端口分三類：知名端口 (0-1023) 緊綁服務協議；登記端口 (1024-49151) 鬆綁多用途；動態/私有端口 (49152-65535) 理論不分配服務（實際常從 1024 起分配，Sun RPC 從 32768 起）。
注意：ICMP 無端口概念。 本文梳理防火牆日誌中常見 TCP/UDP 端口的攻擊意圖與特徵。
| 端口 | 服務 | 典型攻擊/掃描意圖 |
|---|---|---|
| 0 | 保留 | OS 指紋識別（嘗試連接無效端口觀察回應差異）；廣播 ACK 掃描 |
| 1 | tcpmux | 鎖定 SGI Irix（默認開啟 tcpmux + 多個無密碼預設帳號 lp/guest/uucp 等） |
| 7 | Echo | Fraggle 放大器搜尋（針對 x.x.x.0/255）；Echo Loop DoS；DoubleClick/Resonate 合法連接 |
| 11 | systat | 列出所有進程/啟動源，情報收集（類 UNIX ps） |
| 19 | chargen | 字符發生器，配合 IP 欺騙發動 Chargen/Echo 反射放大 DoS |
| 21 | FTP | 尋找匿名讀寫目錄，作為 Warez/色情資源分發節點 |
| 22 | SSH | 尋找弱配置/舊版 RSAREF 漏洞；pcAnywhere 掃描 (UDP 5632=0x1600 位交換後 22) |
| 23 | Telnet | 遠程登入服務枚舉、OS 指紋、暴力破解密碼 |
| 25 | SMTP | 垃圾郵件中繼、Sendmail 漏洞利用（必暴露於公網、路由複雜=弱點） |
| 53 | DNS | 區域傳遞 (TCP)、DNS 欺騙 (UDP)、隱蔽通道；UDP 53 作為源端口穿透鬆散防火牆 |
| 67/68 | DHCP | 偽造 DHCP 服務器發動中間人攻擊；客戶端廣播請求 (68)、服務器廣播回應 (67) |
| 69 | TFTP | 錯誤配置導致任意文件讀/寫（密碼文件、啟動代碼） |
| 79 | Finger | 用戶信息枚舉、OS 探測、緩衝區溢位探測 |
| 98 | linuxconf | Web 管理介面 (HTTP)，多安全問題：setuid root、信任內網、/tmp 建立可訪問文件、LANG 環境變量溢位 |
| 109/110 | POP2/POP3 | 郵件訪問，20+ 緩衝區溢位漏洞（登入前/後均可利用） |
| 111 | SunRPC | Portmapper 枚舉 RPC 服務 (mountd/NFS/statd/ttybd/amd) → 針對性攻擊特定端口 |
| 113 | Ident | 鑒別 TCP 連接用戶，洩露用戶信息；但為 FTP/POP/IMAP/SMTP/IRC 日誌所需，阻斷致郵件延遲（防火牆回 RST 緩解） |
| 119 | NNTP | Usenet 新聞組，開放則允許匿名發帖/垃圾郵件/訪問受限組 |
| 135 | MS RPC | DCOM 端點映射器，枚舉 Exchange 版本等服務；直接 DoS 攻擊目標 |
| 137 | NetBIOS-NS | 名稱服務 (UDP)，防火牆日誌最常見，需單獨專題分析 |
| 139 | NetBIOS-SSN | 文件/打印共享 (SMB)，Internet 共享硬碟最常見問題；VBS/IE5 腳本傳播 |
| 143 | IMAP | 緩衝區溢位 (登入過程)；admw0rm 蠕蟲傳播端口；RedHat 默認開啟致流行 |
| 161 | SNMP | 默認社區字串 public/private 可遠程讀寫配置、關閉設備、洩露拓撲 |
讀懂端口語言，才能聽懂網絡在說什麼。