我爱电脑技术论坛 » 电脑综合区 » 计算机网络知识扫盲七、端口分配表(一）

tianshiren 发表于 2008-6-22 14:12

计算机网络知识扫盲七、端口分配表(一）

七、端口分配表 2rm+?@9z]u8T
h4@5pK#m,_
端口：0
,U(OK&A q_%O] 服务：Reserved
mrR^/Og 说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。
qm3C*|kh 端口：1 4i6Wn7I;zja)b
服务：tcpmux
n'Ca
M-?d 说明：这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐户。 7K
Z'wj*jl1]6X
端口：7
:F[&hPZ~7cE(t2t 服务：Echo ?F7K0d)D
说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。
7X?*umL o,s{ 端口：19 w VShpso
服务：Character Generator pfMmGJy#|
说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
't+Eu7OVSE7\0] 端口：21
!w!m(u\/A:p"Y 服务：FTP f6o6m:{
xI,i6fd
说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。
}jDb(fi S OO#A 端口：22
5p
k eB`Sb/r 服务：Ssh
ff&H3o+h 说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
0E3`sto }zC 端口：23
/m]~.I-c 服务：Telnet k#Db|!BS
说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。
s&Q+XT&^k:F2|a 端口：25
DOXFd#t 服务：SMTP `@0g`yi
说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。
a4A?g/K{c+N;J @2`!Q_J
端口：31
{|4H5Ot 服务：MSG Authentication
H+@Q7?oEa6jX 说明：木马Master Paradise、Hackers Paradise开放此端口。
8u G}
Kg{;~&G 端口：42
;RA]@u s 服务：WINS Replication (iB7aQ8S1n3R
说明：WINS复制 'L? bMT M;f_
端口：53
qI%p8kyr 服务：Domain Name Server（DNS） F.zf$Y(gb
说明：DNS服务器所开放的端口，入侵者可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其他的通信。因此防火墙常常过滤或记录此端口。
;M+x+REJ0l 端口：67
*ciU~.Z? 服务：Bootstrap Protocol Server
3r.S1xyc].mi 说明：通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。HACKER常进入它们，分配一个地址把自己作为局部路由器而发起大量中间人（man-in-middle）攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。
1L6Zot)^7bl 端口：69 dH2?|'DJea@
服务：Trival File Transfer | @2O`+]!R
说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。
m:fo+is?9tr:Y
G 端口：79
d8ho
OJ N*SN1t'p 服务：Finger Server tX9{zx
说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。 {b2K7R&X~D}pU!t
端口：80
b!MGX6d9e 服务：HTTP b.^a8X6kC:nuR X
说明：用于网页浏览。木马Executor开放此端口。 4qW })CC
端口：99
vKv7mh.L
jJ6H[ 服务：Metagram Relay
{by\3g/j(t_M\ 说明：后门程序ncx99开放此端口。 UMU1i1q#b
端口：102 3Bl_ N4]u+Qi
服务：Message transfer agent(MTA)-X.400 over TCP/IP p [(nq)pYZb0\
说明：消息传输代理。 .T1a6]qrbS
端口：109
,x ^v@$m:f 服务：Post Office Protocol -Version3 5S ]1d%Pz M4~
说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。 _%{)_"h,{/X&K
端口：110 7MS2M+Bq
服务：SUN公司的RPC服务所有端口 ?$}RLjB
说明：常见RPC服务有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等 "{W ux4Fj oN
端口：113
} a8}n#T
SWZ/r!S 服务：Authentication Service
"Bmnqzc&k 说明：这是一个许多计算机上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多计算机的信息。但是它可作为许多服务的记录器，尤其是FTP、POP、IMAP、SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，将会看到许多这个端口的连接请求。记住，如果阻断这个端口客户端会感觉到在防火墙另一边与E-MAIL服务器的缓慢连接。许多防火墙支持TCP连接的阻断过程中发回RST。这将会停止缓慢的连接。
O"N/wG {h@ 端口：119 ,u"uqm!wAN
]]
服务：Network News Transfer Protocol 6`3e7~m!y5^-y
说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。
)S:H'{Zo2{5Xz8c 端口：135 6^&U _MppjQa
服务：Location Service ,b+O f"B+g
eZZYc
说明：Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS攻击直接针对这个端口。
u1s8{"dd3LO 端口：137、138、139
"T%~!gPK`#l2Y(G 服务：NETBIOS Name Service
St*~O"L 说明：其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口：通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。
