收集5：端口详解

端口详解：

按端口号可分为 3 大类： （ 1 ）公认端口（ well known ports ）：从 0 到 1023 ，它们紧密绑定（ binding ）于一些服务。一般这些端口的通信明确代表了某种服务的协议。例如： 80 端口实际上老是 http 通信。    
（ 2 ）注册端口（ registered ports ）：从 1024 到 49151 。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口一样用于许多其它目的。例如：许多系统处理动态端口从 1024 左右开始。    
（ 3 ）动态和 / 或私有端口（ dynamic and/or private ports ）：从 49152 到 65535 。理论上，不该为服务分配这些端口。实际上，机器一般从 1024 起分配动态端口。但也有例外： sun 的 rpc 端口从 32768 开始。

1        tcpmux  tcp port service multiplexer   传输控制协议端口服务多路开关选择器   


2  compressnet  management utility           compressnet 管理实用程序   


3  compressnet  compression process            压缩进程   


5  rje  remote job entry              远程做业登陆   


7  echo  echo                回显   


9  discard  discard              丢弃   


11  systat  active users              在线用户   


13  daytime  daytime               时间   


17  qotd  quote of the day             每日引用   


18  msp  message send protocol             消息发送协议   


19  chargen  character generator            字符发生器   


20  ftp-data  file transfer[default data]    文件传输协议 ( 默认数据口 )   


21  ftp  file transfer[control]             文件传输协议 ( 控制 )  


22  ssh  ssh remote login protocol           ssh 远程登陆协议

23  telnet  telnet              终端仿真协议   


24  any private mail system             预留给我的用邮件系统   


25  smtp  simple mail transfer             简单邮件发送协议   


27  nsw-fe  nsw user system fe            nsw 用户系统现场工程师   


29  msg-icp  msg icp              msg  icp  


31  msg-auth  msg authentication           msg 验证   


33  dsp  display support protocol            显示支持协议   


35  any private printer server            预留给我的打印机服务   


37  time  time                时间   


38  rap  route access protocol             路由访问协议   


39  rlp  resource location protocol            资源定位协议   


41  graphics  graphics              图形   


42  nameserver  wins host name server           wins 主机名服务   


43  nicname  who is             " 绰号 " who is 服务   


44  mpm-flags  mpm flags protocol           mpm( 消息处理模块 ) 标志协议   


45  mpm  message processing module [recv]    消息处理模块    


46  mpm-snd  mpm [default send]             消息处理模块 ( 默认发送口 )  


47  ni-ftp  ni ftp             ni ftp  

48  auditd  digital audit daemon            数码音频后台服务

49  tacacs  login host

protocol (tacacs)   tacacs 登陆主机协议

50  re-mail-ck remote mail checking


protocol    远程邮件检查协议 [ 未结束 ]  


51  la-maint  imp logical address maintenance   imp( 接口信息处理机 ) 逻辑地址维护   


52  xns-time  xns time protocol             施乐网络服务系统时间协议   


53  domain  domain name server             域名服务器   


54  xns-ch  xns clearinghouse              施乐网络服务系统票据交换   


55  isi-gl  isi graphics language           isi 图形语言   


56  xns-auth  xns authentication            施乐网络服务系统验证   


57  ?  any private terminal access            预留我的用终端访问   


58  xns-mail  xns mail              施乐网络服务系统邮件   


59  any private file service             预留我的文件服务   


60  unassigned               未定义   


61  ni-mail  ni mail              ni 邮件 ?  


62  acas  aca services              异步通信适配器服务   


63  whois+ whois+              whois+  


64  covia  communications integrator (ci)    通信接口    

65  tacacs-ds  tacacs-database service           tacacs 数据库服务   


66  sql*net  oracle sql*net            oracle sql*net  


67  bootps  bootstrap protocol server            引导程序协议服务端   


68  bootpc  bootstrap protocol client            引导程序协议客户端   


69  tftp  trivial file transfer             小型文件传输协议   


70  gopher  gopher              信息检索协议   


71  netrjs-1  remote job service            远程做业服务   


72  netrjs-2  remote job service            远程做业服务   


73  netrjs-3  remote job service            远程做业服务   


74  netrjs-4  remote job service            远程做业服务   


75  any private dial out service            预留给我的拨出服务   


76 deos  distributed external object store 分布式外部对象存储    


77  any private rje service               预留给我的远程做业输入服务   


78  vettcp  vettcp              修正 tcp?  


79  finger  finger              查询远程主机在线用户等信息   


80  http  world wide web http              全球信息网超文本传输协议   


81  hosts2-ns  hosts2 name server           host2 名称服务   


82  xfer  xfer utility              传输实用程序


83  mit-ml-dev  mit ml device              模块化智能终端 ml 设备   


84  ctf  common trace facility             公用追踪设备   


85  mit-ml-dev  mit ml device              模块化智能终端 ml 设备   


86  mfcobol  micro focus cobol            micro focus cobol 编程语言   


87  any private terminal link            预留给我的终端链接   


88  kerberos  kerberos             kerberros 安全认证系统   


89  su-mit-tg  su/mit telnet gateway           su/mit 终端仿真网关   


90  dnsix  dnsix securit attribute token map   dnsix 安全属性标记图


91  mit-dov  mit dover spooler            mit dover 假脱机   


92  npp  network printing protocol            网络打印协议   


93  dcp  device control protocol            设备控制协议   


94  objcall  tivoli object dispatcher           tivoli 对象调度   


95  supdup   supdup              


96  dixie  dixie protocol specification           dixie 协议规范   


97  swift-rvf （ swift remote virtural file protocol ）快速远程虚拟文件协议


98  tacnews  tac news              tac 新闻协议   


99  metagram  metagram relay              


100  newacct  [unauthorized use]  


