服务器端口

一、简介

    随着计算机网络技术的发展，原来物理上的接口（如键盘、鼠标、网卡、显示卡等输入/输出接口）已不能知足网络通讯的要求，TCP/IP协议做为网络通讯的标准协议就解决了这个通讯难题。TCP/IP协议集成到操做系统的内核中，这就至关于在操做系统中引入了一种新的输入/输出接口技术，由于在TCP/IP协议中引入了一种称之为"Socket（套接字）"应用程序接口。有了这样一种接口技术，一台计算机就能够经过软件的方式与任何一台具备Socket接口的计算机进行通讯。端口在计算机编程上也就是"Socket接口"。

二、端口分类

  端口的分类根据其参考对象不一样有不一样划分方法，若是从端口的性质来分，一般能够分为如下三类：

（1） 公认端口（Well Known Ports）：这类端口也常称之为"经常使用端口"。这类端口的端口号从0到1024，它们紧密绑定于一些特定的服务。一般这些端口的通讯明确代表了某种服务的协议，这种端口是不可再从新定义它的做用对象。例如：80端口实际上老是HTTP通讯所使用的，而23号端口则是Telnet服务专用的。这些端口一般不会被像***这样的***程序利用。为了使你们对这些经常使用端口多一些认识，在本章后面将详细把这些端口所对应的服务进行列表，供各位理解和参考。

（2） 注册端口（Registered Ports）：端口号从1024到49151。它们松散地绑定于一些服务。也是说有许多服务绑定于这些端口，这些端口一样用于许多其余目的。这些端口多数没有明确的定义服务对象，不一样程序可根据实际须要本身定义，如后面要介绍的远程控制软件和***程序中都会有这些端口的定义的。记住这些常见的程序端口在***程序的防御和查杀上是很是有必要的。常见***所使用的端口在后面将有详细的列表。

（3） 动态和/或私有端口（Dynamic and/or Private Ports）：端口号从49152到65535。理论上，不该把经常使用服务分配在这些端口上。实际上，有些较为特殊的程序，特别是一些***程序就很是喜欢用这些端口，由于这些端口经常不被引发注意，容易隐蔽。

  若是根据所提供的服务方式的不一样，端口又可分为"TCP协议端口"和"UDP协议端口"两种。由于计算机之间相互通讯通常采用这两种通讯协议。前面所介绍的"链接方式"是一种直接与接收方进行的链接，发送信息之后，能够确认信息是否到达，这种方式大多采用TCP协议；而另外一种则不是直接与接收方进行链接，只管把信息放在网上发出去，而无论信息是否到达，也就是前面所介绍的"无链接方式"。这种方式大多采用UDP协议，IP协议也是一种无链接方式。对应使用以上这两种通讯协议的服务所提供的端口，也就分为“TCP协议端口"和"UDP协议端口"。

三、0-1000端口

端口：0

服务：Reserved

说明：一般用于分析操做系统。这一方法可以工做是由于在一些系统中“0”是无效端口，当你试图使用一般的闭合端口链接它时将产生不一样的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。

端口：1

服务：tcpmux

说明：这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认状况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的账户，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些账户。所以HACKER在INTERNET上搜索tcpmux并利用这些账户。

端口：7

服务：Echo

说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。

端口：19

服务：Character Generator

说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP链接时会发送含有垃圾字符的数据流直到链接关闭。HACKER利用IP欺骗能够发动DoS***。伪造两个chargen服务器之间的UDP包。一样Fraggle DoS***向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。

端口：21

服务：FTP

说明：FTP服务器所开放的端口，用于上传、下载。最多见的***者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。***Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。

端口：22

服务：Ssh

说明：PcAnywhere创建的TCP和这一端口的链接多是为了需找ssh。这一服务有许多弱点，若是配置成特定的模式，许多使用RSAREF库的版本就会有很多的漏洞存在。

端口：23

服务：Telnet

说明：远程登陆，***者在搜索远程登陆UNIX的服务。大多数状况下扫描这一端口是为了找到机器运行的操做系统。还有使用其余技术，***者也会找到密码。***Tiny Telnet Server就开放这个端口。

