收集5：端口詳解

端口詳解：

按端口號可分爲 3 大類： （ 1 ）公認端口（ well known ports ）：從 0 到 1023 ，它們緊密綁定（ binding ）於一些服務。一般這些端口的通信明確代表了某種服務的協議。例如： 80 端口實際上老是 http 通信。    
（ 2 ）註冊端口（ registered ports ）：從 1024 到 49151 。它們鬆散地綁定於一些服務。也就是說有許多服務綁定於這些端口，這些端口一樣用於許多其它目的。例如：許多系統處理動態端口從 1024 左右開始。    
（ 3 ）動態和 / 或私有端口（ dynamic and/or private ports ）：從 49152 到 65535 。理論上，不該爲服務分配這些端口。實際上，機器一般從 1024 起分配動態端口。但也有例外： sun 的 rpc 端口從 32768 開始。

1        tcpmux  tcp port service multiplexer   傳輸控制協議端口服務多路開關選擇器   


2  compressnet  management utility           compressnet 管理實用程序   


3  compressnet  compression process            壓縮進程   


5  rje  remote job entry              遠程做業登陸   


7  echo  echo                回顯   


9  discard  discard              丟棄   


11  systat  active users              在線用戶   


13  daytime  daytime               時間   


17  qotd  quote of the day             每日引用   


18  msp  message send protocol             消息發送協議   


19  chargen  character generator            字符發生器   


20  ftp-data  file transfer[default data]    文件傳輸協議 ( 默認數據口 )   


21  ftp  file transfer[control]             文件傳輸協議 ( 控制 )  


22  ssh  ssh remote login protocol           ssh 遠程登陸協議

23  telnet  telnet              終端仿真協議   


24  any private mail system             預留給我的用郵件系統   


25  smtp  simple mail transfer             簡單郵件發送協議   


27  nsw-fe  nsw user system fe            nsw 用戶系統現場工程師   


29  msg-icp  msg icp              msg  icp  


31  msg-auth  msg authentication           msg 驗證   


33  dsp  display support protocol            顯示支持協議   


35  any private printer server            預留給我的打印機服務   


37  time  time                時間   


38  rap  route access protocol             路由訪問協議   


39  rlp  resource location protocol            資源定位協議   


41  graphics  graphics              圖形   


42  nameserver  wins host name server           wins 主機名服務   


43  nicname  who is             " 綽號 " who is 服務   


44  mpm-flags  mpm flags protocol           mpm( 消息處理模塊 ) 標誌協議   


45  mpm  message processing module [recv]    消息處理模塊    


46  mpm-snd  mpm [default send]             消息處理模塊 ( 默認發送口 )  


47  ni-ftp  ni ftp             ni ftp  

48  auditd  digital audit daemon            數碼音頻後臺服務

49  tacacs  login host

protocol (tacacs)   tacacs 登陸主機協議

50  re-mail-ck remote mail checking


protocol    遠程郵件檢查協議 [ 未結束 ]  


51  la-maint  imp logical address maintenance   imp( 接口信息處理機 ) 邏輯地址維護   


52  xns-time  xns time protocol             施樂網絡服務系統時間協議   


53  domain  domain name server             域名服務器   


54  xns-ch  xns clearinghouse              施樂網絡服務系統票據交換   


55  isi-gl  isi graphics language           isi 圖形語言   


56  xns-auth  xns authentication            施樂網絡服務系統驗證   


57  ?  any private terminal access            預留我的用終端訪問   


58  xns-mail  xns mail              施樂網絡服務系統郵件   


59  any private file service             預留我的文件服務   


60  unassigned               未定義   


61  ni-mail  ni mail              ni 郵件 ?  


62  acas  aca services              異步通信適配器服務   


63  whois+ whois+              whois+  


64  covia  communications integrator (ci)    通信接口    

65  tacacs-ds  tacacs-database service           tacacs 數據庫服務   


66  sql*net  oracle sql*net            oracle sql*net  


67  bootps  bootstrap protocol server            引導程序協議服務端   


68  bootpc  bootstrap protocol client            引導程序協議客戶端   


69  tftp  trivial file transfer             小型文件傳輸協議   


70  gopher  gopher              信息檢索協議   


71  netrjs-1  remote job service            遠程做業服務   


72  netrjs-2  remote job service            遠程做業服務   


73  netrjs-3  remote job service            遠程做業服務   


74  netrjs-4  remote job service            遠程做業服務   


75  any private dial out service            預留給我的撥出服務   


76 deos  distributed external object store 分佈式外部對象存儲    


77  any private rje service               預留給我的遠程做業輸入服務   


78  vettcp  vettcp              修正 tcp?  


79  finger  finger              查詢遠程主機在線用戶等信息   


80  http  world wide web http              全球信息網超文本傳輸協議   


81  hosts2-ns  hosts2 name server           host2 名稱服務   


82  xfer  xfer utility              傳輸實用程序


83  mit-ml-dev  mit ml device              模塊化智能終端 ml 設備   


84  ctf  common trace facility             公用追蹤設備   


85  mit-ml-dev  mit ml device              模塊化智能終端 ml 設備   


86  mfcobol  micro focus cobol            micro focus cobol 編程語言   


87  any private terminal link            預留給我的終端鏈接   


88  kerberos  kerberos             kerberros 安全認證系統   


89  su-mit-tg  su/mit telnet gateway           su/mit 終端仿真網關   


90  dnsix  dnsix securit attribute token map   dnsix 安全屬性標記圖


91  mit-dov  mit dover spooler            mit dover 假脫機   


92  npp  network printing protocol            網絡打印協議   


93  dcp  device control protocol            設備控制協議   


94  objcall  tivoli object dispatcher           tivoli 對象調度   


95  supdup   supdup              


96  dixie  dixie protocol specification           dixie 協議規範   


97  swift-rvf （ swift remote virtural file protocol ）快速遠程虛擬文件協議


98  tacnews  tac news              tac 新聞協議   


99  metagram  metagram relay              


100  newacct  [unauthorized use]  


