『壹』 我想知道關於埠的方面的知識，比如FTP用的埠是21.如何開放更多的埠呀。如何分配它們。。
開啟相應的服務就可以打開相應的埠比如你在自己的機器上面配置了iis伺服器那麼他的80埠就相應打開了！
在網路技術中，埠（Port）大致有兩種意思：一是物理意義上的埠，比如，ADSL Modem、集線器、交換機、路由器用於連接其他網路設備的介面，如RJ-45埠、SC埠等等。二是邏輯意義上的埠，一般是指TCP/IP協議中的埠，埠號的范圍從0到65535，比如用於瀏覽網頁服務的80埠，用於FTP服務的21埠等等。我們這里將要介紹的就是邏輯意義上的埠。
查看埠
在Windows 2000/XP/Server 2003中要查看埠，可以使用Netstat命令：
依次點擊「開始→運行」，鍵入「cmd」並回車，打開命令提示符窗口。在命令提示符狀態下鍵入「netstat -a -n」，按下回車鍵後就可以看到以數字形式顯示的TCP和UDP連接的埠號及狀態。
關閉/開啟埠
在介紹各種埠的作用前，這里先介紹一下在Windows中如何關閉/打開埠，因為默認的情況下，有很多不安全的或沒有什麼用的埠是開啟的，比如Telnet服務的23埠、FTP服務的21埠、SMTP服務的25埠、RPC服務的135埠等等。為了保證系統的安全性，我們可以通過下面的方法來關閉/開啟埠。
關閉埠
比如在Windows 2000/XP中關閉SMTP服務的25埠，可以這樣做：首先打開「控制面板」，雙擊「管理工具」，再雙擊「服務」。接著在打開的服務窗口中找到並雙擊「Simple Mail Transfer Protocol （SMTP）」服務，單擊「停止」按鈕來停止該服務，然後在「啟動類型」中選擇「已禁用」，最後單擊「確定」按鈕即可。這樣，關閉了SMTP服務就相當於關閉了對應的埠。
開啟埠
如果要開啟該埠只要先在「啟動類型」選擇「自動」，單擊「確定」按鈕，再打開該服務，在「服務狀態」中單擊「啟動」按鈕即可啟用該埠，最後，單擊「確定」按鈕即可。
提示：在Windows 98中沒有「服務」選項，你可以使用防火牆的規則設置功能來關閉/開啟埠。
埠分類
邏輯意義上的埠有多種分類標准，下面將介紹兩種常見的分類：
1. 按埠號分布劃分
（1）知名埠（Well-Known Ports）
知名埠即眾所周知的埠號，范圍從0到1023，這些埠號一般固定分配給一些服務。比如21埠分配給FTP服務，25埠分配給SMTP（簡單郵件傳輸協議）服務，80埠分配給HTTP服務，135埠分配給RPC（遠程過程調用）服務等等。
（2）動態埠（Dynamic Ports）
動態埠的范圍從1024到65535，這些埠號一般不固定分配給某個服務，也就是說許多服務都可以使用這些埠。只要運行的程序向系統提出訪問網路的申請，那麼系統就可以從這些埠號中分配一個供該程序使用。比如1024埠就是分配給第一個向系統發出申請的程序。在關閉程序進程後，就會釋放所佔用的埠號。
不過，動態埠也常常被病毒木馬程序所利用，如冰河默認連接埠是7626、WAY 2.4是8011、Netspy 3.0是7306、YAI病毒是1024等等。
2. 按協議類型劃分
按協議類型劃分，可以分為TCP、UDP、IP和ICMP（Internet控制消息協議）等埠。下面主要介紹TCP和UDP埠：
（1）TCP埠
TCP埠，即傳輸控制協議埠，需要在客戶端和伺服器之間建立連接，這樣可以提供可靠的數據傳輸。常見的包括FTP服務的21埠，Telnet服務的23埠，SMTP服務的25埠，以及HTTP服務的80埠等等。
（2）UDP埠
UDP埠，即用戶數據包協議埠，無需在客戶端和伺服器之間建立連接，安全性得不到保障。常見的有DNS服務的53埠，SNMP（簡單網路管理協議）服務的161埠，QQ使用的8000和4000埠等等。
常見網路埠
網路基礎知識!埠對照
埠：0
服務：Reserved
說明：通常用於分析操作系統。這一方法能夠工作是因為在一些系統中「0」是無效埠，當你試圖使用通常的閉合埠連接它時將產生不同的結果。一種典型的掃描，使用IP地址為0.0.0.0，設置ACK位並在乙太網層廣播。
埠：1
服務：tcpmux
說明：這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者，默認情況下tcpmux在這種系統中被打開。Irix機器在發布是含有幾個默認的無密碼的帳戶，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。許多管理員在安裝後忘記刪除這些帳戶。因此HACKER在INTERNET上搜索tcpmux並利用這些帳戶。
埠：7
服務：Echo
說明：能看到許多人搜索Fraggle放大器時，發送到X.X.X.0和X.X.X.255的信息。
埠：19
服務：Character Generator
說明：這是一種僅僅發送字元的服務。UDP版本將會在收到UDP包後回應含有垃圾字元的包。TCP連接時會發送含有垃圾字元的數據流直到連接關閉。HACKER利用IP欺騙可以發動DoS攻擊。偽造兩個chargen伺服器之間的UDP包。同樣Fraggle DoS攻擊向目標地址的這個埠廣播一個帶有偽造受害者IP的數據包，受害者為了回應這些數據而過載。
埠：21
服務：FTP
說明：FTP伺服器所開放的埠，用於上傳、下載。最常見的攻擊者用於尋找打開anonymous的FTP伺服器的方法。這些伺服器帶有可讀寫的目錄。木馬Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所開放的埠。
埠：22
服務：Ssh
說明：PcAnywhere建立的TCP和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點，如果配置成特定的模式，許多使用RSAREF庫的版本就會有不少的漏洞存在。
埠：23
服務：Telnet
說明：遠程登錄，入侵者在搜索遠程登錄UNIX的服務。大多數情況下掃描這一埠是為了找到機器運行的操作系統。還有使用其他技術，入侵者也會找到密碼。木馬Tiny Telnet Server就開放這個埠。
埠：25
服務：SMTP
說明：SMTP伺服器所開放的埠，用於發送郵件。入侵者尋找SMTP伺服器是為了傳遞他們的SPAM。入侵者的帳戶被關閉，他們需要連接到高帶寬的E-MAIL伺服器上，將簡單的信息傳遞到不同的地址。木馬Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都開放這個埠。
埠：31
服務：MSG Authentication
說明：木馬Master Paradise、Hackers Paradise開放此埠。
埠：42
服務：WINS Replication
說明：WINS復制
埠：53
服務：Domain Name Server（DNS）
說明：DNS伺服器所開放的埠，入侵者可能是試圖進行區域傳遞（TCP），欺騙DNS（UDP）或隱藏其他的通信。因此防火牆常常過濾或記錄此埠。
埠：67
服務：Bootstrap Protocol Server
說明：通過DSL和Cable modem的防火牆常會看見大量發送到廣播地址255.255.255.255的數據。這些機器在向DHCP伺服器請求一個地址。HACKER常進入它們，分配一個地址把自己作為局部路由器而發起大量中間人（man-in-middle）攻擊。客戶端向68埠廣播請求配置，伺服器向67埠廣播回應請求。這種回應使用廣播是因為客戶端還不知道可以發送的IP地址。
埠：69
服務：Trival File Transfer
說明：許多伺服器與bootp一起提供這項服務，便於從系統下載啟動代碼。但是它們常常由於錯誤配置而使入侵者能從系統中竊取任何 文件。它們也可用於系統寫入文件。
埠：79
服務：Finger Server
說明：入侵者用於獲得用戶信息，查詢操作系統，探測已知的緩沖區溢出錯誤，回應從自己機器到其他機器Finger掃描。
埠：80
服務：HTTP
說明：用於網頁瀏覽。木馬Executor開放此埠。
埠：99
服務：Metagram Relay
說明：後門程序ncx99開放此埠。
埠：102
服務：Message transfer agent(MTA)-X.400 over TCP/IP
說明：消息傳輸代理。
埠：109
服務：Post Office Protocol -Version3
說明：POP3伺服器開放此埠，用於接收郵件，客戶端訪問伺服器端的郵件服務。POP3服務有許多公認的弱點。關於用戶名和密碼交 換緩沖區溢出的弱點至少有20個，這意味著入侵者可以在真正登陸前進入系統。成功登陸後還有其他緩沖區溢出錯誤。
埠：110
服務：SUN公司的RPC服務所有埠
說明：常見RPC服務有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等
埠：113
服務：Authentication Service
說明：這是一個許多計算機上運行的協議，用於鑒別TCP連接的用戶。使用標準的這種服務可以獲得許多計算機的信息。但是它可作為許多服務的記錄器，尤其是FTP、POP、IMAP、SMTP和IRC等服務。通常如果有許多客戶通過防火牆訪問這些服務，將會看到許多這個埠的連接請求。記住，如果阻斷這個埠客戶端會感覺到在防火牆另一邊與E-MAIL伺服器的緩慢連接。許多防火牆支持TCP連接的阻斷過程中發回RST。這將會停止緩慢的連接。
埠：119
服務：Network News Transfer Protocol
說明：NEWS新聞組傳輸協議，承載USENET通信。這個埠的連接通常是人們在尋找USENET伺服器。多數ISP限制，只有他們的客戶才能訪問他們的新聞組伺服器。打開新聞組伺服器將允許發/讀任何人的帖子，訪問被限制的新聞組伺服器，匿名發帖或發送SPAM。
埠：135
服務：Location Service
說明：Microsoft在這個埠運行DCE RPC end-point mapper為它的DCOM服務。這與UNIX 111埠的功能很相似。使用DCOM和RPC的服務利用計算機上的end-point mapper注冊它們的位置。遠端客戶連接到計算機時，它們查找end-point mapper找到服務的位置。HACKER掃描計算機的這個埠是為了找到這個計算機上運行Exchange Server嗎？什麼版本？還有些DOS攻擊直接針對這個埠。
埠：137、138、139
服務：NETBIOS Name Service