端口：25

服务：SMTP

说明：SMTP服务器所开放的端口，用于发送邮件。***者寻找SMTP服务器是为了传递他们的SPAM。***者的账户被关闭，他们须要链接到高带宽的E-MAIL服务器上，将简单的信息传递到不一样的地址。***Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。

端口：31

服务：MSG Authentication

说明：***Master Paradise、Hackers Paradise开放此端口。

端口：42

服务：WINS Replication

说明：WINS复制

端口：53

服务：Domain Name Server（DNS）

说明：DNS服务器所开放的端口，***者多是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其余的通讯。所以_blank">防火墙经常过滤或记录此端口。

端口：67

服务：Bootstrap Protocol Server

说明：经过DSL和Cable modem的_blank">防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。 HACKER常进入它们，分配一个地址把本身做为局部路由器而发起大量中间人（man-in-middle）***。客户端向68端口广播请求配置，服务器向67端口广播回应请求。这种回应使用广播是由于客户端还不知道能够发送的IP地址。

端口：69

服务：Trival File Transfer

说明：许多服务器与bootp一块儿提供这项服务，便于从系统下载启动代码。可是它们经常因为错误配置而使***者能从系统中窃取任何 文件。它们也可用于系统写入文件。

端口：79

服务：Finger Server

说明：***者用于得到用户信息，查询操做系统，探测已知的缓冲区溢出错误，回应从本身机器到其余机器Finger扫描。

端口：80

服务：HTTP

说明：用于网页浏览。***Executor开放此端口。

端口：99

服务：Metagram Relay

说明：后门程序ncx99开放此端口。

端口：102

服务：Message transfer agent(MTA)-X.400 over TCP/IP

说明：消息传输代理。

端口：109

服务：Post Office Protocol -Version3

说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着***者能够在真正登录前进入系统。成功登录后还有其余缓冲区溢出错误。

端口：110

服务：SUN公司的RPC服务全部端口

说明：常见RPC服务有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等

端口：113

服务：Authentication Service

说明：这是一个许多计算机上运行的协议，用于鉴别TCP链接的用户。使用标准的这种服务能够得到许多计算机的信息。可是它可做为许多服务的记录器，尤为是FTP、POP、IMAP、SMTP和IRC等服务。一般若是有许多客户经过_blank">防火墙访问这些服务，将会看到许多这个端口的链接请求。记住，若是阻断这个端口客户端会感受到在_blank">防火墙另外一边与E-MAIL服务器的缓慢链接。许多_blank">防火墙支持TCP链接的阻断过程当中发回RST。这将会中止缓慢的链接。

端口：119

服务：Network News Transfer Protocol

说明：NEWS新闻组传输协议，承载USENET通讯。这个端口的链接一般是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将容许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。

端口：135

服务：Location Service

说明：Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很类似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户链接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS***直接针对这个端口。

端口：13七、13八、139

服务：NETBIOS Name Service

说明：其中13七、138是UDP端口，当经过网上邻居传输文件时用这个端口。而139端口：经过这个端口进入的链接试图得到NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。

端口：143

服务：Interim Mail Access Protocol v2

说明：和POP3的安全问题同样，许多IMAP服务器存在有缓冲区溢出漏洞。记住：一种LINUX蠕虫（admv0rm）会经过这个端口繁殖，所以许多这个端口的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认容许IMAP后，这些漏洞变的很流行。这一端口还被用于IMAP2，但并不流行。

端口：161

服务：SNMP

说明：SNMP容许远程管理设备。全部配置和运行信息的储存在数据库中，经过SNMP可得到这些信息。许多管理员的错误配置将被暴露在 Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验全部可能的组合。SNMP包可能会被错误的指向用户的网络。

端口：177

服务：X Display Manager Control Protocol

说明：许多***者经过它访问X-windows操做台，它同时须要打开6000端口。

端口：389

服务：LDAP、ILS

说明：轻型目录访问协议和NetMeeting Internet Locator Server共用这一端口。

端口：443

服务：Https

说明：网页浏览端口，能提供加密和经过安全端口传输的另外一种HTTP。

端口：456

服务：[NULL]