101=nic host name server


102=iso-tsap


103=genesis point-to-point trans net


104=acr-nema digital imag. & comm. 300


105=mailbox name nameserver


106=3com-tsmux3com-tsmux


107=remote telnet service


108=sna gateway access server


109=post office protocol - version 2  


110=post office protocol - version 3  


111=sun rpc


112=mcidas data transmission protocol

113=authentication service


114=audio news multicast


115=simple file transfer protocol


116=ansa rex notify


117=uucp path service


118=sql servicessqlserv


119=network news transfer protocol


120=cfdptktcfdptkt


121=encore expedited remote pro.call


122=smakynetsmakynet


123=network time protocol


124=ansa rex trader


125=locus pc-interface net map ser


126=unisys unitary login


127=locus pc-interface conn server


128=gss x license verification

129=password generator protocol


130=cisco fnative


131=cisco tnative


132=cisco sysmaint


133=statistics service


134=ingres-net service


135=location service


136=profile naming system


137=netbios name service


138=netbios datagram service


139=netbios session service


140=emfis data service


141=emfis control service


142=britton-lee idm


143=interim mail access protocol v2


144=newsnews

145=uaac protocoluaac


146=iso-ip0iso-tp0


147=iso-ipiso-ip


148=cronus-support


149=aed 512 emulation service


150=sql-netsql-net


151=hemshems


152=background file transfer program


153=sgmpsgmp


154=netscnetsc-prod


155=netscnetsc-dev


156=sql service


157=knet/vm command/message protocol

158=pcmail serverpcmail-srv


159=nss-routingnss-routing


160=sgmp-trapssgmp-traps


161=snmp


162=snmp trap


163=cmip/tcp manager


164=cmip/tcp agent


165=xeroxxns-courier


166=sirius systems


167=nampnamp


168=rsvdrsvd


169=send


170=network postscript


170=network postscript


171=network innovations multiplex


172=network innovations cl/1

173=xyplexxyplex-mux


174=mailq


175=vmnet


176=genrad-muxgenrad-mux


177=x display manager control protocol


178=nextstep window server


179=border gateway protocol


180=intergraphris


181=unifyunify


182=unisys audit sitp


183=ocbinderocbinder


184=ocserverocserver


185=remote-kis


186=kis protocolkis


187=application communication interface


188=plus five

 

 

402=genie protocol


403=decapdecap


404=ncednced


405=ncldncld


406=interactive mail support protocol


407=timbuktutimbuktu


408=prospero resource manager sys. Man.


409=prospero resource manager node man.


410=decladebug remote debug protocol


411=remote mt protocol


412=trap convention port


413=smspsmsp


414=infoseekinfoseek


415=bnetbnet


416=silverplattersilverplatter


417=onmuxonmux


418=hyper-ghyper-g  


419=arielariel1


420=smptesmpte


421=arielariel2


422=arielariel3


423=ibm operations planning and control start


424=ibm operations planning and control track


425=icadicad-el  


426=smartsdpsmartsdp


427=server location


429=ocs_amu


430=utmpsdutmpsd


431=utmpcdutmpcd

432=iasdiasd


433=nnspnnsp


434=mobileip-agent  


435=mobilip-mn  


436=dna-cmldna-cml  


437=comscmcomscm


439=dasp, thomas obermair


440=sgcpsgcp


441=decvms-sysmgtdecvms-sysmgt  


442=cvc_hostdcvc_hostd


443=https


444=simple network paging protocol


445=microsoft-ds  


446=ddm-rdbddm-rdb  


447=ddm-rfmddm-dfm  


448=ddm-byteddm-byte  

449=as server mapper


450=tservertserver


512=exec, remote process execution


513=login, remote login


514=cmd, exec with auto auth.


514=syslog


515=printer spooler


516=unassigned


517=talk


519=unixtime


520=extended file name server


521=unassigned


522=unassigned


523=unassigned


524=unassigned


526=newdate

530=rpc courier


531=chatconference


532=readnewsnetnews


533=for emergency broadcasts


539=apertus technologies load determination


540=uucp


541=uucp-rlogin  


542=unassigned


543=klogin


544=kshell


545=unassigned


546=unassigned


547=unassigned


548=unassigned


549=unassigned


550=new-who  

551=unassigned


552=unassigned


553=unassigned


554=unassigned


555=dsf


556=remotefs


557-559=rmonitor  


560=rmonitord


561=dmonitor


562=chcmd


563=unassigned


564=plan 9 file service


565=whoami


566-569 unassigned  


570=demonmeter


571=udemonmeter

572-599 unassigned ipc server  


600=sun ipc server


607=nqs


606=cray unified resource manager


608=sender-initiated/unsolicited file transfer  


609=npmp-trapnpmp-trap  


610=npmp-localnpmp-local  


611=npmp-guinpmp-gui  


634=ginadginad


666=doom id software


704=errlog copy/server daemon


709=entrustmanager


729=ibm netview dm/6000 server/client


730=ibm netview dm/6000 send/tcp


731=ibm netview dm/6000 receive/tcp


741=netgwnetgw

742=network based rev. cont. sys.


