什么是端口(在网络技术中，什么是端口)

什么是港口？

港口概念

在网络技术中，Port大致有两层含义:一是物理意义上的端口，如ADSL Modem、集线器、交换机和路由器等用于连接其他网络设备的接口，如RJ-45端口、SC端口等。第二个是逻辑端口，一般指的是TCP/IP协议中的端口。端口号的范围从0到65535，比如浏览web服务的端口80，FTP服务的端口21等等。我们这里要介绍的是逻辑端口。

查看端口

要查看Windows 2000/XP/Server 2003中的端口，可以使用Netstat命令:

依次点击“开始→运行”，输入“cmd”并进入，打开命令提示窗口。在命令提示符下键入“netstat -a -n”，然后按回车键，以数字形式查看TCP和UDP连接的端口号和状态。

关闭/打开端口

在介绍各种端口的功能之前，先来看看Windows中如何关闭/打开端口，因为默认情况下，有很多不安全或无用的端口是打开的，比如Telnet服务的端口23、FTP服务的端口21、SMTP服务的端口25、RPC服务的端口135等等。为了保证系统的安全性，我们可以通过以下方法关闭/打开端口。

关闭端口

例如，要关闭Windows 2000/XP中SMTP服务的端口25，可以这样做:首先打开控制面板，双击管理工具，然后双击服务。然后在打开的服务窗口中找到并双击简单邮件传输协议(SMTP)服务，单击停止按钮停止服务，然后在启动类型中选择禁用，最后单击确定按钮。这样，关闭SMTP服务相当于关闭相应的端口。

港口

如果要打开端口，只需在“启动类型”中选择“自动”，点击“确定”按钮，然后打开服务，在“服务状态”中点击“启动”按钮启用端口，最后点击“确定”按钮。

提示:Windows 98中没有“服务”选项。您可以使用防火墙的规则设置功能来关闭/打开端口。

港口分类

逻辑端口有许多分类标准，下面将介绍两种常见的分类:

1.除以端口号分布

(1)知名港口

众所周知的端口是众所周知的端口号，范围从0到1023。这些端口号通常分配给某些服务。例如，端口21分配给FTP服务，端口25分配给SMTP(简单邮件传输协议)服务，端口80分配给HTTP服务，端口135分配给RPC(远程过程调用)服务等等。

(2)动态端口

动态端口的范围从1024到65535，这些端口号并不总是分配给某个服务，这意味着许多服务可以使用这些端口。只要正在运行的程序向系统申请访问网络，系统就可以分配这些端口号之一供程序使用。例如，端口1024被分配给系统的第一应用程序。关闭程序进程后，占用的端口号将被释放。

但是动态端口经常被病毒木马使用，比如冰川7626，WAY 2.4 8011，Netspy 3.0 7306，YAI病毒1024。

2.根据协议的类型

根据协议类型，它可以分为TCP、UDP、IP和ICMP(互联网控制消息协议)端口。下面主要介绍TCP和UDP端口:

(1)TCP端口

TCP端口，即传输控制协议端口，需要在客户端和服务器之间建立连接，可以提供可靠的数据传输。常见的有FTP服务的端口21、Telnet服务的端口23、SMTP服务的端口25、HTTP服务的端口80等等。

(2)UDP端口

UDP端口，即用户包协议端口，不需要在客户端和服务器之间建立连接，其安全性无法保证。常见的有DNS服务的53端口，SNMP(简单网络管理协议)服务的161端口，QQ使用的8000和4000端口等等。

公共网络端口

网络基础知识！端口比较

端口:0

服务:保留

描述:通常用于分析操作系统。此方法之所以有效，是因为“0”在某些系统中是无效端口，当您尝试将其与通常关闭的端口连接时，会产生不同的结果。典型的扫描，使用0.0.0.0的IP地址，设置确认位并在以太网层广播。

端口:1

服务:tcpmux

说明:这说明有人在找SGI Irix机器。Irix是实现tcpmux的主要提供者，TCP mux默认在这个系统中打开。Irix机器包含几个没有密码的默认账号，如IP、GUEST UUCP、NUUCP、DEMOS、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此，HACKER在INTERNET上搜索tcpmux并使用这些帐户。

港口:7

服务:回声

说明:在很多人搜索Fraggle功放的时候，可以看到发送到X.X.X.0和X.X.X.255的信息。

港口:19

服务:字符生成器

描述:这是一个只发送字符的服务。接收到UDP数据包后，UDP版本将响应包含垃圾字符的数据包。当TCP连接时，它会发送一个包含垃圾字符的数据流，直到连接关闭。HACKER可以通过使用IP欺骗来发起DoS攻击。在两台收费服务器之间伪造UDP数据包。类似地，Fraggle DoS攻击会向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者会因响应此数据而过载。