101=nic host name server


102=iso-tsap


103=genesis point-to-point trans net


104=acr-nema digital imag. & comm. 300


105=mailbox name nameserver


106=3com-tsmux3com-tsmux


107=remote telnet service


108=sna gateway access server


109=post office protocol - version 2  


110=post office protocol - version 3  


111=sun rpc


112=mcidas data transmission protocol

113=authentication service


114=audio news multicast


115=simple file transfer protocol


116=ansa rex notify


117=uucp path service


118=sql servicessqlserv


119=network news transfer protocol


120=cfdptktcfdptkt


121=encore expedited remote pro.call


122=smakynetsmakynet


123=network time protocol


124=ansa rex trader


125=locus pc-interface net map ser


126=unisys unitary login


127=locus pc-interface conn server


128=gss x license verification

129=password generator protocol


130=cisco fnative


131=cisco tnative


132=cisco sysmaint


133=statistics service


134=ingres-net service


135=location service


136=profile naming system


137=netbios name service


138=netbios datagram service


139=netbios session service


140=emfis data service


141=emfis control service


142=britton-lee idm


143=interim mail access protocol v2


144=newsnews

145=uaac protocoluaac


146=iso-ip0iso-tp0


147=iso-ipiso-ip


148=cronus-support


149=aed 512 emulation service


150=sql-netsql-net


151=hemshems


152=background file transfer program


153=sgmpsgmp


154=netscnetsc-prod


155=netscnetsc-dev


156=sql service


157=knet/vm command/message protocol

158=pcmail serverpcmail-srv


159=nss-routingnss-routing


160=sgmp-trapssgmp-traps


161=snmp


162=snmp trap


163=cmip/tcp manager


164=cmip/tcp agent


165=xeroxxns-courier


166=sirius systems


167=nampnamp


168=rsvdrsvd


169=send


170=network postscript


170=network postscript


171=network innovations multiplex


172=network innovations cl/1

173=xyplexxyplex-mux


174=mailq


175=vmnet


176=genrad-muxgenrad-mux


177=x display manager control protocol


178=nextstep window server


179=border gateway protocol


180=intergraphris


181=unifyunify


182=unisys audit sitp


183=ocbinderocbinder


184=ocserverocserver


185=remote-kis


186=kis protocolkis


187=application communication interface


188=plus five

 

 

402=genie protocol


403=decapdecap


404=ncednced


405=ncldncld


406=interactive mail support protocol


407=timbuktutimbuktu


408=prospero resource manager sys. Man.


409=prospero resource manager node man.


410=decladebug remote debug protocol


411=remote mt protocol


412=trap convention port


413=smspsmsp


414=infoseekinfoseek


415=bnetbnet


416=silverplattersilverplatter


417=onmuxonmux


418=hyper-ghyper-g  


419=arielariel1


420=smptesmpte


421=arielariel2


422=arielariel3


423=ibm operations planning and control start


424=ibm operations planning and control track


425=icadicad-el  


426=smartsdpsmartsdp


427=server location


429=ocs_amu


430=utmpsdutmpsd


431=utmpcdutmpcd

432=iasdiasd


433=nnspnnsp


434=mobileip-agent  


435=mobilip-mn  


436=dna-cmldna-cml  


437=comscmcomscm


439=dasp, thomas obermair


440=sgcpsgcp


441=decvms-sysmgtdecvms-sysmgt  


442=cvc_hostdcvc_hostd


443=https


444=simple network paging protocol


445=microsoft-ds  


446=ddm-rdbddm-rdb  


447=ddm-rfmddm-dfm  


448=ddm-byteddm-byte  

449=as server mapper


450=tservertserver


512=exec, remote process execution


513=login, remote login


514=cmd, exec with auto auth.


514=syslog


515=printer spooler


516=unassigned


517=talk


519=unixtime


520=extended file name server


521=unassigned


522=unassigned


523=unassigned


524=unassigned


526=newdate

530=rpc courier


531=chatconference


532=readnewsnetnews


533=for emergency broadcasts


539=apertus technologies load determination


540=uucp


541=uucp-rlogin  


542=unassigned


543=klogin


544=kshell


545=unassigned


546=unassigned


547=unassigned


548=unassigned


549=unassigned


550=new-who  

551=unassigned


552=unassigned


553=unassigned


554=unassigned


555=dsf


556=remotefs


557-559=rmonitor  


560=rmonitord


561=dmonitor


562=chcmd


563=unassigned


564=plan 9 file service


565=whoami


566-569 unassigned  


570=demonmeter


571=udemonmeter

572-599 unassigned ipc server  


600=sun ipc server


607=nqs


606=cray unified resource manager


608=sender-initiated/unsolicited file transfer  


609=npmp-trapnpmp-trap  


610=npmp-localnpmp-local  


611=npmp-guinpmp-gui  


634=ginadginad


666=doom id software


704=errlog copy/server daemon


709=entrustmanager


729=ibm netview dm/6000 server/client


730=ibm netview dm/6000 send/tcp


731=ibm netview dm/6000 receive/tcp


741=netgwnetgw

742=network based rev. cont. sys.


744=flexible license manager


747=fujitsu device control


748=russell info sci calendar manager


749=kerberos administration


751=pump


752=qrh


754=send


758=nlogin


759=con


760=ns


762=quotad


763=cycleserv


765=webster


767=phonephonebook


769=vid

771=rtip


772=cycleserv2


774=acmaint_dbd


775=acmaint_transd


780=wpgs


786=concertconcert


800=mdbs_daemon


996=central point software


997=maitrd


999=puprouter


1023=reserved


1024=reserved


1025=network blackjack

1030=bbn iad


1031=bbn iad


1032=bbn iad


1067=installation bootstrap proto. Serv.