744=flexible license manager


747=fujitsu device control


748=russell info sci calendar manager


749=kerberos administration


751=pump


752=qrh


754=send


758=nlogin


759=con


760=ns


762=quotad


763=cycleserv


765=webster


767=phonephonebook


769=vid

771=rtip


772=cycleserv2


774=acmaint_dbd


775=acmaint_transd


780=wpgs


786=concertconcert


800=mdbs_daemon


996=central point software


997=maitrd


999=puprouter


1023=reserved


1024=reserved


1025=network blackjack

1030=bbn iad


1031=bbn iad


1032=bbn iad


1067=installation bootstrap proto. Serv.


1068=installation bootstrap proto. Cli.


1080=socks


1083=anasoft license manager


1084=anasoft license manager


1155=network file access


1222=sni r&d network


1248=hermes


1346=alta analytics license manager


1347=multi media conferencing


1347=multi media conferencing


1348=multi media conferencing


1349=registration network protocol

1350=registration network protocol


1351=digital tool works (mit)


1352=/lotus notelotusnote


1353=relief consulting


1354=rightbrain software


1355=intuitive edge


1356=cuillamartin company


1357=electronic pegboard


1358=connlcliconnlcli


1359=ftsrvftsrv


1360=mimermimer


1361=linx


1362=timefliestimeflies


1363=network datamover requester


1364=network datamover server


1365=network software associates

1366=novell netware comm service platform


1367=dcsdcs


1368=screencastscreencast


1369=globalview to unix shell


1370=unix shell to globalview


1371=fujitsu config protocol


1372=fujitsu config protocol


1373=chromagrafxchromagrafx


1374=epi software systems


1375=bytexbytex


1376=ibm person to person software


1377=cichlid license manager


1378=elan license manager


1379=integrity solutions


1380=telesis network license manager


1381=apple network license manager

1382=udt_os


1383=gw hannaway network license manager


1384=objective solutions license manager


1385=atex publishing license manager


1386=checksum license manager


1387=computer aided design software inc lm


1388=objective solutions database cache


1389=document manager


1390=storage controller


1391=storage access server


1392=print managericlpv-pm


1393=network log server


1394=network log client


1395=pc workstation manager software


1396=dvl active mail


1397=audio active mail

1398=video active mail


1399=cadkey license manager


1400=cadkey tablet daemon

 

 

1402=prospero resource manager


1403=prospero resource manager


1404=infinite graphics license manager


1405=ibm remote execution starter


1406=netlabs license manager


1407=dbsa license manager


1408=sophia license manager


1409=here license manager


1410=hiq license manager


1411=audiofileaf


1412=innosysinnosys


1413=innosys-aclinnosys-acl


1414=ibm mqseriesibm-mqseries


1415=dbstardbstar

1416=novell lu6.2novell-lu6.2


1417=timbuktu service 1 port


1417=timbuktu service 1 port


1418=timbuktu service 2 port


1419=timbuktu service 3 port


1420=timbuktu service 4 port


1421=gandalf license manager


1422=autodesk license manager


1423=essbase arbor software


1424=hybrid encryption protocol


1425=zion software license manager


1426=satellite-data acquisition system 1


1427=mloadd monitoring tool


1428=informatik license manager


1429=hypercom nmsnms

1430=hypercom tpdutpdu


1431=reverse gosip transport


1432=blueberry software license manager


1433=microsoft-sql-server


1434=microsoft-sql-monitor


1435=ibm ciscibm-cics


1436=satellite-data acquisition system 2


1437=tabulatabula


1438=eicon security agent/server


1439=eicon x25/sna gateway


1440=eicon service location protocol


1441=cadis license management


1442=cadis license management


1443=integrated engineering software


1444=marcam license management


1445=proxima license manager

1446=optical research associates license manager


1447=applied parallel research lm


1448=openconnect license manager


1449=peportpeport


1450=tandem distributed workbench facility


1451=ibm information management


1452=gte government systems license man


1453=genie license manager


1454=interhdl license manager


1454=interhdl license manager


1455=esl license manager


1456=dcadca


1457=valisys license manager


1458=nichols research corp.

1459=proshare notebook application


1460=proshare notebook application


1461=ibm wireless lan


1462=world license manager


1463=nucleusnucleus


1464=msl license manager


1465=pipes platform


1466=ocean software license manager


1467=csdmbasecsdmbase


1468=csdmcsdm


1469=active analysis limited license manager


1470=universal analytics


1471=csdmbasecsdmbase


1472=csdmcsdm


1473=openmathopenmath


1474=telefindertelefinder

1475=taligent license manager


1476=clvm-cfgclvm-cfg


1477=ms-sna-server


1478=ms-sna-base


1479=dberegisterdberegister


1480=pacerforumpacerforum


1481=airsairs


1482=miteksys license manager


1483=afs license manager


1484=confluent license manager


1485=lansourcelansource


1486=nms_topo_serv


1487=localinfosrvr


1488=docstordocstor


1489=dmdocbrokerdmdocbroker

1490=insitu-confinsitu-conf


1491=anynetgateway


1492=stone-design-1


1493=netmap_lmnetmap_lm


1494=icaica


1495=cvccvc


1496=liberty-lmliberty-lm


1497=rfx-lmrfx-lm


1498=watcom-sqlwatcom-sql


1499=federico heinz consultora


1500=vlsi license manager


1501=satellite-data acquisition system 3


1502=shivashivadiscovery


1503=databeamimtc-mcs


1504=evb software engineering license manager


1505=funk software, inc.