0u"NT5Wfo6p{1]O 端口：143
R/F j"c)gK `Wo
D 服务：Interim Mail Access Protocol v2 /L{bk9M.HAV g
说明：和POP3的安全问题一样，许多IMAP服务器存在有缓冲区溢出漏洞。记住：一种LINUX蠕虫（admv0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认允许IMAP后，这些漏洞变的很流行。这一端口还被用于IMAP2，但并不流行。
o*u.o5yPkl 端口：161
x)a9U?d7P2t 服务：SNMP
J_.D7c `E#Dv7Bn 说明：SNMP允许远程管理设备。所有配置和运行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络。 R;_av#?4n7A
端口：177 8|U;O&uO%Y0e
服务：X Display Manager Control Protocol CxJX'M!w){4?,gQ
说明：许多入侵者通过它访问X-windows操作台，它同时需要打开6000端口。 )}4~XwT i`O%hLo
端口：389
de B$Kadd 服务：LDAP、ILS
$M*Z*^"kG3ZJ.dD"z 说明：轻型目录访问协议和NetMeeting Internet Locator Server共用这一端口。
O$P,J,iL s?0a Q 端口：443
i$I5\&g
`aaY 服务：Https
fgu#k0Ct(bg[,WU 说明：网页浏览端口，能提供加密和通过安全端口传输的另一种HTTP。
$dXD+K^Y(z g 端口：456
adZ5q}+E 服务：[NULL]
k0]:a;P8a1?2jb 说明：木马HACKERS PARADISE开放此端口。
1~7D:Y Ku[ 端口：513 5k:eT4D*l+j)R
服务：Login,remote login
~G{[-x5Am
说明：是从使用cable modem或DSL登陆到子网中的UNIX计算机发出的广播。这些人为入侵者进入他们的系统提供了信息。
?3K{1F^"R_
端口：544 1C
C)eED
G7V;i
服务：[NULL]
H(N#V9rZO l*t:o
j9C 说明：kerberos kshell
(T0}%Lb1^.x#_+Qx~ 端口：548
8Ca%\:x5?-x!W 服务：Macintosh,File Services(AFP/IP) ;g^"`_9TO
a~*V
说明：Macintosh,文件服务。
}ER
_`D 端口：553 :XHUR7B-D#|
服务：CORBA IIOP （UDP） )~4p9`_"J
说明：使用cable modem、DSL或VLAN将会看到这个端口的广播。CORBA是一种面向对象的RPC系统。入侵者可以利用这些信息进入系统。
|,kgw W!|d(LU 端口：555
@5j4},h*h}2_g Ce 服务：DSF
E5V?4xfS 说明：木马PhAse1.0、Stealth Spy、IniKiller开放此端口。
.P/wS }/s EtFG 端口：568 4i#Jc]k9^3}
s5}.uo
服务：Membership DPA
+t*WD&Qa \X R 说明：成员资格 DPA。
K Sx`.MQ$d4^ 端口：569 j${PZ9w K pt;Ho
服务：Membership MSN
ml3b:]3H2f 说明：成员资格 MSN。
"He*Pw%oQ"kz*s 端口：635 0`Ips4J
服务：mountd KsWa7tX;lY
说明：Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个端口的扫描是基于UDP的，但是基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住mountd可运行于任何端口（到底是哪个端口，需要在端口111做portmap查询），只是Linux默认端口是635，就像NFS通常运行于2049端口。 ZK-Un1Bp)f#\S
端口：636 %g]!e [B{
服务：LDAP ux2H c*T
说明：SSL（Secure Sockets layer） \"~/^2a;um3zq5y
端口：666
y-YmRk7N%m"p0d 服务：Doom Id Software fuU:vf$I/_v
说明：木马Attack FTP、Satanz Backdoor开放此端口 B;U6I*CrZt6W
端口：993 %p*UA }]*e
服务：IMAP .@+R.AKn
说明：SSL（Secure Sockets layer） -|#\`)li\-w
端口：1001、1011
Y{N{j~
[ 服务：[NULL] /J{ SY
Z"phR+?
说明：木马Silencer、WebEx开放1001端口。木马Doly Trojan开放1011端口。
4n4U7C4a#k6?y7x 端口：1024
V"bf6L].q?a 服务：Reserved 1IC!k7kuD
说明：它是动态端口的开始，许多程序并不在乎用哪个端口连接网络，它们请求系统为它们分配下一个闲置端口。基于这一点分配从端口1024开始。这就是说第一个向系统发出请求的会分配到1024端口。你可以重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024端口。还有SQL session也用此端口和5000端口。 *QY X k*G,~pE
端口：1025、1033 L\_v-z?9yvs
服务：1025：network blackjack 1033：[NULL]
2V gO({4O.}-H 说明：木马netspy开放这2个端口。 B~K3P TvX%Cm
端口：1080
:QFr H;i.Zp$I(_ 服务：SOCKS #J Y&Q5uHo9v`BI
说明：这一协议以通道方式穿过防火墙，允许防火墙后面的人通过一个IP地址访问INTERNET。理论上它应该只允许内部的通信向外到达INTERNET。但是由于错误的配置，它会允许位于防火墙外部的攻击穿过防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种情况。 i9p+s3~I%O4TLd;dR
端口：1170
'r"\'W WvQ;N9PkA 服务：[NULL] Qx6A#H/rG
说明：木马Streaming Audio Trojan、Psyber Stream Server、Voice开放此端口。
%TSu*E3X{ x ^9L 端口：1234、1243、6711、6776
vE:uR_6rQ7fZ 服务：[NULL]
[#y&h+lH 说明：木马SubSeven2.0、Ultors Trojan开放1234、6776端口。木马SubSeven1.0/1.9开放1243、6711、6776端口。
P:tH)F'd.I"xJ)lBW 端口：1245
[@$B"p(O0N"ve 服务：[NULL]