1068=installation bootstrap proto. Cli.


1080=socks


1083=anasoft license manager


1084=anasoft license manager


1155=network file access


1222=sni r&d network


1248=hermes


1346=alta analytics license manager


1347=multi media conferencing


1347=multi media conferencing


1348=multi media conferencing


1349=registration network protocol

1350=registration network protocol


1351=digital tool works (mit)


1352=/lotus notelotusnote


1353=relief consulting


1354=rightbrain software


1355=intuitive edge


1356=cuillamartin company


1357=electronic pegboard


1358=connlcliconnlcli


1359=ftsrvftsrv


1360=mimermimer


1361=linx


1362=timefliestimeflies


1363=network datamover requester


1364=network datamover server


1365=network software associates

1366=novell netware comm service platform


1367=dcsdcs


1368=screencastscreencast


1369=globalview to unix shell


1370=unix shell to globalview


1371=fujitsu config protocol


1372=fujitsu config protocol


1373=chromagrafxchromagrafx


1374=epi software systems


1375=bytexbytex


1376=ibm person to person software


1377=cichlid license manager


1378=elan license manager


1379=integrity solutions


1380=telesis network license manager


1381=apple network license manager

1382=udt_os


1383=gw hannaway network license manager


1384=objective solutions license manager


1385=atex publishing license manager


1386=checksum license manager


1387=computer aided design software inc lm


1388=objective solutions database cache


1389=document manager


1390=storage controller


1391=storage access server


1392=print managericlpv-pm


1393=network log server


1394=network log client


1395=pc workstation manager software


1396=dvl active mail


1397=audio active mail

1398=video active mail


1399=cadkey license manager


1400=cadkey tablet daemon

 

 

1402=prospero resource manager


1403=prospero resource manager


1404=infinite graphics license manager


1405=ibm remote execution starter


1406=netlabs license manager


1407=dbsa license manager


1408=sophia license manager


1409=here license manager


1410=hiq license manager


1411=audiofileaf


1412=innosysinnosys


1413=innosys-aclinnosys-acl


1414=ibm mqseriesibm-mqseries


1415=dbstardbstar

1416=novell lu6.2novell-lu6.2


1417=timbuktu service 1 port


1417=timbuktu service 1 port


1418=timbuktu service 2 port


1419=timbuktu service 3 port


1420=timbuktu service 4 port


1421=gandalf license manager


1422=autodesk license manager


1423=essbase arbor software


1424=hybrid encryption protocol


1425=zion software license manager


1426=satellite-data acquisition system 1


1427=mloadd monitoring tool


1428=informatik license manager


1429=hypercom nmsnms

1430=hypercom tpdutpdu


1431=reverse gosip transport


1432=blueberry software license manager


1433=microsoft-sql-server


1434=microsoft-sql-monitor


1435=ibm ciscibm-cics


1436=satellite-data acquisition system 2


1437=tabulatabula


1438=eicon security agent/server


1439=eicon x25/sna gateway


1440=eicon service location protocol


1441=cadis license management


1442=cadis license management


1443=integrated engineering software


1444=marcam license management


1445=proxima license manager

1446=optical research associates license manager


1447=applied parallel research lm


1448=openconnect license manager


1449=peportpeport


1450=tandem distributed workbench facility


1451=ibm information management


1452=gte government systems license man


1453=genie license manager


1454=interhdl license manager


1454=interhdl license manager


1455=esl license manager


1456=dcadca


1457=valisys license manager


1458=nichols research corp.

1459=proshare notebook application


1460=proshare notebook application


1461=ibm wireless lan


1462=world license manager


1463=nucleusnucleus


1464=msl license manager


1465=pipes platform


1466=ocean software license manager


1467=csdmbasecsdmbase


1468=csdmcsdm


1469=active analysis limited license manager


1470=universal analytics


1471=csdmbasecsdmbase


1472=csdmcsdm


1473=openmathopenmath


1474=telefindertelefinder

1475=taligent license manager


1476=clvm-cfgclvm-cfg


1477=ms-sna-server


1478=ms-sna-base


1479=dberegisterdberegister


1480=pacerforumpacerforum


1481=airsairs


1482=miteksys license manager


1483=afs license manager


1484=confluent license manager


1485=lansourcelansource


1486=nms_topo_serv


1487=localinfosrvr


1488=docstordocstor


1489=dmdocbrokerdmdocbroker

1490=insitu-confinsitu-conf


1491=anynetgateway


1492=stone-design-1


1493=netmap_lmnetmap_lm


1494=icaica


1495=cvccvc


1496=liberty-lmliberty-lm


1497=rfx-lmrfx-lm


1498=watcom-sqlwatcom-sql


1499=federico heinz consultora


1500=vlsi license manager


1501=satellite-data acquisition system 3


1502=shivashivadiscovery


1503=databeamimtc-mcs


1504=evb software engineering license manager


1505=funk software, inc.