1524=ingres


1525=oracle


1525=prospero directory service non-priv


1526=prospero data access prot non-priv


1527=oracletlisrv


1529=oraclecoauthor


1600=issd


1651=proshare conf audio


1652=proshare conf video


1653=proshare conf data


1654=proshare conf request


1655=proshare conf notify


1661=netview-aix-1netview-aix-1


1662=netview-aix-2netview-aix-2


1663=netview-aix-3netview-aix-3


1664=netview-aix-4netview-aix-4

1665=netview-aix-5netview-aix-5


1666=netview-aix-6netview-aix-6


1986=cisco license management


1987=cisco rsrb priority 1 port


1988=cisco rsrb priority 2 port


1989=cisco rsrb priority 3 port


1989=mhsnet systemmshnet


1990=cisco stun priority 1 port


1991=cisco stun priority 2 port


1992=cisco stun priority 3 port


1992=ipsendmsgipsendmsg


1993=cisco snmp tcp port


1994=cisco serial tunnel port


1995=cisco perf port


1996=cisco remote srb port


1997=cisco gateway discovery protocol

1998=cisco x.25 service (xot)


1999=cisco identification port


2009=whosockami


2010=pipe_server


2011=raid


2012=raid-ac


2013=rad-am


2015=raid-cs


2016=bootserver


2017=terminaldb


2018=rellpack


2019=about


2019=xinupageserver


2020=xinupageserver


2021=xinuexpansion1


2021=down

2022=xinuexpansion2


2023=xinuexpansion3


2023=xinuexpansion4


2024=xinuexpansion4


2025=xribs


2026=scrabble


2027=shadowserver


2028=submitserver


2039=device2


2032=blackboard


2033=glogger


2034=scoremgr


2035=imsldoc


2038=objectmanager


2040=lam


2041=interbase

2042=isis


2043=isis-bcast


2044=primsl


2045=cdfunc


2047=dls


2048=dls-monitor


2065=data link switch read port number


2067=data link switch write port number


2201=advanced training system program


2500=resource tracking system server


2501=resource tracking system client


2564=hp 3000 ns/vt block mode telnet


2784=world wide web - development  


3049=ccmail


3264=ccmail, cc:mail/lotus


3333=dec-notes

3984=mapper network node manager


3985=mapper tcp/ip server


3986=mapper workstation server


3421=bull apprise portmapper


3900=unidata udt os


4132=nuts daemonnuts_dem


4133=nuts bootp server


4343=unicall


4444=krb524


4672=remote file access server


5002=radio free ethernet


5010=telepathstarttelelpathstart


5011=telepathattack


5050=multimedia conference control tool


5145=rmonitor_secure


5190=aol, america-online

5300=ha cluster heartbeat


5301=hacl-gs # ha cluster general services


5302=ha cluster configuration


5303=hacl-probe ha cluster probing


5305=hacl-test


6000-6063=x11 x window system


6111=sub-process hp softbench sub-process control


6141/=meta-corp meta corporation license manager


6142=aspentec-lm aspen technology license manager


6143=watershed-lm watershed license manager


6144=statsci1-lm statsci license manager - 1  


6145=statsci2-lm statsci license manager - 2  


6146=lonewolf-lm lone wolf systems license manager


6147=montage-lm montage license manager


7000=afs3-fileserver file server itself


7001=afs3-callback callbacks to cache managers

7002=afs3-prserver users & groups database


7003=afs3-vlserver volume location database


7004=afs3-kaserver afs/kerberos authentication service


7005=afs3-volser volume management server


7006=afs3-errors error interpretation service


7007=afs3-bos basic overseer process


7008=afs3-update server-to-server updater


7009=afs3-rmtsys remote cache manager service


7010=ups-online onlinet uninterruptable power supplies


7100=x font service


7200=fodms flip


7626= 冰河   


8010=wingate


8181=imail


9535=man

 

 

下面解释的更具体，也算是补充。   


0 一般用于分析操做系统。这一方法可以工做是由于在一些系统中 “0” 是无效端口，当你试图使用一种一般的闭合端口链接它时将产生不一样的结果。一种典型的扫描：使用 ip 地址为 0.0.0.0 ，设置 ack 位并在以太网层广播。   


1 tcpmux 这显示有人在寻找 sgi irix 机器。 Irix 是实现 tcpmux 的主要提供者，缺省状况下 tcpmux 在这种系统中被打开。 Iris 机器在发布时含有几个缺省的无密码的账户，如 lp, guest, uucp, nuucp, demos, tutor, diag, ezsetup, outofbox, 和 4dgifts 。许多管理员安装后忘记删除这些账户。所以 hacker 们在 internet 上搜索 tcpmux 并利用这些账户。   


7 echo 你能看到许多人们搜索 fraggle 放大器时，发送到 x.x.x.0 和 x.x.x.255 的信息。常见的一种 dos ***是 echo 循环（ echo-loop ），***者伪造从一个机器发送到另外一个机器的 udp 数据包，而两个机器分别以它们最快的方式回应这些数据包。另外一种东西是由 doubleclick 在词端口创建的 tcp 链接。有一种产品叫作 “resonate global dispatch” ，它与 dns 的这一端口链接以肯定最近的路由。 harvest/squid cache 将从 3130 端口发送 udp echo ： “ 若是将 cache 的 source_ping on 选项打开，它将对原始主机的 udp echo 端口回应一个 hit reply 。 ” 这将会产生许多这类数据包。   


11 sysstat 这是一种 unix 服务，它会列出机器上全部正在运行的进程以及是什么启动了这些进程。这为***者提供了许多信息而威胁机器的安全，如暴露已知某些弱点或账户的程序。这与 unix 系统中 “ps” 命令的结果类似。再说一遍： icmp 没有端口， icmp port 11 一般是 icmp type=11 。   