说明：***HACKERS PARADISE开放此端口。

端口：513

服务：Login,remote login

说明：是从使用cable modem或DSL登录到子网中的UNIX计算机发出的广播。这些人为***者进入他们的系统提供了信息。

端口：544

服务：[NULL]

说明：kerberos kshell

端口：548

服务：Macintosh,File Services(AFP/IP)

说明：Macintosh,文件服务。

端口：553

服务：CORBA IIOP （UDP）

说明：使用cable modem、DSL或VLAN将会看到这个端口的广播。CORBA是一种面向对象的RPC系统。***者能够利用这些信息进入系统。

端口：555

服务：DSF

说明：***PhAse1.0、Stealth Spy、IniKiller开放此端口。

端口：568

服务：Membership DPA

说明：成员资格 DPA。

端口：569

服务：Membership MSN

说明：成员资格 MSN。

端口：635

服务：mountd

说明：Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个端口的扫描是基于UDP的，可是基于TCP的mountd有所增长（mountd同时运行于两个端口）。记住mountd可运行于任何端口（究竟是哪一个端口，须要在端口111作portmap查询），只是Linux默认端口是635，就像NFS一般运行于 2049端口。

端口：636

服务：LDAP

说明：SSL（Secure Sockets layer）

端口：666

服务：Doom Id Software

说明：***Attack FTP、Satanz Backdoor开放此端口

端口：993

服务：IMAP

说明：SSL（Secure Sockets layer）

五、1000-3000端口

端口：100一、1011

服务：[NULL]

说明：***Silencer、WebEx开放1001端口。***Doly Trojan开放1011端口。

端口：1024

服务：Reserved

说明：它是动态端口的开始，许多程序并不在意用哪一个端口链接网络，它们请求系统为它们分配下一个闲置端口。基于这一点分配从端口1024开始。这就是说第一个向系统发出请求的会分配到1024端口。你能够重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024端口。还有SQL session也用此端口和5000端口。

端口：102五、1033

服务：1025：network blackjack 1033：[NULL]

说明：***netspy开放这2个端口。

端口：1080

服务：SOCKS

说明：这一协议以通道方式穿过_blank">防火墙，容许_blank">防火墙后面的人经过一个IP地址访问INTERNET。理论上它应该只容许内部的通讯向外到达INTERNET。可是因为错误的配置，它会容许位于_blank">防火墙外部的***穿过 _blank">防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种状况。

端口：1170

服务：[NULL]

说明：***Streaming Audio Trojan、Psyber Stream Server、Voice开放此端口。

端口：123四、124三、67十一、6776

服务：[NULL]

说明：***SubSeven2.0、Ultors Trojan开放123四、6776端口。***SubSeven1.0/1.9开放124三、67十一、6776端口。

端口：1245

服务：[NULL]

说明：***Vodoo开放此端口。

端口：1433

服务：SQL

说明：Microsoft的SQL服务开放的端口。

端口：1492

服务：stone-design-1

说明：***FTP99CMP开放此端口。

端口：1500

服务：RPC client fixed port session queries

说明：RPC客户固定端口会话查询

端口：1503

服务：NetMeeting T.120

说明：NetMeeting T.120

端口：1524

服务：ingress

说明：许多***脚本将安装一个后门SHELL于这个端口，尤为是针对SUN系统中Sendmail和RPC服务漏洞的脚本。若是刚安装了 _blank">防火墙就看到在这个端口上的链接企图，极可能是上述缘由。能够试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个 SHELL。链接到600/pcserver也存在这个问题。

端口：1600

服务：issd

说明：***Shivka-Burka开放此端口。

端口：1720

服务：NetMeeting

说明：NetMeeting H.233 call Setup。

端口：1731

服务：NetMeeting Audio Call Control

说明：NetMeeting音频调用控制。

端口：1807

服务：[NULL]