1524=ingres


1525=oracle


1525=prospero directory service non-priv


1526=prospero data access prot non-priv


1527=oracletlisrv


1529=oraclecoauthor


1600=issd


1651=proshare conf audio


1652=proshare conf video


1653=proshare conf data


1654=proshare conf request


1655=proshare conf notify


1661=netview-aix-1netview-aix-1


1662=netview-aix-2netview-aix-2


1663=netview-aix-3netview-aix-3


1664=netview-aix-4netview-aix-4

1665=netview-aix-5netview-aix-5


1666=netview-aix-6netview-aix-6


1986=cisco license management


1987=cisco rsrb priority 1 port


1988=cisco rsrb priority 2 port


1989=cisco rsrb priority 3 port


1989=mhsnet systemmshnet


1990=cisco stun priority 1 port


1991=cisco stun priority 2 port


1992=cisco stun priority 3 port


1992=ipsendmsgipsendmsg


1993=cisco snmp tcp port


1994=cisco serial tunnel port


1995=cisco perf port


1996=cisco remote srb port


1997=cisco gateway discovery protocol

1998=cisco x.25 service (xot)


1999=cisco identification port


2009=whosockami


2010=pipe_server


2011=raid


2012=raid-ac


2013=rad-am


2015=raid-cs


2016=bootserver


2017=terminaldb


2018=rellpack


2019=about


2019=xinupageserver


2020=xinupageserver


2021=xinuexpansion1


2021=down

2022=xinuexpansion2


2023=xinuexpansion3


2023=xinuexpansion4


2024=xinuexpansion4


2025=xribs


2026=scrabble


2027=shadowserver


2028=submitserver


2039=device2


2032=blackboard


2033=glogger


2034=scoremgr


2035=imsldoc


2038=objectmanager


2040=lam


2041=interbase

2042=isis


2043=isis-bcast


2044=primsl


2045=cdfunc


2047=dls


2048=dls-monitor


2065=data link switch read port number


2067=data link switch write port number


2201=advanced training system program


2500=resource tracking system server


2501=resource tracking system client


2564=hp 3000 ns/vt block mode telnet


2784=world wide web - development  


3049=ccmail


3264=ccmail, cc:mail/lotus


3333=dec-notes

3984=mapper network node manager


3985=mapper tcp/ip server


3986=mapper workstation server


3421=bull apprise portmapper


3900=unidata udt os


4132=nuts daemonnuts_dem


4133=nuts bootp server


4343=unicall


4444=krb524


4672=remote file access server


5002=radio free ethernet


5010=telepathstarttelelpathstart


5011=telepathattack


5050=multimedia conference control tool


5145=rmonitor_secure


5190=aol, america-online

5300=ha cluster heartbeat


5301=hacl-gs # ha cluster general services


5302=ha cluster configuration


5303=hacl-probe ha cluster probing


5305=hacl-test


6000-6063=x11 x window system


6111=sub-process hp softbench sub-process control


6141/=meta-corp meta corporation license manager


6142=aspentec-lm aspen technology license manager


6143=watershed-lm watershed license manager


6144=statsci1-lm statsci license manager - 1  


6145=statsci2-lm statsci license manager - 2  


6146=lonewolf-lm lone wolf systems license manager


6147=montage-lm montage license manager


7000=afs3-fileserver file server itself


7001=afs3-callback callbacks to cache managers

7002=afs3-prserver users & groups database


7003=afs3-vlserver volume location database


7004=afs3-kaserver afs/kerberos authentication service


7005=afs3-volser volume management server


7006=afs3-errors error interpretation service


7007=afs3-bos basic overseer process


7008=afs3-update server-to-server updater


7009=afs3-rmtsys remote cache manager service


7010=ups-online onlinet uninterruptable power supplies


7100=x font service


7200=fodms flip


7626= 冰河   


8010=wingate


8181=imail


9535=man

 

 

下面解釋的更具體，也算是補充。   


0 一般用於分析操做系統。這一方法可以工做是由於在一些系統中 「0」 是無效端口，當你試圖使用一種一般的閉合端口鏈接它時將產生不一樣的結果。一種典型的掃描：使用 ip 地址爲 0.0.0.0 ，設置 ack 位並在以太網層廣播。   


1 tcpmux 這顯示有人在尋找 sgi irix 機器。 Irix 是實現 tcpmux 的主要提供者，缺省狀況下 tcpmux 在這種系統中被打開。 Iris 機器在發佈時含有幾個缺省的無密碼的賬戶，如 lp, guest, uucp, nuucp, demos, tutor, diag, ezsetup, outofbox, 和 4dgifts 。許多管理員安裝後忘記刪除這些賬戶。所以 hacker 們在 internet 上搜索 tcpmux 並利用這些賬戶。   


7 echo 你能看到許多人們搜索 fraggle 放大器時，發送到 x.x.x.0 和 x.x.x.255 的信息。常見的一種 dos ***是 echo 循環（ echo-loop ），***者僞造從一個機器發送到另外一個機器的 udp 數據包，而兩個機器分別以它們最快的方式迴應這些數據包。另外一種東西是由 doubleclick 在詞端口創建的 tcp 鏈接。有一種產品叫作 「resonate global dispatch」 ，它與 dns 的這一端口鏈接以肯定最近的路由。 harvest/squid cache 將從 3130 端口發送 udp echo ： 「 若是將 cache 的 source_ping on 選項打開，它將對原始主機的 udp echo 端口迴應一個 hit reply 。 」 這將會產生許多這類數據包。   


11 sysstat 這是一種 unix 服務，它會列出機器上全部正在運行的進程以及是什麼啓動了這些進程。這爲***者提供了許多信息而威脅機器的安全，如暴露已知某些弱點或賬戶的程序。這與 unix 系統中 「ps」 命令的結果類似。再說一遍： icmp 沒有端口， icmp port 11 一般是 icmp type=11 。   


19 chargen 這是一種僅僅發送字符的服務。 Udp 版本將會在收到 udp 包後迴應含有垃圾字符的包。 tcp 鏈接時，會發送含有垃圾字符的數據流知道鏈接關閉。 Hacker 利用 ip 欺騙能夠發動 dos ***。僞造兩個 chargen 服務器之間的 udp 包。因爲服務器企圖迴應兩個服務器之間的無限的往返數據通信一個 chargen 和 echo 將致使服務器過載。一樣 fraggle dos ***向目標地址的這個端口廣播一個帶有僞造受害者 ip 的數據包，受害者爲了迴應這些數據而過載。   