19 chargen 这是一种仅仅发送字符的服务。 Udp 版本将会在收到 udp 包后回应含有垃圾字符的包。 tcp 链接时，会发送含有垃圾字符的数据流知道链接关闭。 Hacker 利用 ip 欺骗能够发动 dos ***。伪造两个 chargen 服务器之间的 udp 包。因为服务器企图回应两个服务器之间的无限的往返数据通信一个 chargen 和 echo 将致使服务器过载。一样 fraggle dos ***向目标地址的这个端口广播一个带有伪造受害者 ip 的数据包，受害者为了回应这些数据而过载。   


21 ftp 最多见的***者用于寻找打开 “anonymous” 的 ftp 服务器的方法。这些服务器带有可读写的目录。 Hackers 或 crackers 利用这些服务器做为传送 warez ( 私有程序 ) 和 pr0n( 故意拼错词而避免被搜索引擎分类 ) 的节点。   


22 ssh pcanywhere 创建 tcp 和这一端口的链接多是为了寻找 ssh 。这一服务有许多弱点。若是配置成特定的模式，许多使用 rsaref 库的版本有很多漏洞。（建议在其它端口运行 ssh ）。还应该注意的是 ssh 工具包带有一个称为 make-ssh-known-hosts 的程序。它会扫描整个域的 ssh 主机。你有时会被使用这一程序的人无心中扫描到。 Udp （而不是 tcp ）与另外一端的 5632 端口相连意味着存在搜索 pcanywhere 的扫描。 5632 （十六进制的 0x1600 ）位交换后是 0x0016 （使进制的 22 ）。   


23 telnet ***者在搜索远程登录 unix 的服务。大多数状况下***者扫描这一端口是为了找到机器运行的操做系统。此外使用其它技术，***者会找到密码。   


25 smtp ***者（ spammer ）寻找 smtp 服务器是为了传递他们的 spam 。***者的账户总被关闭，他们须要拨号链接到高带宽的 e-mail 服务器上，将简单的信息传递到不一样的地址。 Smtp 服务器（尤为是 sendmail ）是进入系统的最经常使用方法之一，由于它们必须完整的暴露于 internet 且邮件的路由是复杂的（暴露 + 复杂 = 弱点）。   


53 dns hacker 或 crackers 多是试图进行区域传递（ tcp ），欺骗 dns （ udp ）或隐藏其它通信。所以防火墙经常过滤或记录 53 端口。须要注意的是你常会看到 53 端口作为 udp 源端口。不稳定的防火墙一般容许这种通信并假设这是对 dns 查询的回复。 Hacker 常使用这种方法穿透防火墙。   


67&68 bootp 和 dhcp udp 上的 bootp/dhcp ：经过 dsl 和 cable-modem 的防火墙常会看见大量发送到广播地址 255.255.255.255 的数据。这些机器在向 dhcp 服务器请求一个地址分配。 Hacker 常进入它们分配一个地址把本身做为局部路由器而发起大量的 “ 中间人 ” （ man-in-middle ）***。客户端向 68 端口（ bootps ）广播请求配置，服务器向 67 端口（ bootpc ）广播回应请求。这种回应使用广播是由于客户端还不知道能够发送的 ip 地址。   

79 finger hacker 用于得到用户信息，查询操做系统，探测已知的缓冲区溢出错误，回应从本身机器到其它机器 finger 扫描。   


80 web 站点默认 80 为服务端口，采用 tcp 或 udp 协议。   


98 linuxconf 这个程序提供 linux boxen 的简单管理。经过整合的 http 服务器在 98 端口提供基于 web 界面的服务。它已发现有许多安全问题。一些版本 setuid root ，信任局域网，在 /tmp 下创建 internet 可访问的文件， lang 环境变量有缓冲区溢出。此外由于它包含整合的服务器，许多典型的 http 漏洞可能存在（缓冲区溢出，历遍目录等）   


109 pop2 并不象 pop3 那样有名，但许多服务器同时提供两种服务（向后兼容）。在同一个服务器上 pop3 的漏洞在 pop2 中一样存在。   


110 pop3 用于客户端访问服务器端的邮件服务。 Pop3 服务有许多公认的弱点。关于用户名和密码交换缓冲区溢出的弱点至少有 20 个（这意味着 hacker 能够在真正登录前进入系统）。成功登录后还有其它缓冲区溢出错误。   


111 sunrpc portmap rpcbind sun rpc portmapper/rpcbind 。访问 portmapper 是扫描系统查看容许哪些 rpc 服务的最先的一步。常见 rpc 服务有： rpc.mountd, nfs, rpc.statd, rpc.csmd,
rpc.ttybd, amd 等。***者发现了容许的 rpc 服务将转向提供服务的特定端口测试漏洞。记住必定要记录线路中的 daemon, ids, 或 sniffer ，你能够发现***者正使用什么程序访问以便发现到底发生了什么。   


113 ident auth 这是一个许多机器上运行的协议，用于鉴别 tcp 链接的用户。使用标准的这种服务能够得到许多机器的信息（会被 hacker 利用）。可是它可做为许多服务的记录器，尤为是 ftp, pop, imap, smtp 和 irc 等服务。一般若是有许多客户经过防火墙访问这些服务，你将会看到许多这个端口的链接请求。记住，若是你阻断这个端口客户端会感受到在防火墙另外一边与 e-mail 服务器的缓慢链接。许多防火墙支持在 tcp 链接的阻断过程当中发回 rst ，着将回中止这一缓慢的链接。   