说明：***SpySender开放此端口。

端口：1981

服务：[NULL]

说明：***ShockRave开放此端口。

端口：1999

服务：cisco identification port

说明：***BackDoor开放此端口。

端口：2000

服务：[NULL]

说明：***GirlFriend 1.三、Millenium 1.0开放此端口。

端口：2001

服务：[NULL]

说明：***Millenium 1.0、Trojan Cow开放此端口。

端口：2023

服务：xinuexpansion 4

说明：***Pass Ripper开放此端口。

端口：2049

服务：NFS

说明：NFS程序常运行于这个端口。一般须要访问Portmapper查询这个服务运行于哪一个端口。

端口：2115

服务：[NULL]

说明：***Bugs开放此端口。

端口：2140、3150

服务：[NULL]

说明：***Deep Throat 1.0/3.0开放此端口。

端口：2500

服务：RPC client using a fixed port session replication

说明：应用固定端口会话复制的RPC客户

端口：2583

服务：[NULL]

说明：***Wincrash 2.0开放此端口。

端口：2801

服务：[NULL]

说明：***Phineas Phucker开放此端口。

六、端口3000-8000

端口：302四、4092

服务：[NULL]

说明：***WinCrash开放此端口。

端口：3128

服务：squid

说明：这是squid HTTP代理服务器的默认端口。***者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。也会看到搜索其余代理服务器的端口8000、 800一、8080、8888。扫描这个端口的另外一个缘由是用户正在进入聊天室。其余用户也会检验这个端口以肯定用户的机器是否支持代理。

端口：3129

服务：[NULL]

说明：***Master Paradise开放此端口。

端口：3150

服务：[NULL]

说明：***The Invasor开放此端口。

端口：32十、4321

服务：[NULL]

说明：***SchoolBus开放此端口

端口：3333

服务：dec-notes

说明：***Prosiak开放此端口

端口：3389

服务：超级终端

说明：WINDOWS 2000终端开放此端口。

端口：3700

服务：[NULL]

说明：***Portal of Doom开放此端口

端口：399六、4060

服务：[NULL]

说明：***RemoteAnything开放此端口

端口：4000

服务：QQ客户端

说明：腾讯QQ客户端开放此端口。

端口：4092

服务：[NULL]

说明：***WinCrash开放此端口。

端口：4590

服务：[NULL]

说明：***ICQTrojan开放此端口。

端口：5000、500一、532一、50505

服务：[NULL]

说明：***blazer5开放5000端口。***Sockets de Troie开放5000、500一、532一、50505端口。

端口：5400、540一、5402

服务：[NULL]

说明：***Blade Runner开放此端口。

端口：5550

服务：[NULL]

说明：***xtcp开放此端口。

端口：5569

服务：[NULL]

说明：***Robo-Hack开放此端口。

端口：5632

服务：pcAnywere

说明：有时会看到不少这个端口的扫描，这依赖于用户所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能的代理（这里的代理是指agent而不是proxy）。***者也会寻找开放这种服务的计算机。，因此应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描包常含端口22的UDP数据包。

端口：5742

服务：[NULL]

说明：***WinCrash1.03开放此端口。

端口：6267

服务：[NULL]

说明：***广外女生开放此端口。

端口：6400

服务：[NULL]

说明：***The tHing开放此端口。

端口：6670、6671

服务：[NULL]

说明：***Deep Throat开放6670端口。而Deep Throat 3.0开放6671端口。

端口：6883

服务：[NULL]

说明：***DeltaSource开放此端口。

端口：6969

服务：[NULL]

说明：***Gatecrasher、Priority开放此端口。

端口：6970

服务：RealAudio

说明：RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP-7070端口外向控制链接设置的。

端口：7000

服务：[NULL]

说明：***Remote Grab开放此端口。

端口：7300、730一、730六、730七、7308

服务：[NULL]

说明：***NetMonitor开放此端口。另外NetSpy1.0也开放7306端口。

端口：7323

服务：[NULL]

说明：Sygate服务器端。

端口：7626

服务：[NULL]