說明：其中137、138是UDP埠，當通過網上鄰居傳輸文件時用這個埠。而139埠：通過這個埠進入的連接試圖獲得NetBIOS/SMB服務。這個協議被用於windows文件和列印機共享和SAMBA。還有WINS Regisrtation也用它。
埠：143
服務：Interim Mail Access Protocol v2
說明：和POP3的安全問題一樣，許多IMAP伺服器存在有緩沖區溢出漏洞。記住：一種LINUX蠕蟲（admv0rm）會通過這個埠繁殖，因此許多這個埠的掃描來自不知情的已經被感染的用戶。當REDHAT在他們的LINUX發布版本中默認允許IMAP後，這些漏洞變的很流行。這一埠還被用於IMAP2，但並不流行。
埠：161
服務：SNMP
說明：SNMP允許遠程管理設備。所有配置和運行信息的儲存在資料庫中，通過SNMP可獲得這些信息。許多管理員的錯誤配置將被暴露在Internet。Cackers將試圖使用默認的密碼public、private訪問系統。他們可能會試驗所有可能的組合。SNMP包可能會被錯誤的指向用戶的網路。
埠：177
服務：X Display Manager Control Protocol
說明：許多入侵者通過它訪問X-windows操作台，它同時需要打開6000埠。
埠：389
服務：LDAP、ILS
說明：輕型目錄訪問協議和NetMeeting Internet Locator Server共用這一埠。
埠：443
服務：Https
說明：網頁瀏覽埠，能提供加密和通過安全埠傳輸的另一種HTTP。
埠：456
服務：[NULL]
說明：木馬HACKERS PARADISE開放此埠。
埠：513
服務：Login,remote login
說明：是從使用cable modem或DSL登陸到子網中的UNIX計算機發出的廣播。這些人為入侵者進入他們的系統提供了信息。
埠：544
服務：[NULL]
說明：kerberos kshell
埠：548
服務：Macintosh,File Services(AFP/IP)
說明：Macintosh,文件服務。
埠：553
服務：CORBA IIOP （UDP）
說明：使用cable modem、DSL或VLAN將會看到這個埠的廣播。CORBA是一種面向對象的RPC系統。入侵者可以利用這些信息進入系統。
埠：555
服務：DSF
說明：木馬PhAse1.0、Stealth Spy、IniKiller開放此埠。
埠：568
服務：Membership DPA
說明：成員資格 DPA。
埠：569
服務：Membership MSN
說明：成員資格 MSN。
埠：635
服務：mountd
說明：Linux的mountd Bug。這是掃描的一個流行BUG。大多數對這個埠的掃描是基於UDP的，但是基於TCP的mountd有所增加（mountd同時運行於兩個埠）。記住mountd可運行於任何埠（到底是哪個埠，需要在埠111做portmap查詢），只是Linux默認埠是635，就像NFS通常運行於2049埠。
埠：636
服務：LDAP
說明：SSL（Secure Sockets layer）
埠：666
服務：Doom Id Software
說明：木馬Attack FTP、Satanz Backdoor開放此埠
埠：993
服務：IMAP
說明：SSL（Secure Sockets layer）
埠：1001、1011
服務：[NULL]
說明：木馬Silencer、WebEx開放1001埠。木馬Doly Trojan開放1011埠。
埠：1024
服務：Reserved
說明：它是動態埠的開始，許多程序並不在乎用哪個埠連接網路，它們請求系統為它們分配下一個閑置埠。基於這一點分配從埠1024開始。這就是說第一個向系統發出請求的會分配到1024埠。你可以重啟機器，打開Telnet，再打開一個窗口運行natstat -a 將會看到Telnet被分配1024埠。還有SQL session也用此埠和5000埠。
埠：1025、1033
服務：1025：network blackjack 1033：[NULL]
說明：木馬netspy開放這2個埠。
埠：1080
服務：SOCKS
說明：這一協議以通道方式穿過防火牆，允許防火牆後面的人通過一個IP地址訪問INTERNET。理論上它應該只允許內部的通信向外到達INTERNET。但是由於錯誤的配置，它會允許位於防火牆外部的攻擊穿過防火牆。WinGate常會發生這種錯誤，在加入IRC聊天室時常會看到這種情況。
埠：1170
服務：[NULL]
說明：木馬Streaming Audio Trojan、Psyber Stream Server、Voice開放此埠。
埠：1234、1243、6711、6776
服務：[NULL]
說明：木馬SubSeven2.0、Ultors Trojan開放1234、6776埠。木馬SubSeven1.0/1.9開放1243、6711、6776埠。
埠：1245
服務：[NULL]
說明：木馬Vodoo開放此埠。
埠：1433
服務：SQL
說明：Microsoft的SQL服務開放的埠。
埠：1492
服務：stone-design-1
說明：木馬FTP99CMP開放此埠。
埠：1500
服務：RPC client fixed port session queries
說明：RPC客戶固定埠會話查詢
埠：1503
服務：NetMeeting T.120
說明：NetMeeting T.120
埠：1524
服務：ingress
說明：許多攻擊腳本將安裝一個後門SHELL於這個埠，尤其是針對SUN系統中Sendmail和RPC服務漏洞的腳本。如果剛安裝了防火牆就看到在這個埠上的連接企圖，很可能是上述原因。可以試試Telnet到用戶的計算機上的這個埠，看看它是否會給你一個SHELL。連接到600/pcserver也存在這個問題。
『貳』 中間人攻擊的代理伺服器
不再可靠的代理伺服器
代理伺服器（ProxyServer）的存在已經是很長久的事實了，而且由最初的幾個基於TCP/IP協議的代理軟體如HTTP、SMTP、POP3和FTP等發展到SSL、SOCK4/5以及其他未知的代理類型，可謂給一些特殊用途者提供了極大的方便。例如，通過代理跨過某些伺服器的IP屏蔽，從而瀏覽到本來不能看到的信息；或者害怕自己IP暴露被對方入侵而尋找層層代理把自己包裹起來；還有些是因為系統不支持Internet共享而被迫採用代理軟體來讓內部網路的計算機能正常連接Internet……此外還有許多原因，讓各種代理伺服器經久不衰。
代理伺服器相當於一個透明的數據通道，它根據客戶發來的「要求連接某計算機」的請求數據，進而用自己本身作為原客戶機器去連接目標計算機，在目標計算機返回數據後，再發送給原客戶，這時目標計算機獲取到的是代理伺服器的IP，而不是原客戶IP，從而實現突破IP屏蔽或者讓對方無法獲取你的真實IP。
簡單舉個HTTP代理伺服器工作的原理：IE發送一個包含目標URL的HTTP請求，代理伺服器接收並析出HTTP報文里的目標URL和相關參數，然後把這個URL作為一次標準的HTTP連接過程與目標網站連接，獲取目標網站返回的數據後緩沖到代理伺服器的硬碟上，再把這些數據返回給客戶端。
請求連接目標URL------>連接目標伺服器------->
客戶端-------------------------代理伺服器------------------------目標伺服器
<-----返回數據----(緩沖)<-------------返回數據
其它協議的代理工作模式也都差不多，代理伺服器充當了一個數據轉向的工作站，相當於一個專門負責數據轉發的「勤勞工人」。
代理伺服器的工作模式，正是典型的「中間人攻擊」模型。代理伺服器在其中充當了一個「中間人」的角色，通訊雙方計算機的數據都要通過它。因此，「代理伺服器進行的『中間人攻擊』」逐步成為現實，相對於其他「中間人攻擊」方法，這種利用代理伺服器暗渡陳倉的做法簡直天衣無縫，攻擊者可以自己寫一個帶有數據記錄功能的代理服務程序，放到任意一台穩定的肉雞甚至直接在自己機器上，然後通過一些社會工程學手段讓受害者使用這個做了手腳的「代理伺服器」，便可守株待兔了。這種方法最讓人不設防，因為它利用的是人們對代理的無條件信任和貪便宜的想法，使得一個又一個「兔子」自動撞了上來，在享受這頓似乎美味的「胡蘿卜」的同時卻不知道安全正在逐漸遠離自己。
如果製作這個代理伺服器的攻擊者僅限於窺探數據，那麼受害者的損失可能還能估量，但是如果攻擊者在目標伺服器返回的數據里加入一個帶有木馬程序的數據呢。例如在HTTP代理返回的HTML報文里加入一個MIME攻擊漏洞代碼，而受害者的計算機恰好沒有打相應補丁，那麼由此帶來的損失就難以估量了，而且計算機技術不高的受害者也難以查出木馬究竟是從哪裡來的，因為很少有人懷疑代理伺服器自身會有問題。
『叄』 怎麼組建FTP
我的解答，是我親身經歷的，有些細節不一定對，但大體是對的：
1、你的FTP在局網中可以用，說明你的ftp伺服器搭建好了。你在「問題補充」上說的「我設的是任意進入IP應該沒問題吧」，意思是不是說你的FTP伺服器設成可以「匿名訪問」？我也很久沒有用FTPServ_u了........記不太清楚。這個時候別人可以通過你的電腦當前的IP地址來訪問你的FTP。
2、你的上網方式是[我是ADSL用戶通過貓接路由器再接我電腦上網]，現在ADSL貓擁有了你的公網IP，而你的電腦的IP是[路由器分配給的或是手工設置的]私網IP，一般是以「192.168.**.**」開頭的IP地址，也就是你的電腦在局網中的IP地址。局網中的機子是通過局網IP也就是你的機子的IP來訪問你的FTP的，所以能通。公網中的機子只能通過公網IP來訪問，這樣在公網中就只能訪問到你的ADSL貓，下面的路就不知道怎麼走了，它也不知道FTP是建立在你的機子里還是局網中的其它機子里，所以公網不能訪問，這不是FTPserv-u的問題，而是網路的問題。你要解決的是如何將這條路修通到你的機子上。
3、修通網路：
第一種方式：不用路由器這個中間人，直接將貓接在你的電腦上，進行ADSL撥號，這樣你的機子直接擁有了公網IP，別人就可以通過你的機子撥號得到的動態公網IP來訪問你的FTP了。
第二種方式：上網連接方式不動，在路由器中進行埠映射。FTP默認使用21埠，就映射21埠到你的機子的局網IP上，這樣就修通了一條從貓到你的機子之間的FTP專用綠色通道。（這個時候如果跟你組成局網的其它機子也想建FTP，就建不了了，除非它改用其它埠）。映射之後別人通過公網IP訪問到貓那裡後，如果是FTP訪問，就會由路由器指引它通過『21埠』這個通道來到你的機子上進行FTP訪問。同理，如果你要在自己的機子上搭建一個網站提供WWW服務，就需要映射80埠。埠映射方法看你的路由器說明書。如果不會再提問。