119 nntp news 新闻组传输协议，承载 usenet 通信。当你连接到诸如：
[url]news://comp.security.firewalls/.[/url] 的地址时一般使用这个端口。这个端口的链接企图一般是人们在寻找 usenet 服务器。多数 isp 限制只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将容许发 / 读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送 spam 。   


135 oc-serv ms rpc end-point mapper microsoft 在这个端口运行 dce rpc end-point mapper 为它的 dcom 服务。这与 unix 111 端口的功能很类似。使用 dcom 和 / 或 rpc 的服务利用机器上的 end-point mapper 注册它们的位置。远端客户链接到机器时，它们查询 end-point mapper 找到服务的位置。一样 hacker 扫描机器的这个端口是为了找到诸如：这个机器上运行 exchange server 吗？是什么版本？这个端口除了被用来查询服务（如使用 epdump ）还能够被用于直接***。有一些 dos ***直接针对这个端口。   


137 netbios name service nbtstat (udp) 这是防火墙管理员最多见的信息。   


139 netbios file and print sharing 经过这个端口进入的链接试图得到 netbios/smb 服务。这个协议被用于 windows“ 文件和打印机共享 ” 和 samba 。在 internet 上共享本身的硬盘是多是最多见的问题。大量针对这一端口始于 1999 ，后来逐渐变少。 2000 年又有回升。一些 vbs （ ie5 visualbasic scripting ）开始将它们本身拷贝到这个端口，试图在这个端口繁殖。   


143 imap 和上面 pop3 的安全问题同样，许多 imap 服务器有缓冲区溢出漏洞运行登录过程当中进入。    记住：一种 linux 蠕虫（ admw0rm ）会经过这个端口繁殖，所以许多这个端口的扫描来自不知情的已被感染的用户。当 radhat 在他们的 linux 发布版本中默认容许 imap 后，这些漏洞变得流行起来。 Morris 蠕虫之后这仍是第一次普遍传播的蠕虫。这一端口还被用于 imap2 ，但并不流行。已有一些报道发现有些 0 到 143 端口的***源于脚本。   


161 snmp(udp) ***者常探测的端口。 Snmp 容许远程管理设备。全部配置和运行信息都储存在数据库中，经过 snmp 客得到这些信息。许多管理员错误配置将它们暴露于 internet 。 Crackers 将试图使用缺省的密码 “public”“private” 访问系统。他们可能会试验全部可能的组合。 Snmp 包可能会被错误的指向你的网络。 Windows 机器常会由于错误配置将 hp jetdirect remote management 软件使用 snmp 。 Hp object identifier 将收到 snmp 包。新版的 win98 使用 snmp 解析域名，你会看见这种包在子
网内广播（ cable modem, dsl ）查询 sysname 和其它信息。   

162 snmp trap 多是因为错误配置   


177 xdmcp 许多 hacker 经过它访问 x-windows 控制台， 它同时须要打开 6000 端口。   


513 rwho 多是从使用 cable modem 或 dsl 登录到的子网中的 unix 机器发出的广播。这些人为 hacker 进入他们的系统提供了颇有趣的信息。   


553 corba iiop (udp) 若是你使用 cable modem 或 dsl vlan ，你将会看到这个端口的广播。 Corba 是一种面向对象的 rpc （ remote procedure call ）系统。 Hacker 会利用这些信息进入系统。   


600 pcserver backdoor 请查看 1524 端口。 一些玩 script 的孩子认为他们经过修改 ingreslock 和 pcserver 文件已经彻底攻破了系统 -- alan j. rosenthal.  


635 mountd linux 的 mountd bug 。这是人们扫描的一个流行的 bug 。大多数对这个端口的扫描是基于 udp 的，但基于 tcp 的 mountd 有所增长（ mountd 同时运行于两个端口）。记住， mountd 可运行于任何端口（到底在哪一个端口，须要在端口 111 作 portmap 查询），只是 linux 默认为 635 端口，就象 nfs 一般运行于 2049 端口。   


1024 许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在意用哪一个端口链接网络，它们请求操做系统为它们分配 “ 下一个闲置端口 ” 。基于这一点分配从端口 1024 开始。这意味着第一个向系统请求分配动态端口的程序将被分配端口 1024 。为了验证这一点，你能够重启机器，打开 telnet ，再打开一个窗口运行 “natstat -a” ，你将会看到 telnet 被分配 1024 端口。请求的程序越多，动态端口也越多。操做系统分配的端口将逐渐变大。再来一遍，当你浏览 web 页时用 “netstat” 查看，每一个 web 页须要一个新端口。   


1025 ， 1026 参见 1024  


1080 socks 这一协议以管道方式穿过防火墙，容许防火墙后面的许多人经过一个 ip 地址访问 internet 。理论上它应该只容许内部的通讯向外达到 internet 。可是因为错误的配置，它会容许 hacker/cracker 的位于防火墙外部的***穿过防火墙。或者简单地回应位于 internet 上的计算机，从而掩饰他们对你的直接***。 Wingate 是一种常见的 windows 我的防火墙，常会发生上述的错误配置。在加入 irc 聊天室时常会看到这种状况。   


1114 sql 系统自己不多扫描这个端口，但经常是 sscan 脚本的一部分。   


1243 sub-7 ***（ tcp ）   


1524 ingreslock 后门许多***脚本将安装一个后门 shell 于这个端口（尤为是那些针对 sun 系统中 sendmail 和 rpc 服务漏洞的脚本，如 statd, ttdbserver 和 cmsd ）。若是你刚刚安装了你的防火墙就看到在这个端口上的链接企图，极可能是上述缘由。你能够试试 telnet 到你的机器上的这个端口，看看它是否会给你一个 shell 。链接到 600/pcserver 也存在这个问题。   