说明：***Giscier开放此端口。

端口：7789

服务：[NULL]

说明：***ICKiller开放此端口。

六、8000-20000端口

端口：8000

服务：OICQ

说明：腾讯QQ服务器端开放此端口。

端口：8010

服务：Wingate

说明：Wingate代理开放此端口。

端口：8080

服务：代理端口

说明：WWW代理开放此端口。

端口：9400、940一、9402

服务：[NULL]

说明：***Incommand 1.0开放此端口。

端口：987五、1006七、10167

服务：[NULL]

说明：***Portal of Doom开放此端口。

端口：9989

服务：[NULL]

说明：***iNi-Killer开放此端口。

端口：11000

服务：[NULL]

说明：***SennaSpy开放此端口。

端口：11223

服务：[NULL]

说明：***Progenic trojan开放此端口。

端口：1207六、61466

服务：[NULL]

说明：***Telecommando开放此端口。

端口：12223

服务：[NULL]

说明：***Hack'99 KeyLogger开放此端口。

端口：1234五、12346

服务：[NULL]

说明：***NetBus1.60/1.70、GabanBus开放此端口。

端口：12361

服务：[NULL]

说明：***Whack-a-mole开放此端口。

端口：13223

服务：PowWow

说明：PowWow是Tribal Voice的聊天程序。它容许用户在此端口打开私人聊天的链接。这一程序对于创建链接很是具备***性。它会驻扎在这个TCP端口等回应。形成相似心跳间隔的链接请求。若是一个拨号用户从另外一个聊天者手中继承了IP地址就会发生好象有不少不一样的人在测试这个端口的状况。这一协议使用OPNG做为其链接请求的前4个字节。

端口：16969

服务：[NULL]

说明：***Priority开放此端口。

端口：17027

服务：Conducent

说明：这是一个外向链接。这是因为公司内部有人安装了带有Conducent"adbot"的共享软件。Conducent"adbot"是为共享软件显示广告服务的。使用这种服务的一种流行的软件是Pkware。

端口：19191

服务：[NULL]

说明：***蓝色火焰开放此端口。

七、20000以上端口

端口：20000、20001

服务：[NULL]

说明：***Millennium开放此端口。

端口：20034

服务：[NULL]

说明：***NetBus Pro开放此端口。

端口：21554

服务：[NULL]

说明：***GirlFriend开放此端口。

端口：22222

服务：[NULL]

说明：***Prosiak开放此端口。

端口：23456

服务：[NULL]

说明：***Evil FTP、Ugly FTP开放此端口。

端口：2627四、47262

服务：[NULL]

说明：***Delta开放此端口。

端口：27374

服务：[NULL]

说明：***Subseven 2.1开放此端口。

端口：30100

服务：[NULL]

说明：***NetSphere开放此端口。

端口：30303

服务：[NULL]

说明：***Socket23开放此端口。

端口：30999

服务：[NULL]

说明：***Kuang开放此端口。

端口：3133七、31338

服务：[NULL]

说明：***BO(Back Orifice)开放此端口。另外***DeepBO也开放31338端口。

端口：31339

服务：[NULL]

说明：***NetSpy DK开放此端口。

端口：31666

服务：[NULL]

说明：***BOWhack开放此端口。

端口：33333

服务：[NULL]

说明：***Prosiak开放此端口。

端口：34324

服务：[NULL]

说明：***Tiny Telnet Server、BigGluck、TN开放此端口。

端口：40412

服务：[NULL]

说明：***The Spy开放此端口。

端口：4042一、4042二、4042三、4042六、

服务：[NULL]

说明：***Masters Paradise开放此端口。

端口：432十、54321

服务：[NULL]

说明：***SchoolBus 1.0/2.0开放此端口。

端口：44445

服务：[NULL]

说明：***Happypig开放此端口。

端口：50766

服务：[NULL]

说明：***Fore开放此端口。

端口：53001

服务：[NULL]

说明：***Remote Windows Shutdown开放此端口。

端口：65000

服务：[NULL]

说明：***Devil 1.03开放此端口。