4、關於花生殼：如果你的公網IP地址是一個固定的IP地址，就象你的門牌號一樣很多年不會改動一樣。那麼你就用不著花生殼了。但是你的公網IP是ADSL撥號得到的動態分配來的IP，「動態」的意思就是你這次撥號是得到這個IP，下次撥號就會隨機的得到另一個IP，而不是固定的。要讓你的朋友在公網訪問你的FTP，你就必須每次IP地址變動後都要告訴對方。花生殼就是為了解決這個問題而生的，你申請了花生護照和二級域名並在你的機子上安裝並運行花生殼後，你只要把你的二級域名告訴朋友就可以了，朋友在他那裡的電腦上通過FTP工具軟體、或是IE地址欄等地方輸入你的二級域名，就會到達花生殼家的伺服器，花生殼家的伺服器會在私底下透明的指引你的朋友根據你當前的公網IP地址連接到你的貓再通過路由器指引到你的電腦上。而花生殼家的伺服器怎麼知道你的公網IP地址呢？那是運行在你的電腦上的花生殼程序（實際叫花生殼客戶端程序）告訴它的，一般它幾秒鍾還是幾分鍾的時間就會向花生殼家的伺服器報告一次你的公網IP。
『肆』 什麼是中間人攻擊
中間人攻擊
維基網路，自由的網路全書
在密碼學和計算機安全領域中，中間人攻擊（Man-in-the-middle attack ，縮寫：MITM）是指攻擊者與通訊的兩端分別創建獨立的聯系，並交換其所收到的數據，使通訊的兩端認為他們正在通過一個私密的連接與對方直接對話，但事實上整個會話都被攻擊者完全控制。在中間人攻擊中，攻擊者可以攔截通訊雙方的通話並插入新的內容。在許多情況下這是很簡單的（例如，在一個未加密的Wi-Fi 無線接入點的接受范圍內的中間人攻擊者，可以將自己作為一個中間人插入這個網路）。
一個中間人攻擊能成功的前提條件是攻擊者能將自己偽裝成每一個參與會話的終端，並且不被其他終端識破。中間人攻擊是一個（缺乏）相互認證的攻擊。大多數的加密協議都專門加入了一些特殊的認證方法以阻止中間人攻擊。例如，SSL協議可以驗證參與通訊的一方或雙方使用的證書是否是由權威的受信任的數字證書認證機構頒發，並且能執行雙向身份認證。
目錄
1 需要通過一個安全的通道做額外的傳輸
2 攻擊示例
3 防禦攻擊
4 中間人攻擊的取證分析
5 其他的非加密的中間人攻擊
6 實現
7 參見
8 參考資料
需要通過一個安全的通道做額外的傳輸
與連鎖協議不同，所有能抵禦中間人攻擊的加密系統都需要通過一個安全通道來傳輸或交換一些額外的信息。為了滿足不同安全通道的不同安全需求，許多密鑰交換協議已經被研究了出來。
攻擊示例
假設愛麗絲（Alice）希望與鮑伯（Bob）通信。同時，馬洛里（Mallory）希望攔截竊會話以進行竊聽並可能在某些時候傳送給鮑伯一個虛假的消息。
首先，愛麗絲會向鮑勃索取他的公鑰。如果Bob將他的公鑰發送給Alice，並且此時馬洛里能夠攔截到這個公鑰，就可以實施中間人攻擊。馬洛里發送給愛麗絲一個偽造的消息，聲稱自己是鮑伯，並且附上了馬洛里自己的公鑰（而不是鮑伯的）。
愛麗絲收到公鑰後相信這個公鑰是鮑伯的，於是愛麗絲將她的消息用馬洛里的公鑰（愛麗絲以為是鮑伯的）加密，並將加密後的消息回給鮑伯。馬洛里再次截獲愛麗絲回給鮑伯的消息，並使用馬洛里自己的私鑰對消息進行解密，如果馬洛里願意，她也可以對消息進行修改，然後馬洛里使用鮑伯原先發給愛麗絲的公鑰對消息再次加密。當鮑伯收到新加密後的消息時，他會相信這是從愛麗絲那裡發來的消息。
1.愛麗絲發送給鮑伯一條消息，卻被馬洛里截獲：愛麗絲「嗨，鮑勃，我是愛麗絲。給我你的公鑰」 --> 馬洛里 鮑勃
2.馬洛里將這條截獲的消息轉送給鮑伯；此時鮑伯並無法分辨這條消息是否從真的愛麗絲那裡發來的：愛麗絲 馬洛里「嗨，鮑勃，我是愛麗絲。給我你的公鑰」 --> 鮑伯
3.鮑伯回應愛麗絲的消息，並附上了他的公鑰：愛麗絲 馬洛里<-- [鮑伯的公鑰]-- 鮑伯
4.馬洛里用自己的密鑰替換了消息中鮑伯的密鑰，並將消息轉發給愛麗絲，聲稱這是鮑伯的公鑰：愛麗絲<-- [馬洛里的公鑰]-- 馬洛里 鮑勃
5.愛麗絲用她以為是鮑伯的公鑰加密了她的消息，以為只有鮑伯才能讀到它：愛麗絲「我們在公共汽車站見面！」--[使用馬洛里的公鑰加密] --> 馬洛里 鮑勃
6.然而，由於這個消息實際上是用馬洛里的密鑰加密的，所以馬洛里可以解密它，閱讀它，並在願意的時候修改它。他使用鮑伯的密鑰重新加密，並將重新加密後的消息轉發給鮑伯：愛麗絲 馬洛里「在家等我！」--[使用鮑伯的公鑰加密] --> 鮑伯
7.鮑勃認為，這條消息是經由安全的傳輸通道從愛麗絲那裡傳來的。
這個例子顯示了愛麗絲和鮑伯需要某種方法來確定他們是真正拿到了屬於對方的公鑰，而不是拿到來自攻擊者的公鑰。否則，這類攻擊一般都是可行的，在原理上，可以針對任何使用公鑰——密鑰技術的通訊消息發起攻擊。幸運的是，有各種不同的技術可以幫助抵禦MITM攻擊。
防禦攻擊
許多抵禦中間人攻擊的技術基於以下認證技術：
公鑰基礎建設
在PKI方案中，主要防禦中間人攻擊的方案就是PKI的相互認證的機制。使用這樣的機制並由應用程序驗證用戶，用戶設備驗證應用程序。但在某些流氓應用的情況下，這不是很有用，所以需要注意對流氓軟體應與正規軟體進行區分。
更強力的相互認證，例如：
密鑰（通常是高信息熵的密鑰，從而更安全），或密碼（通常是低的信息熵的密鑰，從而降低安全性）
延遲測試，例如使用復雜加密哈希函數進行計算以造成數十秒的延遲；如果雙方通常情況下都要花費20秒來計算，並且整個通訊花費了60秒計算才到達對方，這就能表明存在第三方中間人。
第二（安全的）通道的校驗
一次性密碼本可以對中間人攻擊免疫，這是在對一次密碼本的安全性和信任上創建的。公鑰體系的完整性通常必須以某種方式得到保障，但不需要進行保密。密碼和共享密鑰有額外的保密需求。公鑰可以由證書頒發機構驗證，這些公鑰通過安全的渠道（例如，隨Web瀏覽器或操作系統安裝）分發。公共密鑰也可以經由Web在線信任進行在線驗證，可以通過安全的途徑分發公鑰（例如，通過面對面的途徑分發公鑰）。
查看密鑰交換協議以了解不同類別的使用不同密鑰形式或密碼以抵禦中間人攻擊的協議。
中間人攻擊的取證分析
從被懷疑是中間人攻擊的鏈接中捕捉網路數據包並進行分析可以確定是否存在中間人攻擊。在進行網路分析並對可疑的SSL中間人攻擊進行取證時，重要的分析證據包括：
遠程伺服器的IP地址
DNS域名解析伺服器
X.509證書伺服器
證書是自簽名證書嗎？
證書是由信任的頒發機構頒發的嗎？
證書是否已被吊銷？
證書最近被更改過嗎？
在互聯網上的其他的客戶端是否也得到了相同的證書？
其他的非加密的中間人攻擊
一個著名的非加密中間人攻擊的例子是貝爾金無線路由器2003年的某一個版本所造成的。它會周期性地接管通過它的HTTP連接，阻止數據包到達目的地。並將它自己對請求的回應作為應答返回。而它發送的回應，則是在用戶原本應該顯示網頁的地方，顯示一個關於其他貝爾金產品的廣告。在遭到了解技術詳情的用戶的強烈抗議後，這個功能被貝爾金從路由器後續版本的固件中刪除。[1]
另一個典型的非加密中間人攻擊的例子是「圖靈色情農場」。布賴恩·華納說，這是垃圾郵件發送者用來繞過驗證碼的「可以想像的攻擊」。垃圾郵件發送者設置了一個色情網站，而訪問這個色情網站需要用戶解決一些驗證問題。這些驗證問題實際上是其他網站的驗證問題。這樣就可以達到繞開網站驗證發送垃圾郵件的目的。[2]然而，Jeff Atwood指出，這次襲擊僅僅是理論上的——沒有任何證據指出垃圾郵件發送者曾經在2006年創建了圖靈色情農場。[3]然而，2007年10月有新聞報道稱，垃圾郵件發送者確實創建了一個Windows游戲，當用戶鍵入從雅虎收到的注冊郵箱驗證碼後，程序將獎勵用戶色情圖片。[4]這將允許垃圾郵件發送者創建臨時的免費電子郵件帳戶以發送垃圾郵件。
實現
dsniff - 一個實現SSH和SSL中間人攻擊的工具
Cain and Abel - Windows圖形界面的工具，它可以執行中間人攻擊，嗅探和ARP投毒
Ettercap - 一個基於區域網的中間人攻擊工具
Karma - 一個使用802.11 Evil Twin以執行MITM攻擊的工具
AirJack -一個演示802.11 MITM攻擊的工具
SSLStrip一個基於SSL的MITM攻擊的工具。
SSLSniff一個基於SSL的MITM攻擊的工具。原本是利用一個在Internet Explorer上缺陷實現的。
Intercepter-NG -- 一個有ARP投毒攻擊能力的Windows網路密碼嗅探器。可以進行包括SSLStrip在內的
基於SSL的MITM攻擊。
Mallory - 一個透明的TCP和UDP MiTMing代理。擴展到MITM SSL，SSH和許多其他協議。
wsniff - 一個802.11HTTP / HTTPS的基於MITM攻擊的工具
安裝在自動取款機銀行卡插槽上的附加讀卡器和安裝在鍵盤上的附加密碼記錄器。
參見
瀏覽器中間人攻擊 -一種網頁瀏覽器中間人攻擊
Boy-in-the-browser - 一個簡單的Web瀏覽器中間人攻擊
Aspidistra transmitter -英國二戰「入侵」行動中使用的無線電發射器，早期的中間人攻擊。
計算機安全 - 安全的計算機系統的設計。
安全性分析 - 在不完全知道加密方法的情況下破解加密後的信息。
數字簽名 -一個加密文字的真實性擔保，通常是一個只有筆者預計將能夠執行計算的結果。
聯鎖協議 -一個特定的協議，在密鑰可能已經失密的情況下，規避可能發生的中間人攻擊。
密鑰管理 - 如何管理密鑰，包括生成，交換和存儲密鑰。
密鑰協商協議 - 又稱密鑰交換協議，一個協商如何創建適合雙方通信的密鑰的協議。
相互認證 -如何溝通各方的信心創建在彼此的身份。
密碼認證密鑰協議 -創建使用密碼鑰匙的協議。
量子密碼 - 量子力學的使用提供安全加密（老方法，而依靠單向函數）。
安全通道 - 一種在通信中防截獲和防篡改的方式。
欺騙攻擊
HTTP嚴格傳輸安全
參考資料
1. ^ Leyden, John. Help! my Belkin router is spamming me. The Register. 2003-11-07.
2. ^ Petmail Documentation: Steal People's Time To Solve CAPTCHA Challenges. [2008-05-19].
3. ^ CAPTCHA Effectiveness. 2006-10-25.
4. ^ PC stripper helps spam to spread. BBC News. 2007-10-30.