港口:21

服务:FTP

描述:FTP服务器打开的端口用于上传和下载。最常见的攻击者正在寻找打开匿名百特的FTP服务器的方法。这些服务器有可读和可写的目录。木马打开的端口有Doly木马、Fore、隐形FTP、WebEx、WinCrash和银翼杀手。

端口:22

服务:Ssh

说明:TCP和PcAnywhere建立的这个端口的连接可能是找ssh。这项服务有许多缺点。如果是在特定模式下配置，那么很多使用RSAREF库的版本都会有很多漏洞。

港口:23

服务:远程登录

描述:远程登录，入侵者正在搜索远程登录UNIX的服务。在大多数情况下，会扫描该端口以查找机器正在运行的操作系统。通过其他技术，入侵者也可以找到密码。特洛伊微型远程登录服务器打开这个端口。

港口:25

服务:SMTP

描述:SMTP服务器打开的用于发送邮件的端口。入侵者正在寻找发送垃圾邮件的SMTP服务器。入侵者的账户被关闭，他们需要连接到高带宽的电子邮件服务器，向不同的地址发送简单的信息。木马、邮件密码发送器、Haebu Coceda、Shtrilitz隐身、WinPC、WinSpy都开放这个端口。

港口:31

服务:消息认证

描述:木马大师乐园和黑客乐园开放此端口。

港口:42

服务:WINS复制

描述:WINS复制

港口:53

服务:域名服务器

描述:该端口由DNS服务器打开，入侵者可能试图进行TCP、欺骗DNS(UDP)或隐藏其他通信。因此，防火墙经常过滤或记录这个端口。

港口:67

服务:引导协议服务器

说明:发送到255.255.255.255广播地址的大量数据，往往是通过DSL和Cable调制解调器的防火墙看到的。这些机器正在向DHCP服务器请求地址。HACKER经常进入它们，分配一个地址，并把自己当作本地路由器来发动大量中间人攻击。客户端向端口68广播请求配置，服务器向端口67广播响应请求。此响应使用广播，因为客户端不知道可以发送的IP地址。

港口:69

服务:普通文件传输

描述:很多服务器都是和bootp一起提供这个服务的，这样可以很方便的从系统下载启动代码。但是由于配置错误，它们经常使入侵者能够从系统中窃取任何文件。它们也可以用于系统编写文件。

港口:79

服务:手指服务器

描述:入侵者用于获取用户信息、查询操作系统、检测已知的缓冲区溢出错误，以及响应从自己机器到其他机器的Finger扫描。

端口:80

服务:HTTP

描述:用于网页浏览。特洛伊木马执行器打开此端口。

港口:99

服务:元图中继

描述:后门程序ncx99打开这个端口。

端口:102

服务:消息传输代理(MTA)-400

描述:消费者最佳网络信息传输代理。

港口:109

服务:邮局协议-版本3

描述:POP3服务器打开这个端口接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。用户名和密码交换缓冲区溢出至少有20个漏洞，这意味着入侵者可以在实际登录之前进入系统。成功登录后还有其他缓冲区溢出错误。

端口:110

服务:太阳公司RPC服务的所有端口

描述:常见的RPC服务包括rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等。

港口:113

服务:身份验证服务

描述:这是一种在许多计算机上运行的协议，用于验证TCP连接的用户。使用这项标准服务可以获得许多计算机的信息。但是它可以作为许多服务的记录器，尤其是FTP、POP、IMAP、SMTP和IRC。通常，如果许多客户通过防火墙访问这些服务，他们会看到该端口的许多连接请求。请记住，如果您阻止此端口，客户端将感觉到与防火墙另一端的电子邮件服务器的连接速度很慢。许多防火墙支持在阻止TCP连接期间发送回RST。这将停止慢速连接。

港口:119

服务:网络新闻传输协议

描述:NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找一个USENET服务器。大多数互联网服务提供商限制只有他们的客户可以访问他们的新闻组服务器。打开新闻组服务器将允许张贴/阅读任何人的帖子，访问受限制的新闻组服务器，匿名张贴或发送垃圾邮件。

港口:135

服务:位置服务

说明:微软在这个端口上运行DCE RPC端点映射器作为它的DCOM服务。这与UNIX 111端口的功能非常相似。使用DCOM和RPC的服务向计算机上的端点映射器注册它们的位置。当远程客户端连接到计算机时，它们会寻找端点映射器找到服务的位置。HACKER是否正在扫描计算机的这个端口以查找在这台计算机上运行的交换服务器？什么版本？还有一些DOS攻击是针对这个端口的。

端口:137、138、139

服务:网络基本输入输出系统名称服务

说明:其中137和138是UDP端口，通过网络邻居传输文件时使用。以及端口139:通过这个端口的连接尝试获得NetBIOS/SMB服务。该协议用于windows文件和打印机共享以及SAMBA。WINS注册站也使用它。

