的广播。CORBA是一种面向对象的RPC(remote procedure call)系统。Hacker会利用这些信息进入系统。 4 ^- P* p8 f: a4 c& p2 T# r
$ Z, m1 ]7 d  [3 E
　　600 Pcserver backdoor 请查看1524端口。
/ C* q9 U' {3 _6 b! a# Y$ x" r" T" l3 s7 t, A
　　一些玩script的孩子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统-- Alan J. Rosenthal.
2 W1 p  [  U5 l; j2 W! I5 ], V( `# u+ D: e9 f. \
　　635 mountd Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端口的扫描是基于UDP的，但基于TCP的mountd有所增加(mountd同时运行于两个端 口)。记住，mountd可运行于任何端口(到底在哪个端口，需要在端口111做portmap查询)，只是Linux默认为635端口，就象NFS通常 运行于2049端口。
* p( ~6 t6 X) Y# h- _/ G/ ~( q: A% W$ Z
　　1024 许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接网络，它们请求操作系统为它们分配“下一个闲置端口”。基于这一点分配 从端口1024开始。这意味着第一个向系统请求分配动态端口的程序将被分配端口1024。为了验证这一点，你可以重启机器，打开Telnet，再打开一个 窗口运行“natstat -a”，你将会看到Telnet被分配1024端口。请求的程序越多，动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍，当你浏览Web页时用 “netstat”查看，每个Web页需要一个新端口。
6 B% w8 m5 g* R( [9 p& e0 g0 w2 e. D! ^& H2 w2 B/ h1 S- c
　　1025，1026 参见1024 , o' w2 A" [3 u! q: y4 A: y# q
- |  H1 v3 U8 N9 Y$ x
　　1080 SOCKS 这一协议以管道方式穿过防火墙，允许防火墙后面的许多人通过一个IP地址访问Internet。理论上它应该只允许内部的通信向外达到Internet。 但是由于错误的配置，它会允许Hacker/Cracker的位于防火墙外部的攻击穿过防火墙。或者简单地回应位于Internet上的计算机，从而掩饰 他们对你的直接攻击。WinGate是一种常见的windows个人防火墙，常会发生上述的错误配置。在加入IRC聊天室时常会看到这种情况。 5 J/ l0 `+ V" _) C+ e
9 \3 b0 _0 U& A2 w( s- U. S
　　1114 SQL 系统本身很少扫描这个端口，但常常是sscan脚本的一部分。 $ Q2 E& N4 z% W: B# Y2 F

+ v0 k8 {3 E& [0 [　　1243 Sub-7木马(TCP)
1 {% N; N; r0 Z1 D1 j/ G- n
- |# [; L: t) {! s1 U7 ?, P, P　　1524 ingreslock 后门许多攻击脚本将安装一个后门Shell于这个端口(尤其是那些针对Sun系统中sendmail和RPC服务漏洞的脚本，如statd, ttdbserver和cmsd)。如果你刚刚安装了你的防火墙就看到在这个端口上的连接企图，很可能是上述原因。你可以试试Telnet到你的机器上的 这个端口，看看它是否会给你一个Shell。连接到600/pcserver也存在这个问题。 ( v( l  p# I* C
2 {+ e) o$ o2 Z/ `3 h" Y. B& V
　　2049 NFS NFS程序常运行于这个端口。通常需要访问portmapper查询这个服务运行于哪个端口，但是大部分情况是安装后NFS运行于这个端口，Hacker/Cracker因而可以闭开portmapper直接测试这个端口。 1 h" y/ m+ h' H

; V0 v6 r7 j( J' X　　3128 squid 这是Squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。你也会看到搜索其它代理服务器的端口： 8000/8001/8080/8888。扫描这一端口的另一原因是：用户正在进入聊天室。其它用户(或服务器本身)也会检验这个端口以确定用户的机器是 否支持代理。
9 Z+ I2 _3 c6 i7 E* B# t" j
3 y! b5 q) D8 h# s" I- p　　5632 pcAnywere 你会看到很多这个端口的扫描，这依赖于你所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能得代理(译者：指agent而 不是proxy)。Hacker/cracker也会寻找开放这种服务的机器，所以应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描常包含端 口22的UDP数据包。 2 Q8 u. G$ H! q& C  P