21 ftp 最多見的***者用於尋找打開 「anonymous」 的 ftp 服務器的方法。這些服務器帶有可讀寫的目錄。 Hackers 或 crackers 利用這些服務器做爲傳送 warez ( 私有程序 ) 和 pr0n( 故意拼錯詞而避免被搜索引擎分類 ) 的節點。   


22 ssh pcanywhere 創建 tcp 和這一端口的鏈接多是爲了尋找 ssh 。這一服務有許多弱點。若是配置成特定的模式，許多使用 rsaref 庫的版本有很多漏洞。（建議在其它端口運行 ssh ）。還應該注意的是 ssh 工具包帶有一個稱爲 make-ssh-known-hosts 的程序。它會掃描整個域的 ssh 主機。你有時會被使用這一程序的人無心中掃描到。 Udp （而不是 tcp ）與另外一端的 5632 端口相連意味着存在搜索 pcanywhere 的掃描。 5632 （十六進制的 0x1600 ）位交換後是 0x0016 （使進制的 22 ）。   


23 telnet ***者在搜索遠程登錄 unix 的服務。大多數狀況下***者掃描這一端口是爲了找到機器運行的操做系統。此外使用其它技術，***者會找到密碼。   


25 smtp ***者（ spammer ）尋找 smtp 服務器是爲了傳遞他們的 spam 。***者的賬戶總被關閉，他們須要撥號鏈接到高帶寬的 e-mail 服務器上，將簡單的信息傳遞到不一樣的地址。 Smtp 服務器（尤爲是 sendmail ）是進入系統的最經常使用方法之一，由於它們必須完整的暴露於 internet 且郵件的路由是複雜的（暴露 + 複雜 = 弱點）。   


53 dns hacker 或 crackers 多是試圖進行區域傳遞（ tcp ），欺騙 dns （ udp ）或隱藏其它通信。所以防火牆經常過濾或記錄 53 端口。須要注意的是你常會看到 53 端口作爲 udp 源端口。不穩定的防火牆一般容許這種通信並假設這是對 dns 查詢的回覆。 Hacker 常使用這種方法穿透防火牆。   


67&68 bootp 和 dhcp udp 上的 bootp/dhcp ：經過 dsl 和 cable-modem 的防火牆常會看見大量發送到廣播地址 255.255.255.255 的數據。這些機器在向 dhcp 服務器請求一個地址分配。 Hacker 常進入它們分配一個地址把本身做爲局部路由器而發起大量的 「 中間人 」 （ man-in-middle ）***。客戶端向 68 端口（ bootps ）廣播請求配置，服務器向 67 端口（ bootpc ）廣播迴應請求。這種迴應使用廣播是由於客戶端還不知道能夠發送的 ip 地址。   

79 finger hacker 用於得到用戶信息，查詢操做系統，探測已知的緩衝區溢出錯誤，迴應從本身機器到其它機器 finger 掃描。   


80 web 站點默認 80 爲服務端口，採用 tcp 或 udp 協議。   


98 linuxconf 這個程序提供 linux boxen 的簡單管理。經過整合的 http 服務器在 98 端口提供基於 web 界面的服務。它已發現有許多安全問題。一些版本 setuid root ，信任局域網，在 /tmp 下創建 internet 可訪問的文件， lang 環境變量有緩衝區溢出。此外由於它包含整合的服務器，許多典型的 http 漏洞可能存在（緩衝區溢出，歷遍目錄等）   


109 pop2 並不象 pop3 那樣有名，但許多服務器同時提供兩種服務（向後兼容）。在同一個服務器上 pop3 的漏洞在 pop2 中一樣存在。   


110 pop3 用於客戶端訪問服務器端的郵件服務。 Pop3 服務有許多公認的弱點。關於用戶名和密碼交換緩衝區溢出的弱點至少有 20 個（這意味着 hacker 能夠在真正登錄前進入系統）。成功登錄後還有其它緩衝區溢出錯誤。   


111 sunrpc portmap rpcbind sun rpc portmapper/rpcbind 。訪問 portmapper 是掃描系統查看容許哪些 rpc 服務的最先的一步。常見 rpc 服務有： rpc.mountd, nfs, rpc.statd, rpc.csmd,
rpc.ttybd, amd 等。***者發現了容許的 rpc 服務將轉向提供服務的特定端口測試漏洞。記住必定要記錄線路中的 daemon, ids, 或 sniffer ，你能夠發現***者正使用什麼程序訪問以便發現到底發生了什麼。   


113 ident auth 這是一個許多機器上運行的協議，用於鑑別 tcp 鏈接的用戶。使用標準的這種服務能夠得到許多機器的信息（會被 hacker 利用）。可是它可做爲許多服務的記錄器，尤爲是 ftp, pop, imap, smtp 和 irc 等服務。一般若是有許多客戶經過防火牆訪問這些服務，你將會看到許多這個端口的鏈接請求。記住，若是你阻斷這個端口客戶端會感受到在防火牆另外一邊與 e-mail 服務器的緩慢鏈接。許多防火牆支持在 tcp 鏈接的阻斷過程當中發回 rst ，着將回中止這一緩慢的鏈接。   


119 nntp news 新聞組傳輸協議，承載 usenet 通信。當你連接到諸如：
[url]news://comp.security.firewalls/.[/url] 的地址時一般使用這個端口。這個端口的鏈接企圖一般是人們在尋找 usenet 服務器。多數 isp 限制只有他們的客戶才能訪問他們的新聞組服務器。打開新聞組服務器將容許發 / 讀任何人的帖子，訪問被限制的新聞組服務器，匿名發帖或發送 spam 。   