取自「https://zh.wikipedia.org/w/index.php?title=中間人攻擊&oldid=40088488」
本頁面最後修訂於2016年5月13日 (星期五) 03:04。
本站的全部文字在知識共享 署名-相同方式共享 3.0協議之條款下提供，附加條款亦可能應用（請參閱使用條款）。
Wikipedia®和維基網路標志是維基媒體基金會的注冊商標；維基™是維基媒體基金會的商標。
維基媒體基金會是在美國佛羅里達州登記的501(c)(3)免稅、非營利、慈善機構。
『伍』 懂網路的高手進來看看
埠可分為3大類：
1） 公認埠（Well Known Ports）：從0到1023，它們緊密綁定於一些服務。通常這些埠的通訊明確表明了某種服 務的協議。例如：80埠實際上總是HTTP通訊。
2） 注冊埠（Registered Ports）：從1024到49151。它們鬆散地綁定於一些服務。也就是說有許多服務綁定於這些埠，這些埠同樣用於許多其它目的。例如：許多系統處理動態埠從1024左右開始。
3） 動態和/或私有埠（Dynamic and/or Private Ports）：從49152到65535。理論上，不應為服務分配這些埠。實際上，機器通常從1024起分配動態埠。但也有例外：SUN的RPC埠從32768開始。
本節講述通常TCP/UDP埠掃描在防火牆記錄中的信息。記住：並不存在所謂ICMP埠。如果你對解讀ICMP數據感興趣，請參看本文的其它部分。0通常用於分析操作系統。這一方法能夠工作是因為在一些系統中「0」是無效埠，當你試 圖使用一種通常的閉合埠連接它時將產生不同的結果。一種典型的掃描：使用IP地址為 0.0.0.0，設置ACK位並在乙太網層廣播。 1 tcpmux 這顯示有人在尋找SGIIrix機器。Irix是實現tcpmux的主要提供者，預設情況下tcpmux在這種系統中被打開。Iris機器在發布時含有幾個預設的無密碼的帳戶，如lp,guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝後忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux 並利用這些帳戶。
7Echo你能看到許多人們搜索Fraggle放大器時，發送到x.x.x.0和x.x.x.255的信息。常見的一種DoS攻擊是echo循環（echo-loop），攻擊者偽造從一個機器發送到另一個UDP數據包，而兩個機器分別以它們最快的方式回應這些數據包。（參見Chargen） 另一種東西是由DoubleClick在詞埠建立的TCP連接。有一種產品叫做Resonate Global Dispatch」，它與DNS的這一埠連接以確定最近的路由。Harvest/squid cache將從3130埠發送UDPecho：「如果將cache的source_ping on選項打開，它將對原始主機的UDP echo埠回應一個HIT reply。」這將會產生許多這類數據包。
11 sysstat這是一種UNIX服務，它會列出機器上所有正在運行的進程以及是什麼啟動了這些進程。這為入侵者提供了許多信息而威脅機器的安全，如暴露已知某些弱點或帳戶的程序。這與UNIX系統中「ps」命令的結果相似再說一遍：ICMP沒有埠，ICMP port 11通常是ICMPtype=1119 chargen 這是一種僅僅發送字元的服務。UDP版本將會在收到UDP包後回應含有垃圾字元的包。TCP連接時，會發送含有垃圾字元的數據流知道連接關閉。Hacker利用IP欺騙可以發動DoS攻擊偽造兩 個chargen伺服器之間的UDP由於伺服器企圖回應兩個伺服器之間的無限的往返數據通訊一個chargen和echo將導致伺服器過載。同樣fraggle DoS攻擊向目標地址的這個埠廣播一個帶有偽造受害者IP的數據包，受害者為了回應這些數據而過載。
21 ftp最常見的攻擊者用於尋找打開「anonymous」的ftp伺服器的方法。這些伺服器帶有可讀寫的目錄。Hackers或tackers利用這些伺服器作為傳送warez (私有程序) 和pr0n(故意拼錯詞而避免被搜索引擎分類)的節點。
22 sshPcAnywhere建立TCP和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點。如果配置成特定的模式，許多使用RSAREF庫的版本有不少漏洞。（建議在其它埠運行ssh）還應該注意的是ssh工具包帶有一個稱為ake-ssh-known-hosts的程序。它會掃描整個域的ssh主機。你有時會被使用這一程序的人無意中掃描到。UDP（而不是TCP）與另一端的5632埠相連意味著存在搜索pcAnywhere的掃描。5632 （十六進制的0x1600）位交換後是0x0016（使進制的22）。
23 Telnet入侵者在搜索遠程登陸UNIX的服務。大多數情況下入侵者掃描這一埠是為了找到機器運行的操作系統。此外使用其它技術，入侵者會找到密碼。
25 smtp攻擊者（spammer）尋找SMTP伺服器是為了傳遞他們的spam。入侵者的帳戶總被關閉，他們需要撥號連接到高帶寬的e-mail伺服器上，將簡單的信息傳遞到不同的地址。SMTP伺服器（尤其是sendmail）是進入系統的最常用方法之一，因為它們必須完整的暴露於Internet且郵件的路由是復雜的（暴露+復雜=弱點）。
53 DNSHacker或crackers可能是試圖進行區域傳遞（TCP），欺騙DNS（UDP）或隱藏其它通訊。因此防火牆常常過濾或記錄53埠。 需要注意的是你常會看到53埠做為UDP源埠。不穩定的防火牆通常允許這種通訊並假設這是對DNS查詢的回復。Hacker常使用這種方法穿透防火牆。
67和68 Bootp和DHCPUDP上的Bootp/DHCP：通過DSL和cable-modem的防火牆常會看見大量發送到廣播地址255.255.255.255的數據。這些機器在向DHCP伺服器請求一個地址分配。Hacker常進入它們分配一個地址把自己作為局部路由器而發起大量的「中間人」（man-in-middle）攻擊。客戶端向68埠（bootps）廣播請求配置，伺服器向67埠（bootpc）廣播回應請求。這種回應使用廣播是因為客戶端還不知道可以發送的IP地址。69 TFTP(UDP) 許多伺服器與bootp一起提供這項服務，便於從系統下載啟動代碼。但是它們常常錯誤配置而從系統提供任何文件，如密碼文件。它們也可用於向系統寫入文件
79 finger Hacker用於獲得用戶信息，查詢操作系統，探測已知的緩沖區溢出錯誤，回應從自己機器到其它機器finger掃描。
98 linuxconf 這個程序提供linuxboxen的簡單管理。通過整合的HTTP伺服器在98埠提供基於Web界面的服務。它已發現有許多安全問題。一些版本setuidroot，信任區域網，在/tmp下建立Internet可訪問的文件，LANG環境變數有緩沖區溢出。 此外因為它包含整合的伺服器，許多典型的HTTP漏洞可
能存在（緩沖區溢出，歷遍目錄等）109 POP2並不象POP3那樣有名，但許多伺服器同時提供兩種服務（向後兼容）。在同一個伺服器上POP3的漏洞在POP2中同樣存在
110 POP3用於客戶端訪問伺服器端的郵件服務。POP3服務有許多公認的弱點。關於用戶名和密碼交換緩沖區溢出的弱點至少有20個（這意味著Hacker可以在真正登陸前進入系統）。成功登陸後還有其它緩沖區溢出錯誤。
111 sunrpc portmap rpcbind Sun RPCPortMapper/RPCBIND。訪問portmapper是掃描系統查看允許哪些RPC服務的最早的一步。常 見RPC服務有：pc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者發現了允許的RPC服務將轉向提供 服務的特定埠測試漏洞。記住一定要記錄線路中的daemon, IDS, 或sniffer，你可以發現入侵者正使用什麼程序訪問以便發現到底發生了什麼。
113 Ident auth .這是一個許多機器上運行的協議，用於鑒別TCP連接的用戶。使用標準的這種服務可以獲得許多機器的信息（會被Hacker利用）。但是它可作為許多服務的記錄器，尤其是FTP, POP, IMAP, SMTP和IRC等服務。通常如果有許多客戶通過防火牆訪問這些服務，你將會看到許多這個埠的連接請求。記住，如果你阻斷這個埠客戶端會感覺到在防火牆另一邊與e-mail伺服器的緩慢連接。許多防火牆支持在TCP連接的阻斷過程中發回T，著將回停止這一緩慢的連接。
119 NNTP news新聞組傳輸協議，承載USENET通訊。當你鏈接到諸如：news.security.firewalls/. 的地址時通常使用這個埠。這個埠的連接企圖通常是人們在尋找USENET伺服器。多數ISP限制只有他們的客戶才能訪問他們的新聞組伺服器。打開新聞組伺服器將允許發/讀任何人的帖子，訪問被限制的新聞組伺服器，匿名發帖或發送spam。
135 oc-serv MS RPC end-point mapper Microsoft在這個埠運行DCE RPC end- point mapper為它的DCOM服務。這與UNIX 111埠的功能很相似。使用DCOM和/或RPC的服務利用 機器上的end-point mapper注冊它們的位置。遠端客戶連接到機器時，它們查詢end-point mapper找到服務的位置。同樣Hacker掃描機器的這個埠是為了找到諸如：這個機器上運 行Exchange Server嗎？是什麼版本？ 這個埠除了被用來查詢服務（如使用epmp）還可以被用於直接攻擊。有一些DoS攻 擊直接針對這個埠。
137 NetBIOS name service nbtstat (UDP)這是防火牆管理員最常見的信息，請仔細閱讀文章後面的NetBIOS一節 139 NetBIOS File and Print Sharing
通過這個埠進入的連接試圖獲得NetBIOS/SMB服務。這個協議被用於Windows「文件和列印機共享」和SAMBA。在Internet上共享自己的硬碟是可能是最常見的問題。 大量針對這一埠始於1999，後來逐漸變少。2000年又有回升。一些VBS（IE5 VisualBasicScripting）開始將它們自己拷貝到這個埠，試圖在這個埠繁殖。
143 IMAP和上面POP3的安全問題一樣，許多IMAP伺服器有緩沖區溢出漏洞運行登陸過程中進入。記住：一種Linux蠕蟲（admw0rm）會通過這個埠繁殖，因此許多這個埠的掃描來自不知情的已被感染的用戶。當RadHat在他們的Linux發布版本中默認允許IMAP後，這些漏洞變得流行起來。Morris蠕蟲以後這還是第一次廣泛傳播的蠕蟲。這一埠還被用於IMAP2，但並不流行。 已有一些報道發現有些0到143埠的攻擊源於腳本。
161 SNMP(UDP)入侵者常探測的埠。SNMP允許遠程管理設備。所有配置和運行信息都儲存在資料庫中，通過SNMP客獲得這些信息。許多管理員錯誤配置將它們暴露於Internet。Crackers將試圖使用預設的密碼「public」「private」訪問系統。他們可能會試驗所有可能的組合。 SNMP包可能會被錯誤的指向你的網路。Windows機器常會因為錯誤配置將HP JetDirect rmote management軟體使用SNMP。HP OBJECT IDENTIFIER將收到SNMP包。新版的Win98使用SNMP解析域名，你會看見這種包在子網內廣播（cable modem, DSL）查詢sysName和其它信息。
162 SNMP trap 可能是由於錯誤配置
177 xdmcp 許多Hacker通過它訪問X-Windows控制台，它同時需要打開6000埠。
513 rwho 可能是從使用cable modem或DSL登陸到的子網中的UNIX機器發出的廣播。這些人為Hacker進入他們的系統提供 了很有趣的信息
553 CORBA IIOP (UDP) 如果你使用cable modem或DSL VLAN，你將會看到這個埠的廣播。CORBA是一種面向對象的RPC（remote procere call）系統。Hacker會利用這些信息進入系統。 600 Pcserver backdoor 請查看1524埠一些玩script的孩子認為他們通過修改ingreslock和pcserver文件已經完全攻破了系統-- Alan J. Rosenthal.