2049 nfs nfs 程序常运行于这个端口。一般须要访问 portmapper 查询这个服务运行于哪一个端口，可是大部分状况是安装后 nfs 运行于这个端口， hacker/cracker 于是能够闭开 portmapper 直接测试这个端口。   


3128 squid 这是 squid http 代理服务器的默认端口。***者扫描这个端口是为了搜寻一个代理服务器而匿名访问 internet 。你也会看到搜索其它代理服务器的端口： 8000/8001/8080/8888 。扫描这一端口的另外一缘由是：用户正在进入聊天室。其它用户（或服务器自己）也会检验这个端口以肯定用户的机器是否支持代理。   


5632 pcanywere 你会看到不少这个端口的扫描，这依赖于你所在的位置。当用户打开 pcanywere 时，它会自动扫描局域网 c 类网以寻找可能得代理（译者：指 agent 而不是 proxy ）。 Hacker/cracker 也会寻找开放这种服务的机器，因此应该查看这种扫描的源地址。一些搜寻 pcanywere 的扫描常包含端口 22 的 udp 数据包。   


6776 sub-7 artifact 这个端口是从 sub-7 主端口分离出来的用于传送数据的端口。例如当控制者经过电话线控制另外一台机器，而被控机器挂断时你将会看到这种状况。所以当另外一人以此 ip 拨入时，他们将会看到持续的，在这个端口的链接企图。（译者：即看到防火墙报告这一端口的链接企图时，并不表示你已被 sub-7 控制。）   

6970 realaudio realaudio 客户将从服务器的 6970-7170 的 udp 端口接收音频数据流。这是由 tcp7070 端口外向控制链接设置的。   


13223 powwow powwow 是 tribal voice 的聊天程序。它容许用户在此端口打开私人聊天的链接。这一程序对于创建链接很是具备 “ 进攻性 ” 。它会 “ 驻扎 ” 在这一 tcp 端口等待回应。这形成相似心跳间隔的链接企图。若是你是一个拨号用户，从另外一个聊天者手中 “ 继承 ” 了 ip 地址这种状况就会发生：好象不少不一样的人在测试这一端口。这一协议使用 “opng” 做为其链接企图的前四个字节。   


17027 conducent 这是一个外向链接。这是因为公司内部有人安装了带有 conducent "adbot" 的共享软件。 Conducent "adbot" 是为共享软件显示广告服务的。使用这种服务的一种流行的软件是 pkware 。有人试验：阻断这一外向链接不会有任何问题，可是封掉 ip 地址自己将会致使 adbots 持续在每秒内试图链接屡次而致使链接过载： 机器会不断试图解析 dns 名 —ads.conducent.com ，即 ip 地址 216.33.210.40 ； 216.33.199.77 ； 216.33.199.80 ； 216.33.199.81 ； 216.33.210.41 。（译者：不知 netants 使用的 radiate 是否也有这种现象）   


27374 sub-7 *** (tcp)  


30100 netsphere *** (tcp) 一般这一端口的扫描是为了寻找中了 netsphere ***。   


31337 back orifice “elite” hacker 中 31337 读作 “elite”/ei’li:t/ （译者：法语，译为中
坚力量，精华。即 3=e, 1=l, 7=t ）。所以许多后门程序运行于这一端口。其中最有名的是 back orifice 。曾经一段时间内这是 internet 上最多见的扫描。如今它的流行愈来愈少，其它的***程序愈来愈流行。   


31789 hack-a-tack 这一端口的 udp 通信一般是因为 "hack-a-tack" 远程访问***（ rat, remote access trojan ）。这种***包含内置的 31790 端口扫描器，所以任何 31789 端口到 317890 端口的链接意味着已经有这种***。（ 31789 端口是控制链接， 317890 端口是文件传输链接）   


32770~32900 rpc 服务 sun solaris 的 rpc 服务在这一范围内。详细的说：早期版本的 solaris
（ 2.5.1 以前）将 portmapper 置于这一范围内，即便低端口被防火墙封闭仍然容许 hacker/cracker 访问这一端口。扫描这一范围内的端口不是为了寻找 portmapper ，就是为了寻找可被***的已知的 rpc 服务。   
33434~33600 traceroute 若是你看到这一端口范围内的 udp 数据包（且只在此范围以内）则多是因为 traceroute 。

 

 

672 身份验证服务（ as ）票证获得成功发行与验证。


673 票证受权服务（ tgs ）票证获得受权。 Tgs 是一份由 kerberos 5.0 版票证受权服务（ tgs ）发行、且容许用户针对域中特定服务进行身份验证的票证。


674 安全主体重建 as 票证或 tgs 票证。   


675 预身份验证失败。这种事件将在用户输入错误密码时由密钥分发中心（ kdc ）生成。


676 身份验证票证请求失败。这种事件在 windows xp professional 操做系统或 windows server 产品家族成员中将不会产生。   


677 tgs 票证没法获得受权。这种事件在 windows xp professional 操做系统或 windows server 产品家族成员中将不会产生。


678 指定账号成功映射到一个域账号。   


681 登陆失败。域账号尝试进行登陆。这种事件在 windows xp professional 操做系统或 windows server 产品家族成员中将不会产生。