135 oc-serv ms rpc end-point mapper microsoft 在這個端口運行 dce rpc end-point mapper 爲它的 dcom 服務。這與 unix 111 端口的功能很類似。使用 dcom 和 / 或 rpc 的服務利用機器上的 end-point mapper 註冊它們的位置。遠端客戶鏈接到機器時，它們查詢 end-point mapper 找到服務的位置。一樣 hacker 掃描機器的這個端口是爲了找到諸如：這個機器上運行 exchange server 嗎？是什麼版本？這個端口除了被用來查詢服務（如使用 epdump ）還能夠被用於直接***。有一些 dos ***直接針對這個端口。   


137 netbios name service nbtstat (udp) 這是防火牆管理員最多見的信息。   


139 netbios file and print sharing 經過這個端口進入的鏈接試圖得到 netbios/smb 服務。這個協議被用於 windows「 文件和打印機共享 」 和 samba 。在 internet 上共享本身的硬盤是多是最多見的問題。大量針對這一端口始於 1999 ，後來逐漸變少。 2000 年又有回升。一些 vbs （ ie5 visualbasic scripting ）開始將它們本身拷貝到這個端口，試圖在這個端口繁殖。   


143 imap 和上面 pop3 的安全問題同樣，許多 imap 服務器有緩衝區溢出漏洞運行登錄過程當中進入。    記住：一種 linux 蠕蟲（ admw0rm ）會經過這個端口繁殖，所以許多這個端口的掃描來自不知情的已被感染的用戶。當 radhat 在他們的 linux 發佈版本中默認容許 imap 後，這些漏洞變得流行起來。 Morris 蠕蟲之後這仍是第一次普遍傳播的蠕蟲。這一端口還被用於 imap2 ，但並不流行。已有一些報道發現有些 0 到 143 端口的***源於腳本。   


161 snmp(udp) ***者常探測的端口。 Snmp 容許遠程管理設備。全部配置和運行信息都儲存在數據庫中，經過 snmp 客得到這些信息。許多管理員錯誤配置將它們暴露於 internet 。 Crackers 將試圖使用缺省的密碼 「public」「private」 訪問系統。他們可能會試驗全部可能的組合。 Snmp 包可能會被錯誤的指向你的網絡。 Windows 機器常會由於錯誤配置將 hp jetdirect remote management 軟件使用 snmp 。 Hp object identifier 將收到 snmp 包。新版的 win98 使用 snmp 解析域名，你會看見這種包在子
網內廣播（ cable modem, dsl ）查詢 sysname 和其它信息。   

162 snmp trap 多是因爲錯誤配置   


177 xdmcp 許多 hacker 經過它訪問 x-windows 控制檯， 它同時須要打開 6000 端口。   


513 rwho 多是從使用 cable modem 或 dsl 登錄到的子網中的 unix 機器發出的廣播。這些人爲 hacker 進入他們的系統提供了頗有趣的信息。   


553 corba iiop (udp) 若是你使用 cable modem 或 dsl vlan ，你將會看到這個端口的廣播。 Corba 是一種面向對象的 rpc （ remote procedure call ）系統。 Hacker 會利用這些信息進入系統。   


600 pcserver backdoor 請查看 1524 端口。 一些玩 script 的孩子認爲他們經過修改 ingreslock 和 pcserver 文件已經徹底攻破了系統 -- alan j. rosenthal.  


635 mountd linux 的 mountd bug 。這是人們掃描的一個流行的 bug 。大多數對這個端口的掃描是基於 udp 的，但基於 tcp 的 mountd 有所增長（ mountd 同時運行於兩個端口）。記住， mountd 可運行於任何端口（到底在哪一個端口，須要在端口 111 作 portmap 查詢），只是 linux 默認爲 635 端口，就象 nfs 一般運行於 2049 端口。   


1024 許多人問這個端口是幹什麼的。它是動態端口的開始。許多程序並不在意用哪一個端口鏈接網絡，它們請求操做系統爲它們分配 「 下一個閒置端口 」 。基於這一點分配從端口 1024 開始。這意味着第一個向系統請求分配動態端口的程序將被分配端口 1024 。爲了驗證這一點，你能夠重啓機器，打開 telnet ，再打開一個窗口運行 「natstat -a」 ，你將會看到 telnet 被分配 1024 端口。請求的程序越多，動態端口也越多。操做系統分配的端口將逐漸變大。再來一遍，當你瀏覽 web 頁時用 「netstat」 查看，每一個 web 頁須要一個新端口。   


1025 ， 1026 參見 1024  


1080 socks 這一協議以管道方式穿過防火牆，容許防火牆後面的許多人經過一個 ip 地址訪問 internet 。理論上它應該只容許內部的通訊向外達到 internet 。可是因爲錯誤的配置，它會容許 hacker/cracker 的位於防火牆外部的***穿過防火牆。或者簡單地迴應位於 internet 上的計算機，從而掩飾他們對你的直接***。 Wingate 是一種常見的 windows 我的防火牆，常會發生上述的錯誤配置。在加入 irc 聊天室時常會看到這種狀況。   


1114 sql 系統自己不多掃描這個端口，但經常是 sscan 腳本的一部分。   


1243 sub-7 ***（ tcp ）   


1524 ingreslock 後門許多***腳本將安裝一個後門 shell 於這個端口（尤爲是那些針對 sun 系統中 sendmail 和 rpc 服務漏洞的腳本，如 statd, ttdbserver 和 cmsd ）。若是你剛剛安裝了你的防火牆就看到在這個端口上的鏈接企圖，極可能是上述緣由。你能夠試試 telnet 到你的機器上的這個端口，看看它是否會給你一個 shell 。鏈接到 600/pcserver 也存在這個問題。   