635 mountd Linux的mountd Bug。這是人們掃描的一個流行的Bug。大多數對這個埠的掃描是基於UDP的，但基於TCP 的mountd有所增加（mountd同時運行於兩個埠）。記住，mountd可運行於任何埠（到底在哪個埠，需要在埠111做portmap查詢），只是Linux默認為635埠，就象NFS通常運行於2049埠。
1024 許多人問這個埠是干什麼的。它是動態埠的開始。許多程序並不在乎用哪個埠連接網路，它們請求操作系統為它們分配「下一個閑置埠」。基於這一點分配從埠1024開始。這意味著第一個向系統請求分配動態埠的程序將被分配埠1024。為了驗證這一點，你可以重啟機器，打開Telnet，再打開一個窗口運行「natstat -a」，你將會看到Telnet被分配1024埠。請求的程序越多，動態埠也越多。操作系統分配的埠將逐漸變大。再來一遍，當你瀏覽Web頁時用「netstat」查看，每個Web頁需要一個新埠。
1025 參見1024
1026 參見1024
1080 SOCKS 這一協議以管道方式穿過防火牆，允許防火牆後面的許多人通過一個IP地址訪問Internet。理論上它應該只允許內部的通信向外達到Internet。但是由於錯誤的配置，它會允許Hacker/Cracker的位於防火牆外部的攻擊穿過防火牆。或者簡單地回應位於Internet上的計算機，從而掩飾他們對你的直接攻擊。
WinGate是一種常見的Windows個人防火牆，常會發生上述的錯誤配置。在加入IRC聊天室時常會看到這種情況。
1114 SQL 系統本身很少掃描這個埠，但常常是sscan腳本的一部分。
1243 Sub-7木馬（TCP）參見Subseven部分。
1524 ingreslock後門 許多攻擊腳本將安裝一個後門Sh*ll 於這個埠（尤其是那些針對Sun系統中Sendmail和RPC服務漏洞的腳本，如statd,ttdbserver和cmsd）。如果你剛剛安裝了你的防火牆就看到在這個埠上的連接企圖，很可能是上述原因。你可以試試Telnet到你的機器上的這個埠，看看它是否會給你一個Sh*ll 。連接到600/pcserver也存在這個問題。
2049 NFS NFS程序常運行於這個埠。通常需要訪問portmapper查詢這個服務運行於哪個埠，但是大部分情況是安裝後NFS杏謖飧齠絲冢?acker/Cracker因而可以閉開portmapper直接測試這個埠。
3128 squid 這是Squid HTTP代理伺服器的默認埠。攻擊者掃描這個埠是為了搜尋一個代理伺服器而匿名訪問Internet。你也會看到搜索其它代理伺服器的埠：
000/8001/8080/8888。掃描這一埠的另一原因是：用戶正在進入聊天室。其它用戶（或伺服器本身）也會檢驗這個埠以確定用戶的機器是否支持代理。請查看5.3節。
5632 pcAnywere你會看到很多這個埠的掃描，這依賴於你所在的位置。當用戶打開pcAnywere時，它會自動掃描區域網C類網以尋找可能得代理（譯者：指agent而不是proxy）。Hacker/cracker也會尋找開放這種服務的機器，所以應該查看這種掃描的源地址。一些搜尋pcAnywere的掃描常包含埠22的UDP數據包。參見撥號掃描。
6776 Sub-7 artifact 這個埠是從Sub-7主埠分離出來的用於傳送數據的埠。例如當控制者通過電話線控制另一台機器，而被控機器掛斷時你將會看到這種情況。因此當另一人以此IP撥入時，他們將會看到持續的，在這個埠的連接企圖。（譯者：即看到防火牆報告這一埠的連接企圖時，並不表示你已被Sub-7控制。）6970 RealAudio
RealAudio客戶將從伺服器的6970-7170的UDP埠接收音頻數據流。這是由TCP7070埠外向控制連接設置13223 PowWow PowWow 是Tribal Voice的聊天程序。它允許用戶在此埠打開私人聊天的接。這一程序對於建立連接非常具有「進攻性」。它會「駐扎」在這一TCP埠等待回應。這造成類似心跳間隔的連接企圖。如果你是一個撥號用戶，從另一個聊天者手中「繼承」了IP地址這種情況就會發生：好象很多不同的人在測試這一埠。這一協議使用「OPNG」作為其連接企圖的前四個位元組。
17027 Concent這是一個外向連接。這是由於公司內部有人安裝了帶有Concent "adbot" 的共享軟體。
Concent "adbot"是為共享軟體顯示廣告服務的。使用這種服務的一種流行的軟體是Pkware。有人試驗：阻斷這一外向連接不會有任何問題，但是封掉IP地址本身將會導致adbots持續在每秒內試圖連接多次而導致連接過載：
機器會不斷試圖解析DNS名—ads.concent.com，即IP地址216.33.210.40 ；
216.33.199.77 ；216.33.199.80 ；216.33.199.81；216.33.210.41。（譯者：不知NetAnts使用的Radiate是否也有這種現象）
27374 Sub-7木馬(TCP) 參見Subseven部分。
30100 NetSphere木馬(TCP) 通常這一埠的掃描是為了尋找中了NetSphere木馬。
31337 Back Orifice 「eliteHacker中31337讀做「elite」/ei』li:t/（譯者：法語，譯為中堅力量，精華。即 3=E, 1=L, 7=T）。因此許多後門程序運行於這一埠。其中最有名的是Back Orifice。曾經一段時間內這是Internet上最常見的掃描。現在它的流行越來越少，其它的 木馬程序越來越流行。
31789 Hack-a-tack 這一埠的UDP通訊通常是由於"Hack-a-tack"遠程訪問木馬（RAT,Remote Access Trojan）。這種木馬包含內置的31790埠掃描器，因此任何31789埠到317890埠的連 接意味著已經有這種入侵。（31789埠是控制連接，317890埠是文件傳輸連接）
32770~32900 RPC服務 Sun Solaris的RPC服務在這一范圍內。詳細的說：早期版本的Solaris（2.5.1之前）將 portmapper置於這一范圍內，即使低埠被防火牆封閉仍然允許Hacker/cracker訪問這一埠。 掃描這一范圍內的埠不是為了尋找portmapper，就是為了尋找可被攻擊的已知的RPC服務。
33434~33600 traceroute 如果你看到這一埠范圍內的UDP數據包（且只在此范圍之內）則可能是由於traceroute。參見traceroute分。
41508 Inoculan早期版本的Inoculan會在子網內產生大量的UDP通訊用於識別彼此。參見http://www.circlemud.org/~jelson/software/udpsend.html
http://www.ccd.bnl.gov/nss/tips/inoculan/index.html埠1~1024是保留埠，所以它們幾乎不會是源埠。但有一些例外，例如來自NAT機器的連接。 常看見緊接著1024的埠，它們是系統分配給那些並不在乎使用哪個埠連接的應用程序的「動態埠」。 Server Client 服務描述
1-5/tcp 動態 FTP 1-5埠意味著sscan腳本
20/tcp 動態 FTP FTP伺服器傳送文件的埠
53 動態 FTP DNS從這個埠發送UDP回應。你也可能看見源/目標埠的TCP連接。
123 動態 S/NTP 簡單網路時間協議（S/NTP）伺服器運行的埠。它們也會發送到這個埠的廣播。
27910~27961/udp 動態 Quake Quake或Quake引擎驅動的游戲在這一埠運行其伺服器。因此來自這一埠范圍的UDP包或發送至這一埠范圍的UDP包通常是游戲。
61000以上 動態 FTP 61000以上的埠可能來自Linux NAT伺服器（IP asquerade）
『陸』 中間人攻擊的簡介
中間人攻擊（Man-in-the-Middle Attack, MITM）是一種由來已久的網路入侵手段，並且在今天仍然有著廣泛的發展空間，如SMB會話劫持、DNS欺騙等攻擊都是典型的MITM攻擊。簡而言之，所謂的MITM攻擊就是通過攔截正常的網路通信數據，並進行數據篡改和嗅探，而通信的雙方卻毫不知情。
隨著計算機通信網技術的不斷發展，MITM攻擊也越來越多樣化。最初，攻擊者只要將網卡設為混雜模式，偽裝成代理伺服器監聽特定的流量就可以實現攻擊，這是因為很多通信協議都是以明文來進行傳輸的，如HTTP、FTP、Telnet等。後來，隨著交換機代替集線器，簡單的嗅探攻擊已經不能成功，必須先進行ARP欺騙才行。如今，越來越多的服務商（網上銀行，郵箱登陸）開始採用加密通信，SSL(Secure Sockets Layer 安全套接層)是一種廣泛使用的技術，HTTPS、FTPS等都是建立在其基礎上的。
『柒』 那些埠都是什麼意思，都是干什麼的，誰有詳細的埠說名給我一份
埠可分為3大類：
1） 公認埠（Well Known Ports）：從0到1023，它們緊密綁定於一些服務。通常這些埠的通訊明確表明了某種服務的協議。例如：80埠實際上總是HTTP通訊。
2） 注冊埠（Registered Ports）：從1024到49151。它們鬆散地綁定於一些服務。也就是說有許多服務綁定於這些埠，這些埠同樣用於許多其它目的。例如：許多系統處理動態埠從1024左右開始。
3） 動態和/或私有埠（Dynamic and/or Private Ports）：從49152到65535。理論上，不應為服務分配這些埠。實際上，機器通常從1024起分配動態埠。但也有例外：SUN的RPC埠從32768開始。
0 通常用於分析操作系統。這一方法能夠工作是因為在一些系統中「0」是無效埠，當你試圖使用一種通常的閉合埠連接它時將產生不同的結果。一種典型的掃描：使用IP地址為0.0.0.0，設置ACK位並在乙太網層廣播。
1 tcpmux 這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者，預設情況下tcpmux在這種系統中被打開。Iris機器在發布時含有幾個預設的無密碼的帳戶，如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝後忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux並利用這些帳戶。
7 Echo 你能看到許多人們搜索Fraggle放大器時，發送到x.x.x.0和x.x.x.255的信息。
常見的一種DoS攻擊是echo循環（echo-loop），攻擊者偽造從一個機器發送到另一個機器的UDP數據包，而兩個機器分別以它們最快的方式回應這些數據包。（參見Chargen）
另一種東西是由DoubleClick在詞埠建立的TCP連接。有一種產品叫做「Resonate Global Dispatch」，它與DNS的這一埠連接以確定最近的路由。
Harvest/squid cache將從3130埠發送UDP echo：「如果將cache的source_ping on選項打開，它將對原始主機的UDP echo埠回應一個HIT reply。」這將會產生許多這類數據包。