},I5eI,S
Nbw 说明：木马Vodoo开放此端口。 E,e1KD7s `f5i
端口：1433
(x3iup#c!C 服务：SQL
.CB*Y [m^9I(`mh 说明：Microsoft的SQL服务开放的端口。
6VeRT U9D2k 端口：1492
$K\%DO.r
^i 服务：stone-design-1 Xj%@M-VGNzI
说明：木马FTP99CMP开放此端口。 !gH#t8^:wvm
端口：1500
l3V^'E^6hv~ 服务：RPC client fixed port session queries (M
DcE/N0D1iZ
说明：RPC客户固定端口会话查询
Ey-P2dg"~ 端口：1503 LxA:y0J,}6Nj,])A:A8R1u
服务：NetMeeting T.120
DX4f(` VUXE7r;B5Iu 说明：NetMeeting T.120
Z+d V,r?4yB i4m#x^k
端口：1524
w\7s"z9L VK 服务：ingress
BxLz"u3D-} 说明：许多攻击脚本将安装一个后门SHELL于这个端口，尤其是针对SUN系统中Sendmail和RPC服务漏洞的脚本。如果刚安装了防火墙就看到在这个端口上的连接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个SHELL。连接到600/pcserver也存在这个问题。

查看完整版本: 计算机网络知识扫盲七、端口分配表(一）