682 用户从新链接到一个已经断开链接的终端服务器会话上。   


683 用户在没有注销的状况下与终端服务器会话断开链接。


[color=red]● 账号管理事件 [/color]


624 一个用户账号被建立。   


627 一个用户密码被修改。   


628 一个用户密码被设置。   


630 一个用户密码被删除。   


631 一个全局组被建立。   


632 一个成员被添加到特定全局组中。   


633 一个成员从特定全局组中被删除。   


634 一个全局组被删除。   


635 一个新的本地组被建立。   


636 一个成员被添加到本地组中。   


637 一个成员从本地组中被删除。   


638 一个本地组被删除。   


639 一个本地组账号被修改。   


641 一个全局组账号被修改。   


642 一个用户账号被修改。   

643 一个域策略被修改。   


644 一个用户账号被自动锁定。   


645 一个计算机账号被建立。   


646 一个计算机账号被修改。   


647 一个计算机账号被删除。   


648 一个禁用安全特性的本地安全组被建立。说明：正式名称中的 security_disabled 意味着这个组没法用于在访问检查中授予权限。   


649 一个禁用安全特性的本地安全组被修改。   


650 一个成员被添加到一个禁用安全特性的本地安全组中。   


651 一个成员从一个禁用安全特性的本地安全组中被删除。


652 一个禁用安全特性的本地组被删除。   


653 一个禁用安全特性的全局组被建立。   


654 一个禁用安全特性的全局组被修改。   


655 一个成员被添加到一个禁用安全特性的全局组中。   


656 一个成员从一个禁用安全特性的全局组中被删除。   


657 一个禁用安全特性的全局组被删除。   


658 一个启用安全特性的通用组被建立。   


659 一个启用安全特性的通用组被修改。   


660 一个成员被添加到一个启用安全特性的通用组中。   


661 一个成员从一个启用安全特性的通用组中被删除。   


662 一个启用安全特性的通用组被删除。   


663 一个禁用安全特性的通用组被建立。   


664 一个禁用安全特性的通用组被修改。   


665 一个成员被添加到一个禁用安全特性的通用组中。   


666 一个成员从一个禁用安全特性的通用组中被删除。   


667 一个禁用安全特性的通用组被删除。   


668 一个组类型被修改。   


684 管理组成员的安全描述符被设置。说明：在域控制器上，一个后台线程每 60 秒将对管理组中的全部成员（如域管理员、企业管理员和架构管理员）进行一次搜索并对其应用一个通过修复的安全描述符。这种事件将被记录下来。   


685 一个账号名称被修改。   [/size][/color]

[size=4][color=red]● 审核登陆事件 [/color][/size]


[size=4][color=blue]528 用户成功登陆到计算机上。   


529 登陆失败：试图使用未知用户名或带有错误密码的已知用户名进行登陆。   

530 登陆失败：试图在容许时间范围之外进行登陆。   


531 登陆失败：试图经过禁用账号进行登陆。   


532 登陆失败：试图经过过时账号进行登陆。   


533 登陆失败：试图经过不容许在特定计算机上进行登陆的用户账号进行登陆。


534 登陆失败：用户试图经过不容许使用的密码类型进行登陆。   


535 登陆失败：针对指定账号的密码已通过期。   


536 登陆失败：网络登陆服务未被激活。   


537 登陆失败：因为其它缘由致使登陆失败。说明：在某些状况下，登陆失败缘由可能没法肯定。   


538 针对某一用户的注销操做完成。   


539 登陆失败：登陆账号在登陆时刻已被锁定。   


540 用户成功登陆到网络。   


541 本地计算机与所列对等客户身份标识之间的主模式 internet 密钥交换（ ike ）身份验证操做已经完成（创建一条安全关联），或者快速模式已经创建一条数据通道。   


542 数据通道被中断。   


543 主模式被中断。说明：这种事件可能在安全关联时间限制到期（缺省值为 8 小时）、策略修改或对等客户中断时发生。   

544 因为对等客户未能提供合法证书或签署未经过验证致使主模式身份验证失败。   


545 因为 kerberos 失败或密码不合法致使主模式身份验证失败。


546 因为对等客户发送非法了非法提议， ike 安全关联创建没有成功。收到一个包含非法数据的数据包。


547 ike 握手过程当中发生错误。


548 登陆失败：来自信任域的安全标识符（ sid ）与客户端的账号域 sid 不匹配。


549 登陆失败：在跨域身份验证过程当中，全部同非信任名称空间相对应的 sid 均已被过滤掉。


550 可以指示可能发生拒绝服务（ dos ）***的通知消息。


551 用户发起注销操做。


552 用户在已经经过其余身份登陆的状况下使用明确凭据成功登陆到计算机上。


682 用户从新链接到一个已经断开链接的终端服务器会话上。


683 用户在没有注销的状况下与终端服务器会话断开链接。说明：这种事件将在用户经过网络与终端服务器会话创建链接时产生。它将出如今终端服务器上。

 

 

[size=4][color=red]● 对象访问事件   [/color][/size]


[color=blue][size=4]560 访问由一个已经存在的对象提供受权。


562 一个对象访问句柄被关闭。


563 试图打开并删除一个对象。说明：当您在 createfile() 函数中指定 file_delete_on_close 标志时，这种事件将被文件系统所使用。


564 一个保护对象被删除。


565 访问由一种已经存在的对象类型提供受权。


567 一种与句柄相关联的权限被使用。说明：一个授予特定权限（读取、写入等）的句柄被建立。当使用这个句柄时，至多针对所用到的每种权限