11 sysstat 這是一種UNIX服務，它會列出機器上所有正在運行的進程以及是什麼啟動了這些進程。這為入侵者提供了許多信息而威脅機器的安全，如暴露已知某些弱點或帳戶的程序。這與UNIX系統中「ps」命令的結果相似
再說一遍：ICMP沒有埠，ICMP port 11通常是ICMP type=11
19 chargen 這是一種僅僅發送字元的服務。UDP版本將會在收到UDP包後回應含有垃圾字元的包。TCP連接時，會發送含有垃圾字元的數據流知道連接關閉。Hacker利用IP欺騙可以發動DoS攻擊。偽造兩個chargen伺服器之間的UDP包。由於伺服器企圖回應兩個伺服器之間的無限的往返數據通訊一個chargen和echo將導致伺服器過載。同樣fraggle DoS攻擊向目標地址的這個埠廣播一個帶有偽造受害者IP的數據包，受害者為了回應這些數據而過載。
21 ftp 最常見的攻擊者用於尋找打開「anonymous」的ftp伺服器的方法。這些伺服器帶有可讀寫的目錄。Hackers或Crackers 利用這些伺服器作為傳送warez (私有程序) 和pr0n(故意拼錯詞而避免被搜索引擎分類)的節點。
22 ssh PcAnywhere建立TCP和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點。如果配置成特定的模式，許多使用RSAREF庫的版本有不少漏洞。（建議在其它埠運行ssh）
還應該注意的是ssh工具包帶有一個稱為make-ssh-known-hosts的程序。它會掃描整個域的ssh主機。你有時會被使用這一程序的人無意中掃描到。
UDP（而不是TCP）與另一端的5632埠相連意味著存在搜索pcAnywhere的掃描。5632（十六進制的0x1600）位交換後是0x0016（使進制的22）。
23 Telnet 入侵者在搜索遠程登陸UNIX的服務。大多數情況下入侵者掃描這一埠是為了找到機器運行的操作系統。此外使用其它技術，入侵者會找到密碼。
25 smtp 攻擊者（spammer）尋找SMTP伺服器是為了傳遞他們的spam。入侵者的帳戶總被關閉，他們需要撥號連接到高帶寬的e-mail伺服器上，將簡單的信息傳遞到不同的地址。SMTP伺服器（尤其是sendmail）是進入系統的最常用方法之一，因為它們必須完整的暴露於Internet且郵件的路由是復雜的（暴露+復雜=弱點）。
53 DNS Hacker或crackers可能是試圖進行區域傳遞（TCP），欺騙DNS（UDP）或隱藏其它通訊。因此防火牆常常過濾或記錄53埠。
需要注意的是你常會看到53埠做為UDP源埠。不穩定的防火牆通常允許這種通訊並假設這是對DNS查詢的回復。Hacker常使用這種方法穿透防火牆。
67和68 Bootp和DHCP UDP上的Bootp/DHCP：通過DSL和cable-modem的防火牆常會看見大量發送到廣播地址255.255.255.255的數據。這些機器在向DHCP伺服器請求一個地址分配。Hacker常進入它們分配一個地址把自己作為局部路由器而發起大量的「中間人」（man-in-middle）攻擊。客戶端向68埠（bootps）廣播請求配置，伺服器向67埠（bootpc）廣播回應請求。這種回應使用廣播是因為客戶端還不知道可以發送的IP地址。
69 TFTP(UDP) 許多伺服器與bootp一起提供這項服務，便於從系統下載啟動代碼。但是它們常常錯誤配置而從系統提供任何文件，如密碼文件。它們也可用於向系統寫入文件。
79 finger Hacker用於獲得用戶信息，查詢操作系統，探測已知的緩沖區溢出錯誤，回應從自己機器到其它機器finger掃描。
98 linuxconf 這個程序提供linux boxen的簡單管理。通過整合的HTTP伺服器在98埠提供基於Web界面的服務。它已發現有許多安全問題。一些版本setuid root，信任區域網，在/tmp下建立Internet可訪問的文件，LANG環境變數有緩沖區溢出。此外因為它包含整合的伺服器，許多典型的HTTP漏洞可能存在（緩沖區溢出，歷遍目錄等）
109 POP2 並不象POP3那樣有名，但許多伺服器同時提供兩種服務（向後兼容）。在同一個伺服器上POP3的漏洞在POP2中同樣存在。
110 POP3 用於客戶端訪問伺服器端的郵件服務。POP3服務有許多公認的弱點。關於用戶名和密碼交換緩沖區溢出的弱點至少有20個（這意味著Hacker可以在真正登陸前進入系統）。成功登陸後還有其它緩沖區溢出錯誤。
111 sunrpc portmap rpcbind Sun RPC PortMapper/RPCBIND。訪問portmapper是掃描系統查看允許哪些RPC服務的最早的一步。常見RPC服務有：rpc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者發現了允許的RPC服務將轉向提供服務的特定埠測試漏洞。
記住一定要記錄線路中的daemon, IDS, 或sniffer，你可以發現入侵者正使用什麼程序訪問以便發現到底發生了什麼。
113 Ident auth 這是一個許多機器上運行的協議，用於鑒別TCP連接的用戶。使用標準的這種服務可以獲得許多機器的信息（會被Hacker利用）。但是它可作為許多服務的記錄器，尤其是FTP, POP, IMAP, SMTP和IRC等服務。通常如果有許多客戶通過防火牆訪問這些服務，你將會看到許多這個埠的連接請求。記住，如果你阻斷這個埠客戶端會感覺到在防火牆另一邊與e-mail伺服器的緩慢連接。許多防火牆支持在TCP連接的阻斷過程中發回RST，著將回停止這一緩慢的連接。
119 NNTP news 新聞組傳輸協議，承載USENET通訊。當你鏈接到諸如：news://comp.security.firewalls/. 的地址時通常使用這個埠。這個埠的連接企圖通常是人們在尋找USENET伺服器。多數ISP限制只有他們的客戶才能訪問他們的新聞組伺服器。打開新聞組伺服器將允許發/讀任何人的帖子，訪問被限制的新聞組伺服器，匿名發帖或發送spam。
135 oc-serv MS RPC end-point mapper Microsoft在這個埠運行DCE RPC end-point mapper為它的DCOM服務。這與UNIX 111埠的功能很相似。使用DCOM和/或RPC的服務利用機器上的end-point mapper注冊它們的位置。遠端客戶連接到機器時，它們查詢end-point mapper找到服務的位置。同樣Hacker掃描機器的這個埠是為了找到諸如：這個機器上運行Exchange Server嗎？是什麼版本？
這個埠除了被用來查詢服務（如使用epmp）還可以被用於直接攻擊。有一些DoS攻擊直接針對這個埠。
137 NetBIOS name service nbtstat (UDP) 這是防火牆管理員最常見的信息，請仔細閱讀文章後面的NetBIOS一節
139 NetBIOS File and Print Sharing 通過這個埠進入的連接試圖獲得NetBIOS/SMB服務。這個協議被用於Windows「文件和列印機共享」和SAMBA。在Internet上共享自己的硬碟是可能是最常見的問題。
大量針對這一埠始於1999，後來逐漸變少。2000年又有回升。一些VBS（IE5 VisualBasic Scripting）開始將它們自己拷貝到這個埠，試圖在這個埠繁殖。
143 IMAP 和上面POP3的安全問題一樣，許多IMAP伺服器有緩沖區溢出漏洞運行登陸過程中進入。記住：一種Linux蠕蟲（admw0rm）會通過這個埠繁殖，因此許多這個埠的掃描來自不知情的已被感染的用戶。當RadHat在他們的Linux發布版本中默認允許IMAP後，這些漏洞變得流行起來。Morris蠕蟲以後這還是第一次廣泛傳播的蠕蟲。
這一埠還被用於IMAP2，但並不流行。
已有一些報道發現有些0到143埠的攻擊源於腳本。
161 SNMP(UDP) 入侵者常探測的埠。SNMP允許遠程管理設備。所有配置和運行信息都儲存在資料庫中，通過SNMP客獲得這些信息。許多管理員錯誤配置將它們暴露於Internet。Crackers將試圖使用預設的密碼「public」「private」訪問系統。他們可能會試驗所有可能的組合。
SNMP包可能會被錯誤的指向你的網路。Windows機器常會因為錯誤配置將HP JetDirect remote management軟體使用SNMP。HP OBJECT IDENTIFIER將收到SNMP包。新版的Win98使用SNMP解析域名，你會看見這種包在子網內廣播（cable modem, DSL）查詢sysName和其它信息。
162 SNMP trap 可能是由於錯誤配置
177 xdmcp 許多Hacker通過它訪問X-Windows控制台，它同時需要打開6000埠。
513 rwho 可能是從使用cable modem或DSL登陸到的子網中的UNIX機器發出的廣播。這些人為Hacker進入他們的系統提供了很有趣的信息。
553 CORBA IIOP (UDP) 如果你使用cable modem或DSL VLAN，你將會看到這個埠的廣播。CORBA是一種面向對象的RPC（remote procere call）系統。Hacker會利用這些信息進入系統。
600 Pcserver backdoor 請查看1524埠
一些玩script的孩子認為他們通過修改ingreslock和pcserver文件已經完全攻破了系統-- Alan J. Rosenthal.
635 mountd Linux的mountd Bug。這是人們掃描的一個流行的Bug。大多數對這個埠的掃描是基於UDP的，但基於TCP的mountd有所增加（mountd同時運行於兩個埠）。記住，mountd可運行於任何埠（到底在哪個埠，需要在埠111做portmap查詢），只是Linux默認為635埠，就象NFS通常運行於2049埠。
1024 許多人問這個埠是干什麼的。它是動態埠的開始。許多程序並不在乎用哪個埠連接網路，它們請求操作系統為它們分配「下一個閑置埠」。基於這一點分配從埠1024開始。這意味著第一個向系統請求分配動態埠的程序將被分配埠1024。為了驗證這一點，你可以重啟機器，打開Telnet，再打開一個窗口運行「natstat -a」，你將會看到Telnet被分配1024埠。請求的程序越多，動態埠也越多。操作系統分配的埠將逐漸變大。再來一遍，當你瀏覽Web頁時用「netstat」查看，每個Web頁需要一個新埠。
?ersion 0.4.1, June 20, 2000
http://www.robertgraham.com/pubs/firewall-seen.html
Copyright 1998-2000 by Robert Graham (mailto:[email protected].
All rights reserved. This document may only be reproced (whole or
in part) for non-commercial purposes. All reproctions must
contain this right notice and must not be altered, except by
permission of the author.