2049 nfs nfs 程序常運行於這個端口。一般須要訪問 portmapper 查詢這個服務運行於哪一個端口，可是大部分狀況是安裝後 nfs 運行於這個端口， hacker/cracker 於是能夠閉開 portmapper 直接測試這個端口。   


3128 squid 這是 squid http 代理服務器的默認端口。***者掃描這個端口是爲了搜尋一個代理服務器而匿名訪問 internet 。你也會看到搜索其它代理服務器的端口： 8000/8001/8080/8888 。掃描這一端口的另外一緣由是：用戶正在進入聊天室。其它用戶（或服務器自己）也會檢驗這個端口以肯定用戶的機器是否支持代理。   


5632 pcanywere 你會看到不少這個端口的掃描，這依賴於你所在的位置。當用戶打開 pcanywere 時，它會自動掃描局域網 c 類網以尋找可能得代理（譯者：指 agent 而不是 proxy ）。 Hacker/cracker 也會尋找開放這種服務的機器，因此應該查看這種掃描的源地址。一些搜尋 pcanywere 的掃描常包含端口 22 的 udp 數據包。   


6776 sub-7 artifact 這個端口是從 sub-7 主端口分離出來的用於傳送數據的端口。例如當控制者經過電話線控制另外一臺機器，而被控機器掛斷時你將會看到這種狀況。所以當另外一人以此 ip 撥入時，他們將會看到持續的，在這個端口的鏈接企圖。（譯者：即看到防火牆報告這一端口的鏈接企圖時，並不表示你已被 sub-7 控制。）   

6970 realaudio realaudio 客戶將從服務器的 6970-7170 的 udp 端口接收音頻數據流。這是由 tcp7070 端口外向控制鏈接設置的。   


13223 powwow powwow 是 tribal voice 的聊天程序。它容許用戶在此端口打開私人聊天的鏈接。這一程序對於創建鏈接很是具備 「 進攻性 」 。它會 「 駐紮 」 在這一 tcp 端口等待迴應。這形成相似心跳間隔的鏈接企圖。若是你是一個撥號用戶，從另外一個聊天者手中 「 繼承 」 了 ip 地址這種狀況就會發生：好象不少不一樣的人在測試這一端口。這一協議使用 「opng」 做爲其鏈接企圖的前四個字節。   


17027 conducent 這是一個外向鏈接。這是因爲公司內部有人安裝了帶有 conducent "adbot" 的共享軟件。 Conducent "adbot" 是爲共享軟件顯示廣告服務的。使用這種服務的一種流行的軟件是 pkware 。有人試驗：阻斷這一外向鏈接不會有任何問題，可是封掉 ip 地址自己將會致使 adbots 持續在每秒內試圖鏈接屢次而致使鏈接過載： 機器會不斷試圖解析 dns 名 —ads.conducent.com ，即 ip 地址 216.33.210.40 ； 216.33.199.77 ； 216.33.199.80 ； 216.33.199.81 ； 216.33.210.41 。（譯者：不知 netants 使用的 radiate 是否也有這種現象）   


27374 sub-7 *** (tcp)  


30100 netsphere *** (tcp) 一般這一端口的掃描是爲了尋找中了 netsphere ***。   


31337 back orifice 「elite」 hacker 中 31337 讀作 「elite」/ei’li:t/ （譯者：法語，譯爲中
堅力量，精華。即 3=e, 1=l, 7=t ）。所以許多後門程序運行於這一端口。其中最有名的是 back orifice 。曾經一段時間內這是 internet 上最多見的掃描。如今它的流行愈來愈少，其它的***程序愈來愈流行。   


31789 hack-a-tack 這一端口的 udp 通信一般是因爲 "hack-a-tack" 遠程訪問***（ rat, remote access trojan ）。這種***包含內置的 31790 端口掃描器，所以任何 31789 端口到 317890 端口的鏈接意味着已經有這種***。（ 31789 端口是控制鏈接， 317890 端口是文件傳輸鏈接）   


32770~32900 rpc 服務 sun solaris 的 rpc 服務在這一範圍內。詳細的說：早期版本的 solaris
（ 2.5.1 以前）將 portmapper 置於這一範圍內，即便低端口被防火牆封閉仍然容許 hacker/cracker 訪問這一端口。掃描這一範圍內的端口不是爲了尋找 portmapper ，就是爲了尋找可被***的已知的 rpc 服務。   
33434~33600 traceroute 若是你看到這一端口範圍內的 udp 數據包（且只在此範圍以內）則多是因爲 traceroute 。

 

 

672 身份驗證服務（ as ）票證獲得成功發行與驗證。


673 票證受權服務（ tgs ）票證獲得受權。 Tgs 是一份由 kerberos 5.0 版票證受權服務（ tgs ）發行、且容許用戶針對域中特定服務進行身份驗證的票證。


674 安全主體重建 as 票證或 tgs 票證。   


675 預身份驗證失敗。這種事件將在用戶輸入錯誤密碼時由密鑰分發中心（ kdc ）生成。


676 身份驗證票證請求失敗。這種事件在 windows xp professional 操做系統或 windows server 產品家族成員中將不會產生。   


677 tgs 票證沒法獲得受權。這種事件在 windows xp professional 操做系統或 windows server 產品家族成員中將不會產生。


678 指定賬號成功映射到一個域賬號。   


681 登陸失敗。域賬號嘗試進行登陸。這種事件在 windows xp professional 操做系統或 windows server 產品家族成員中將不會產生。


682 用戶從新鏈接到一個已經斷開鏈接的終端服務器會話上。   


683 用戶在沒有註銷的狀況下與終端服務器會話斷開鏈接。


[color=red]● 賬號管理事件 [/color]