港口:143

服务:临时邮件访问协议v2

说明:和POP3一样，很多IMAP服务器都存在缓冲区溢出漏洞。请记住:一个LINUX蠕虫(admv0rm)将通过这个端口繁殖，所以对这个端口的许多扫描来自于毫无戒心的被感染用户。当REDHAT在其LINUX发行版中默认允许IMAP时，这些漏洞变得非常流行。这个端口也用于IMAP2，但并不流行。

港口:161

服务:简单网络管理协议

描述:SNMP允许远程管理设备。所有配置和操作信息都存储在数据库中，可以通过SNMP获得。许多管理员的错误配置将暴露在互联网上。Cackers将尝试使用公共和私有的默认密码来访问系统。他们可能会尝试所有可能的组合。SNMP数据包可能被误导到用户的网络。

港口:177

服务:X显示管理器控制协议

描述:很多入侵者通过它访问X-windows控制台，需要同时打开端口6000。

港口:389

服务:LDAP、ILS

描述:轻型目录访问协议和网络会议互联网定位服务器共享此端口。

港口:443

服务:Https

描述:网页浏览端口，另一个可以通过安全端口提供加密和传输的HTTP。

港口:456

服务:[空]

描述:特洛伊黑客天堂打开这个端口。

港口:513

服务:登录，远程登录

描述:它是从使用电缆调制解调器或DSL登录到子网的UNIX计算机进行的广播。这些人提供信息让入侵者进入他们的系统。

港口:544

服务:[空]

描述:kerberos kshell

港口:548

服务:麦金塔、文件服务

描述:麦金塔，文件服务。

港口:553

服务:IIOP CORBA

描述:您将通过使用电缆调制解调器、DSL或VLAN看到该端口的广播。CORBA是一个面向对象的RPC系统。入侵者可以利用这些信息进入系统。

港口:555

服务:DSF

描述:木马1.0阶段，隐形间谍，IniKiller打开这个端口。

港口:568

服务:会员资格

说明:政治部成员。

港口:569

服务:会员MSN

说明:会员MSN。

港口:635

服务:安装

描述:Linux的挂载Bug。这是一个流行的扫描BUG。这个端口的扫描大部分是基于UDP的，但是基于TCP的mountd增加了(mountd同时运行在两个端口上)。请记住，mountd可以在任何端口上运行(它是哪个端口，您需要在端口111上进行端口映射查询)，但是Linux的默认端口是635，就像NFS通常在端口2049上运行一样。

港口:636

服务:LDAP

描述:安全套接字层

端口:666

服务:厄运识别软件

描述:木马攻击FTP和萨坦兹后门打开这个端口。

港口:993

服务:IMAP

描述:安全套接字层

端口:1001、1011

服务:[空]

描述:木马消音器和WebEx开放端口1001。特洛伊木马打开端口1011。

端口:1024

服务:保留

说明:是动态端口的开始。许多程序不关心哪个端口用于连接网络。他们要求系统为他们分配下一个空闲端口。基于此，分配从端口1024开始。这意味着对系统的第一个请求将被分配给端口1024。您可以重新启动机器，打开远程登录，然后打开一个窗口运行natstat -a，您会看到远程登录被分配了端口1024。而SQL会话也使用这个端口和5000端口。

端口:1025、1033

服务:1025:网络21点1033:[空]

描述:木马网络间谍打开这两个端口。

端口:1080

服务:袜子

描述:该协议以隧道方式通过防火墙，允许防火墙后的人通过一个IP地址访问互联网。理论上，它应该只允许内部通信到达互联网。但是由于配置错误，会让防火墙外的攻击通过防火墙。WinGate经常会犯这个错误，这在加入IRC聊天室时经常会看到。

端口:1170

服务:[空]

描述:木马流音频木马，Psyber流服务器和语音打开这个端口。

端口:1234、1243、6711、6776

服务:[空]

描述:特洛伊木马SubSeven2.0和UltorTrojan打开端口1234和6776。特洛伊木马SubVen 1.0/1.9会打开端口1243、6711和6776。

港口:1245

服务:[空]

描述:木马Vodoo打开这个端口。

港口:1433

服务:SQL

描述:微软的SQL服务是一个开放端口。

港口:1492

服务:石材-设计-1

描述:木马FTP99CMP打开最佳网络的这个端口。

端口:1500

服务:RPC客户端固定端口会话查询

描述:RPC客户端固定端口会话查询

港口:1503

服务:NetMeeting T.120

说明:NetMeeting T.120

港口:1524

服务:入口

说明:很多攻击脚本会在这个端口安装后门SHELL，尤其是针对SUN系统中Sendmail和RPC服务漏洞的攻击脚本。如果您在安装防火墙后立即看到此端口上的连接尝试，可能是上述原因。尝试远程登录到用户计算机上的这个端口，看看它是否会给你一个SHELL。连接到600/pcserver也有这个问题。