1025 參見1024
1026 參見1024
1080 SOCKS
這一協議以管道方式穿過防火牆，允許防火牆後面的許多人通過一個IP地址訪問Internet。理論上它應該只允許內部的通信向外達到Internet。但是由於錯誤的配置，它會允許Hacker/Cracker的位於防火牆外部的攻擊穿過防火牆。或者簡單地回應位於Internet上的計算機，從而掩飾他們對你的直接攻擊。WinGate是一種常見的Windows個人防火牆，常會發生上述的錯誤配置。在加入IRC聊天室時常會看到這種情況。
1114 SQL
系統本身很少掃描這個埠，但常常是sscan腳本的一部分。
1243 Sub-7木馬（TCP）
參見Subseven部分。
1524 ingreslock後門
許多攻擊腳本將安裝一個後門Sh*ll 於這個埠（尤其是那些針對Sun系統中Sendmail和RPC服務漏洞的腳本，如statd, ttdbserver和cmsd）。如果你剛剛安裝了你的防火牆就看到在這個埠上的連接企圖，很可能是上述原因。你可以試試Telnet到你的機器上的這個埠，看看它是否會給你一個Sh*ll 。連接到600/pcserver也存在這個問題。
2049 NFS
NFS程序常運行於這個埠。通常需要訪問portmapper查詢這個服務運行於哪個埠，但是大部分情況是安裝後NFS 杏謖飧齠絲冢?acker/Cracker因而可以閉開portmapper直接測試這個埠。
3128 squid
這是Squid HTTP代理伺服器的默認埠。攻擊者掃描這個埠是為了搜尋一個代理伺服器而匿名訪問Internet。你也會看到搜索其它代理伺服器的埠：8000/8001/8080/8888。掃描這一埠的另一原因是：用戶正在進入聊天室。其它用戶（或伺服器本身）也會檢驗這個埠以確定用戶的機器是否支持代理。請查看5.3節。
5632 pcAnywere
你會看到很多這個埠的掃描，這依賴於你所在的位置。當用戶打開pcAnywere時，它會自動掃描區域網C類網以尋找可能得代理（譯者：指agent而不是proxy）。Hacker/cracker也會尋找開放這種服務的機器，所以應該查看這種掃描的源地址。一些搜尋pcAnywere的掃描常包含埠22的UDP數據包。參見撥號掃描。
6776 Sub-7 artifact
這個埠是從Sub-7主埠分離出來的用於傳送數據的埠。例如當控制者通過電話線控制另一台機器，而被控機器掛斷時你將會看到這種情況。因此當另一人以此IP撥入時，他們將會看到持續的，在這個埠的連接企圖。（譯者：即看到防火牆報告這一埠的連接企圖時，並不表示你已被Sub-7控制。）
6970 RealAudio
RealAudio客戶將從伺服器的6970-7170的UDP埠接收音頻數據流。這是由TCP7070埠外向控制連接設置的。
13223 PowWow
PowWow 是Tribal Voice的聊天程序。它允許用戶在此埠打開私人聊天的連接。這一程序對於建立連接非常具有「進攻性」。它會「駐扎」在這一TCP埠等待回應。這造成類似心跳間隔的連接企圖。如果你是一個撥號用戶，從另一個聊天者手中「繼承」了IP地址這種情況就會發生：好象很多不同的人在測試這一埠。這一協議使用「OPNG」作為其連接企圖的前四個位元組。
17027 Concent
這是一個外向連接。這是由於公司內部有人安裝了帶有Concent "adbot" 的共享軟體。Concent "adbot"是為共享軟體顯示廣告服務的。使用這種服務的一種流行的軟體是Pkware。有人試驗：阻斷這一外向連接不會有任何問題，但是封掉IP地址本身將會導致adbots持續在每秒內試圖連接多次而導致連接過載：
機器會不斷試圖解析DNS名—ads.concent.com，即IP地址216.33.210.40 ；216.33.199.77 ；216.33.199.80 ；216.33.199.81；216.33.210.41。（譯者：不知NetAnts使用的Radiate是否也有這種現象）
27374 Sub-7木馬(TCP)
參見Subseven部分。
30100 NetSphere木馬(TCP)
通常這一埠的掃描是為了尋找中了NetSphere木馬。
31337 Back Orifice 「elite」
Hacker中31337讀做「elite」/ei』li:t/（譯者：法語，譯為中堅力量，精華。即3=E, 1=L, 7=T）。因此許多後門程序運行於這一埠。其中最有名的是Back Orifice。曾經一段時間內這是Internet上最常見的掃描。現在它的流行越來越少，其它的木馬程序越來越流行。
31789 Hack-a-tack
這一埠的UDP通訊通常是由於"Hack-a-tack"遠程訪問木馬（RAT, Remote Access Trojan）。這種木馬包含內置的31790埠掃描器，因此任何31789埠到317890埠的連接意味著已經有這種入侵。（31789埠是控制連接，317890埠是文件傳輸連接）
32770~32900 RPC服務
Sun Solaris的RPC服務在這一范圍內。詳細的說：早期版本的Solaris（2.5.1之前）將portmapper置於這一范圍內，即使低埠被防火牆封閉仍然允許Hacker/cracker訪問這一埠。掃描這一范圍內的埠不是為了尋找portmapper，就是為了尋找可被攻擊的已知的RPC服務。
33434~33600 traceroute
如果你看到這一埠范圍內的UDP數據包（且只在此范圍之內）則可能是由於traceroute。參見traceroute部分。
41508 Inoculan
早期版本的Inoculan會在子網內產生大量的UDP通訊用於識別彼此。參見
http://www.circlemud.org/~jelson/software/udpsend.html
http://www.ccd.bnl.gov/nss/tips/inoculan/index.html
(二） 下面的這些源埠意味著什麼？
埠1~1024是保留埠，所以它們幾乎不會是源埠。但有一些例外，例如來自NAT機器的連接。參見1.9。
常看見緊接著1024的埠，它們是系統分配給那些並不在乎使用哪個埠連接的應用程序的「動態埠」。
Server Client 服務 描述
1-5/tcp 動態 FTP 1-5埠意味著sscan腳本
20/tcp 動態 FTP FTP伺服器傳送文件的埠
53 動態 FTP DNS從這個埠發送UDP回應。你也可能看見源/目標埠的TCP連接。
123 動態 S/NTP 簡單網路時間協議（S/NTP）伺服器運行的埠。它們也會發送到這個埠的廣播。
27910~27961/udp 動態 Quake Quake或Quake引擎驅動的游戲在這一埠運行其伺服器。因此來自這一埠范圍的UDP包或發送至這一埠范圍的UDP包通常是游戲。
61000以上 動態 FTP 61000以上的埠可能來自Linux NAT伺服器（IP Masquerade)
知道了這些埠對網路也就有一定的了解了
計算機常見埠功能對照表!
作者：
計算機埠對應相應服務和功能，現在將常見埠功能對照表發表如下，讓用戶有一個了解，以便用戶可以在自己的防火牆上做一些埠控制!
常見埠功能對照表
埠：0
服務：Reserved
說明：通常用於分析操作系統。這一方法能夠工作是因為在一些系統中「0」是無效埠，當你試圖使用通常的閉合埠連接它時將產生不同的結果。一種典型的掃描，使用IP地址為0.0.0.0，設置ACK位並在乙太網層廣播。
埠：1
服務：tcpmux
說明：這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者，默認情況下tcpmux在這種系統中被打開。Irix機器在發布是含有幾個默認的無密碼的帳戶，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。許多管理員在安裝後忘記刪除這些帳戶。因此HACKER在INTERNET上搜索tcpmux並利用這些帳戶。
埠：7
服務：Echo
說明：能看到許多人搜索Fraggle放大器時，發送到X.X.X.0和X.X.X.255的信息。
埠：19
服務：Character Generator
說明：這是一種僅僅發送字元的服務。UDP版本將會在收到UDP包後回應含有垃圾字元的包。TCP連接時會發送含有垃圾字元的數據流直到連接關閉。HACKER利用IP欺騙可以發動DoS攻擊。偽造兩個chargen伺服器之間的UDP包。同樣Fraggle DoS攻擊向目標地址的這個埠廣播一個帶有偽造受害者IP的數據包，受害者為了回應這些數據而過載。
埠：21
服務：FTP
說明：FTP伺服器所開放的埠，用於上傳、下載。最常見的攻擊者用於尋找打開anonymous的FTP伺服器的方法。這些伺服器帶有可讀寫的目錄。木馬Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所開放的埠。
埠：22
服務：Ssh
說明：PcAnywhere建立的TCP和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點，如果配置成特定的模式，許多使用RSAREF庫的版本就會有不少的漏洞存在。
埠：23
服務：Telnet
說明：遠程登錄，入侵者在搜索遠程登錄UNIX的服務。大多數情況下掃描這一埠是為了找到機器運行的操作系統。還有使用其他技術，入侵者也會找到密碼。木馬Tiny Telnet Server就開放這個埠。
埠：25
服務：SMTP
說明：SMTP伺服器所開放的埠，用於發送郵件。入侵者尋找SMTP伺服器是為了傳遞他們的SPAM。入侵者的帳戶被關閉，他們需要連接到高帶寬的E-MAIL伺服器上，將簡單的信息傳遞到不同的地址。木馬Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都開放這個埠。
埠：31
服務：MSG Authentication
說明：木馬Master Paradise、Hackers Paradise開放此埠。
埠：42
服務：WINS Replication
說明：WINS復制
埠：53
服務：Domain Name Server（DNS）
說明：DNS伺服器所開放的埠，入侵者可能是試圖進行區域傳遞（TCP），欺騙DNS（UDP）或隱藏其他的通信。因此防火牆常常過濾或記錄此埠。
埠：67
服務：Bootstrap Protocol Server
說明：通過DSL和Cable modem的防火牆常會看見大量發送到廣播地址255.255.255.255的數據。這些機器在向DHCP伺服器請求一個地址。HACKER常進入它們，分配一個地址把自己作為局部路由器而發起大量中間人（man-in-middle）攻擊。客戶端向68埠廣播請求配置，伺服器向67埠廣播回應請求。這種回應使用廣播是因為客戶端還不知道可以發送的IP地址。
埠：69
服務：Trival File Transfer
說明：許多伺服器與bootp一起提供這項服務，便於從系統下載啟動代碼。但是它們常常由於錯誤配置而使入侵者能從系統中竊取任何 文件。它們也可用於系統寫入文件。
埠：79
服務：Finger Server
說明：入侵者用於獲得用戶信息，查詢操作系統，探測已知的緩沖區溢出錯誤，回應從自己機器到其他機器Finger掃描。
埠：80
服務：HTTP
說明：用於網頁瀏覽。木馬Executor開放此埠。
埠：99
服務：Metagram Relay
說明：後門程序ncx99開放此埠。
埠：102
服務：Message transfer agent(MTA)-X.400 over TCP/IP
說明：消息傳輸代理。
埠：109
服務：Post Office Protocol -Version3
說明：POP3伺服器開放此埠，用於接收郵件，客戶端訪問伺服器端的郵件服務。POP3服務有許多公認的弱點。關於用戶名和密碼交 換緩沖區溢出的弱點至少有20個，這意味著入侵者可以在真正登陸前進入系統。成功登陸後還有其他緩沖區溢出錯誤。
埠：110
服務：SUN公司的RPC服務所有埠
說明：常見RPC服務有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等
埠：113
服務：Authentication Service
說明：這是一個許多計算機上運行的協議，用於鑒別TCP連接的用戶。使用標準的這種服務可以獲得許多計算機的信息。但是它可作為許多服務的記錄器，尤其是FTP、POP、IMAP、SMTP和IRC等服務。通常如果有許多客戶通過防火牆訪問這些服務，將會看到許多這個埠的連接請求。記住，如果阻斷這個埠客戶端會感覺到在防火牆另一邊與E-MAIL伺服器的緩慢連接。許多防火牆支持TCP連接的阻斷過程中發回RST。這將會停止緩慢的連接。
埠：119
服務：Network News Transfer Protocol
說明：NEWS新聞組傳輸協議，承載USENET通信。這個埠的連接通常是人們在尋找USENET伺服器。多數ISP限制，只有他們的客戶才能訪問他們的新聞組伺服器。打開新聞組伺服器將允許發/讀任何人的帖子，訪問被限制的新聞組伺服器，匿名發帖或發送SPAM。
埠：135