1 I% ~$ m$ B& ?; j0 E! X, a% H　　6776 Sub-7 artifact 这个端口是从Sub-7主端口分离出来的用于传送数据的端口。例如当控制者通过电话线控制另一台机器，而被控机器挂断时你将会看到这种情况。因此当另一人 以此IP拨入时，他们将会看到持续的，在这个端口的连接企图。(译者：即看到防火墙报告这一端口的连接企图时，并不表示你已被Sub-7控制。) 2 f7 N' H, e0 x2 A% Q: I
- V0 B4 e& }# c4 r: k% J# E
　　6970 RealAudio RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP7070端口外向控制连接设置的。 6 F9 y5 b- _; r5 P8 c; {
6 U1 o6 f  P7 x. {  u" K
　　13223 PowWow PowWow 是Tribal Voice的聊天程序。它允许用户在此端口打开私人聊天的连接。这一程序对于建立连接非常具有“进攻性”。它会“驻扎”在这一TCP端口等待回应。这造成 类似心跳间隔的连接企图。如果你是一个拨号用户，从另一个聊天者手中“继承”了IP地址这种情况就会发生：好象很多不同的人在测试这一端口。这一协议使用 “OPNG”作为其连接企图的前四个字节。
6 Z6 b4 v1 D/ D7 O
: x0 U# Y+ I8 Z. s) [9 [　　17027 Conducent 这是一个外向连接。这是由于公司内部有人安装了带有Conducent "adbot" 的共享软件。Conducent "adbot"是为共享软件显示广告服务的。使用这种服务的一种流行的软件是Pkware。有人试验：阻断这一外向连接不会有任何问题，但是封掉IP地址 本身将会导致adbots持续在每秒内试图连接多次而导致连接过载：
! S# v1 d8 a) `8 s
3 ^2 `; j% s: P' P　　机器会不断试图解析DNS名—ads.conducent.com，即IP地 址216.33.210.40 ;216.33.199.77 ;216.33.199.80 ;216.33.199.81;216.33.210.41。(译者：不知NetAnts使用的Radiate是否也有这种现象)
% Q! O7 }* }+ R2 t. i, E2 c/ t7 |! P; D% {
　　27374 Sub-7木马(TCP)
1 {0 Z: [  d9 y
4 ^+ K/ T, j# C5 d: l　　30100 NetSphere木马(TCP) 通常这一端口的扫描是为了寻找中了NetSphere木马。 , F0 f5 r( z7 J5 m/ _

% k. x! y+ P" v1 T# k( J% k: x3 G　　31337 Back Orifice “elite” Hacker中31337读做“elite”/ei’li:t/(译者：法语，译为中坚力量，精华。即3=E, 1=L, 7=T)。因此许多后门程序运行于这一端口。其中最有名的是Back Orifice。曾经一段时间内这是Internet上最常见的扫描。现在它的流行越来越少，其它的木马程序越来越流行。
. X8 {- u0 @  H1 b, p
5 {' G! o; j  s$ ^8 N# X+ j0 _　　31789 Hack-a-tack 这一端口的UDP通讯通常是由于"Hack-a-tack"远程访问木马(RAT, Remote Access Trojan)。这种木马包含内置的31790端口扫描器，因此任何31789端口到317890端口的连接意味着已经有这种入侵。(31789端口是控 制连接，317890端口是文件传输连接)
: N0 ?) N- v( o% Q: E
0 l$ f' {. X4 \+ A　　32770~32900 RPC服务 Sun Solaris的RPC服务在这一范围内。详细的说：早期版本的Solaris(2.5.1之前)将portmapper置于这一范围内，即使低端口被防 火墙封闭仍然允许Hacker/cracker访问这一端口。扫描这一范围内的端口不是为了寻找portmapper，就是为了寻找可被攻击的已知的 RPC服务。
2 l: R% j8 x8 {9 D
& Y- d/ X, D0 e; r' X5 y, @# h8 N+ k0 V0 w　　33434~33600 traceroute 如果你看到这一端口范围内的UDP数据包(且只在此范围之内)则可能是由于traceroute。