624 一個用戶賬號被建立。   


627 一個用戶密碼被修改。   


628 一個用戶密碼被設置。   


630 一個用戶密碼被刪除。   


631 一個全局組被建立。   


632 一個成員被添加到特定全局組中。   


633 一個成員從特定全局組中被刪除。   


634 一個全局組被刪除。   


635 一個新的本地組被建立。   


636 一個成員被添加到本地組中。   


637 一個成員從本地組中被刪除。   


638 一個本地組被刪除。   


639 一個本地組賬號被修改。   


641 一個全局組賬號被修改。   


642 一個用戶賬號被修改。   

643 一個域策略被修改。   


644 一個用戶賬號被自動鎖定。   


645 一個計算機賬號被建立。   


646 一個計算機賬號被修改。   


647 一個計算機賬號被刪除。   


648 一個禁用安全特性的本地安全組被建立。說明：正式名稱中的 security_disabled 意味着這個組沒法用於在訪問檢查中授予權限。   


649 一個禁用安全特性的本地安全組被修改。   


650 一個成員被添加到一個禁用安全特性的本地安全組中。   


651 一個成員從一個禁用安全特性的本地安全組中被刪除。


652 一個禁用安全特性的本地組被刪除。   


653 一個禁用安全特性的全局組被建立。   


654 一個禁用安全特性的全局組被修改。   


655 一個成員被添加到一個禁用安全特性的全局組中。   


656 一個成員從一個禁用安全特性的全局組中被刪除。   


657 一個禁用安全特性的全局組被刪除。   


658 一個啓用安全特性的通用組被建立。   


659 一個啓用安全特性的通用組被修改。   


660 一個成員被添加到一個啓用安全特性的通用組中。   


661 一個成員從一個啓用安全特性的通用組中被刪除。   


662 一個啓用安全特性的通用組被刪除。   


663 一個禁用安全特性的通用組被建立。   


664 一個禁用安全特性的通用組被修改。   


665 一個成員被添加到一個禁用安全特性的通用組中。   


666 一個成員從一個禁用安全特性的通用組中被刪除。   


667 一個禁用安全特性的通用組被刪除。   


668 一個組類型被修改。   


684 管理組成員的安全描述符被設置。說明：在域控制器上，一個後臺線程每 60 秒將對管理組中的全部成員（如域管理員、企業管理員和架構管理員）進行一次搜索並對其應用一個通過修復的安全描述符。這種事件將被記錄下來。   


685 一個賬號名稱被修改。   [/size][/color]

[size=4][color=red]● 審覈登陸事件 [/color][/size]


[size=4][color=blue]528 用戶成功登陸到計算機上。   


529 登陸失敗：試圖使用未知用戶名或帶有錯誤密碼的已知用戶名進行登陸。   

530 登陸失敗：試圖在容許時間範圍之外進行登陸。   


531 登陸失敗：試圖經過禁用賬號進行登陸。   


532 登陸失敗：試圖經過過時賬號進行登陸。   


533 登陸失敗：試圖經過不容許在特定計算機上進行登陸的用戶賬號進行登陸。


534 登陸失敗：用戶試圖經過不容許使用的密碼類型進行登陸。   


535 登陸失敗：針對指定賬號的密碼已通過期。   


536 登陸失敗：網絡登陸服務未被激活。   


537 登陸失敗：因爲其它緣由致使登陸失敗。說明：在某些狀況下，登陸失敗緣由可能沒法肯定。   


538 針對某一用戶的註銷操做完成。   


539 登陸失敗：登陸賬號在登陸時刻已被鎖定。   


540 用戶成功登陸到網絡。   


541 本地計算機與所列對等客戶身份標識之間的主模式 internet 密鑰交換（ ike ）身份驗證操做已經完成（創建一條安全關聯），或者快速模式已經創建一條數據通道。   


542 數據通道被中斷。   


543 主模式被中斷。說明：這種事件可能在安全關聯時間限制到期（缺省值爲 8 小時）、策略修改或對等客戶中斷時發生。   

544 因爲對等客戶未能提供合法證書或簽署未經過驗證致使主模式身份驗證失敗。   


545 因爲 kerberos 失敗或密碼不合法致使主模式身份驗證失敗。


546 因爲對等客戶發送非法了非法提議， ike 安全關聯創建沒有成功。收到一個包含非法數據的數據包。


547 ike 握手過程當中發生錯誤。


548 登陸失敗：來自信任域的安全標識符（ sid ）與客戶端的賬號域 sid 不匹配。


549 登陸失敗：在跨域身份驗證過程當中，全部同非信任名稱空間相對應的 sid 均已被過濾掉。


550 可以指示可能發生拒絕服務（ dos ）***的通知消息。


551 用戶發起註銷操做。


552 用戶在已經經過其餘身份登陸的狀況下使用明確憑據成功登陸到計算機上。


682 用戶從新鏈接到一個已經斷開鏈接的終端服務器會話上。


683 用戶在沒有註銷的狀況下與終端服務器會話斷開鏈接。說明：這種事件將在用戶經過網絡與終端服務器會話創建鏈接時產生。它將出如今終端服務器上。

 

 

[size=4][color=red]● 對象訪問事件   [/color][/size]


[color=blue][size=4]560 訪問由一個已經存在的對象提供受權。


562 一個對象訪問句柄被關閉。


563 試圖打開並刪除一個對象。說明：當您在 createfile() 函數中指定 file_delete_on_close 標誌時，這種事件將被文件系統所使用。


564 一個保護對象被刪除。


565 訪問由一種已經存在的對象類型提供受權。


567 一種與句柄相關聯的權限被使用。說明：一個授予特定權限（讀取、寫入等）的句柄被建立。當使用這個句柄時，至多針對所用到的每種權限