服務：Location Service
說明：Microsoft在這個埠運行DCE RPC end-point mapper為它的DCOM服務。這與UNIX 111埠的功能很相似。使用DCOM和RPC的服務利用計算機上的end-point mapper注冊它們的位置。遠端客戶連接到計算機時，它們查找end-point mapper找到服務的位置。HACKER掃描計算機的這個埠是為了找到這個計算機上運行Exchange Server嗎？什麼版本？還有些DOS攻擊直接針對這個埠。
埠：137、138、139
服務：NETBIOS Name Service
說明：其中137、138是UDP埠，當通過網上鄰居傳輸文件時用這個埠。而139埠：通過這個埠進入的連接試圖獲得NetBIOS/SMB服務。這個協議被用於windows文件和列印機共享和SAMBA。還有WINS Regisrtation也用它。
埠：143
服務：Interim Mail Access Protocol v2
說明：和POP3的安全問題一樣，許多IMAP伺服器存在有緩沖區溢出漏洞。記住：一種LINUX蠕蟲（admv0rm）會通過這個埠繁殖，因此許多這個埠的掃描來自不知情的已經被感染的用戶。當REDHAT在他們的LINUX發布版本中默認允許IMAP後，這些漏洞變的很流行。這一埠還被用於IMAP2，但並不流行。
埠：161
服務：SNMP
說明：SNMP允許遠程管理設備。所有配置和運行信息的儲存在資料庫中，通過SNMP可獲得這些信息。許多管理員的錯誤配置將被
『捌』 具有FTP服務功能的是哪個埠
21
1000以內常用埠
埠：1
服務：tcpmux
說明：這顯示有人在尋找sgi irix機器。irix是實現tcpmux的主要提供者，默認情況下tcpmux在這種系統中被打開。irix機器在發布是含有幾個默認的無密碼的帳戶，如：ip、guest uucp、nuucp、demos 、tutor、diag、outofbox等。許多管理員在安裝後忘記刪除這些帳戶。因此hacker在internet上搜索tcpmux並利用這些帳戶。
埠：7
服務：echo
說明：能看到許多人搜索fraggle放大器時，發送到x.x.x.0和x.x.x.255的信息。
埠：19
服務：character generator
說明：這是一種僅僅發送字元的服務。udp版本將會在收到udp包後回應含有**字元的包。tcp連接時會發送含有**字元的數據流直到連接關閉。hacker利用ip欺騙可以發動dos攻擊。偽造兩個chargen伺服器之間的udp包。同樣fraggle dos攻擊向目標地址的這個埠廣播一個帶有偽造受害者ip的數據包，受害者為了回應這些數據而過載。
埠：21
服務：ftp
說明：ftp伺服器所開放的埠，用於上傳、下載。最常見的攻擊者用於尋找打開anonymous的ftp伺服器的方法。這些伺服器帶有可讀寫的目錄。木馬doly trojan、fore、invisible ftp、webex、wincrash和blade runner所開放的埠。
埠：22
服務：ssh
說明：pcanywhere建立的tcp和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點，如果配置成特定的模式，許多使用rsaref庫的版本就會有不少的漏洞存在。
埠：23
服務：telnet
說明：遠程登錄，入侵者在搜索遠程登錄unix的服務。大多數情況下掃描這一埠是為了找到機器運行的操作系統。還有使用其他技術，入侵者也會找到密碼。木馬tiny telnet server就開放這個埠。
埠：25
服務：smtp
說明：smtp伺服器所開放的埠，用於發送郵件。入侵者尋找smtp伺服器是為了傳遞他們的spam。入侵者的帳戶被關閉，他們需要連接到高帶寬的e－mail伺服器上，將簡單的信息傳遞到不同的地址。木馬antigen、email password sender、haebu coceda、shtrilitz stealth、winpc、winspy都開放這個埠。
埠：31
服務：msg authentication
說明：木馬master paradise、hackers paradise開放此埠。
埠：42
服務：wins replication
說明：wins復制
埠：53
服務：domain name server（dns）
說明：dns伺服器所開放的埠，入侵者可能是試圖進行區域傳遞（tcp），欺騙dns（udp）或隱藏其他的通信。因此防火牆常常過濾或記錄此埠。
埠：67
服務：bootstrap protocol server
說明：通過dsl和cable modem的防火牆常會看見大量發送到廣播地址255.255.255.255的數據。這些機器在向dhcp伺服器請求一個地址。hacker常進入它們，分配一個地址把自己作為局部路由器而發起大量中間人（man－in－middle）攻擊。客戶端向68埠廣播請求配置，伺服器向67埠廣播回應請求。這種回應使用廣播是因為客戶端還不知道可以發送的ip地址。
埠：69
服務：trival file transfer
說明：許多伺服器與bootp一起提供這項服務，便於從系統下載啟動代碼。但是它們常常由於錯誤配置而使入侵者能從系統中竊取任何 文件。它們也可用於系統寫入文件。
埠：79
服務：finger server
說明：入侵者用於獲得用戶信息，查詢操作系統，探測已知的緩沖區溢出錯誤，回應從自己機器到其他機器finger掃描。
埠：80
服務：http
說明：用於網頁瀏覽。木馬executor開放此埠。
埠：99
服務：metagram relay
說明：後門程序ncx99開放此埠。
埠：102
服務：message transfer agent(mta)－x.400 over tcp/ip
說明：消息傳輸代理。
埠：109
服務：post office protocol －version3
說明：pop3伺服器開放此埠，用於接收郵件，客戶端訪問伺服器端的郵件服務。pop3服務有許多公認的弱點。關於用戶名和密碼交 換緩沖區溢出的弱點至少有20個，這意味著入侵者可以在真正登陸前進入系統。成功登陸後還有其他緩沖區溢出錯誤。
埠：110
服務：sun公司的rpc服務所有埠
說明：常見rpc服務有rpc.mountd、nfs、rpc.statd、rpc.csmd、rpc.ttybd、amd等
埠：113
服務：authentication service
說明：這是一個許多計算機上運行的協議，用於鑒別tcp連接的用戶。使用標準的這種服務可以獲得許多計算機的信息。但是它可作為許多服務的記錄器，尤其是ftp、pop、imap、smtp和irc等服務。通常如果有許多客戶通過防火牆訪問這些服務，將會看到許多這個埠的連接請求。記住，如果阻斷這個埠客戶端會感覺到在防火牆另一邊與e－mail伺服器的緩慢連接。許多防火牆支持tcp連接的阻斷過程中發回rst。這將會停止緩慢的連接。
埠：119
服務：network news transfer protocol
說明：news新聞組傳輸協議，承載usenet通信。這個埠的連接通常是人們在尋找usenet伺服器。多數isp限制，只有他們的客戶才能訪問他們的新聞組伺服器。打開新聞組伺服器將允許發/讀任何人的帖子，訪問被限制的新聞組伺服器，匿名發帖或發送spam。
埠：135
服務：本地 service
說明：microsoft在這個埠運行dce rpc end－point mapper為它的dcom服務。這與unix 111埠的功能很相似。使用dcom和rpc的服務利用計算機上的end－point mapper注冊它們的位置。遠端客戶連接到計算機時，它們查找end－point mapper找到服務的位置。hacker掃描計算機的這個埠是為了找到這個計算機上運行exchange server嗎？什麼版本？還有些dos攻擊直接針對這個埠。
埠：137、138、139
服務：netbios name service
說明：其中137、138是udp埠，當通過網上鄰居傳輸文件時用這個埠。而139埠：通過這個埠進入的連接試圖獲得netbios/smb服務。這個協議被用於windows文件和列印機共享和samba。還有wins regisrtation也用它。
埠：143
服務：interim mail access protocol v2
說明：和pop3的安全問題一樣，許多imap伺服器存在有緩沖區溢出漏洞。記住：一種linux蠕蟲（admv0rm）會通過這個埠繁殖，因此許多這個埠的掃描來自不知情的已經被感染的用戶。當redhat在他們的linux發布版本中默認允許imap後，這些漏洞變的很流行。這一埠還被用於imap2，但並不流行。
埠：161
服務：snmp
說明：snmp允許遠程管理設備。所有配置和運行信息的儲存在資料庫中，通過snmp可獲得這些信息。許多管理員的錯誤配置將被暴露在internet。cackers將試圖使用默認的密碼public、private訪問系統。他們可能會試驗所有可能的組合。snmp包可能會被錯誤的指向用戶的網路。
埠：177
服務：x display manager control protocol
說明：許多入侵者通過它訪問x－windows操作台，它同時需要打開6000埠。
埠：389
服務：ldap、ils
說明：輕型目錄訪問協議和netmeeting internet locator server共用這一埠。
埠：443
服務：https
說明：網頁瀏覽埠，能提供加密和通過安全埠傳輸的另一種http。
埠：456
服務：【null】
說明：木馬hackers paradise開放此埠。
埠：513
服務：login,remote login
說明：是從使用cable modem或dsl登陸到子網中的unix計算機發出的廣播。這些人為入侵者進入他們的系統提供了信息。
埠：544
服務：【null】
說明：kerberos kshell
埠：548
服務：macintosh,file services(afp/ip)
說明：macintosh,文件服務。
埠：553
服務：corba iiop （udp）
說明：使用cable modem、dsl或vlan將會看到這個埠的廣播。corba是一種面向對象的rpc系統。入侵者可以利用這些信息進入系統。
埠：555
服務：dsf
說明：木馬phase1.0、stealth spy、inikiller開放此埠。
埠：568
服務：membership dpa
說明：成員資格 dpa。
埠：569
服務：membership msn
說明：成員資格 msn。
埠：635
服務：mountd
說明：linux的mountd bug。這是掃描的一個流行bug。大多數對這個埠的掃描是基於udp的，但是基於tcp的mountd有所增加（mountd同時運行於兩個埠）。記住mountd可運行於任何埠（到底是哪個埠，需要在埠111做portmap查詢），只是linux默認埠是635，就像nfs通常運行於2049埠。
埠：636
服務：ldap
說明：ssl（secure sockets layer）
埠：666
服務：doom id software
說明：木馬attack ftp、satanz backdoor開放此埠
埠：993
服務：imap
說明：ssl（secure sockets layer）
『玖』 為什麼有些網站不能直接用FTP上傳而只能用"SSH Secure Shell"
你好
簡單的用putty就可以了 直接登入阿 填寫對方伺服器的ip地址就可以了
嘿嘿 沒用過這個 具體的自己琢磨下拉 它這個東西還可以實現ftp的類似功能
參考一下
SSH：安全外殼協議
（SSH: Secure Shell Protocol）
安全外殼協議（SSH）是一種在不安全網路上提供安全遠程登錄及其它安全網路服務的協議。 SSH 主要有三部分組成：
傳輸層協議 [SSH-TRANS] 提供了伺服器認證，保密性及完整性。此外它有時還提供壓縮功能。 SSH-TRANS 通常運行在 TCP/IP連接上，也可能用於其它可靠數據流上。 SSH-TRANS 提供了強力的加密技術、密碼主機認證及完整性保護。該協議中的認證基於主機，並且該協議不執行用戶認證。更高層的用戶認證協議可以設計為在此協議之上。
用戶認證協議 [SSH-USERAUTH] 用於向伺服器提供客戶端用戶鑒別功能。它運行在傳輸層協議 SSH-TRANS 上面。當 SSH-USERAUTH 開始後，它從低層協議那裡接收會話標識符（從第一次密鑰交換中的交換哈希 H ）。會話標識符唯一標識此會話並且適用於標記以證明私鑰的所有權。 SSH-USERAUTH 也需要知道低層協議是否提供保密性保護。
連接協議 [SSH-CONNECT] 將多個加密隧道分成邏輯通道。它運行在用戶認證協議上。它提供了互動式登錄話路、遠程命令執行、轉發 TCP/IP 連接和轉發 X11 連接。
一旦建立一個安全傳輸層連接，客戶機就發送一個服務請求。當用戶認證完成之後，會發送第二個服務請求。這樣就允許新定義的協議可以與上述協議共存。連接協議提供了用途廣泛的各種通道，有標準的方法用於建立安全互動式會話外殼和轉發（「隧道技術」）專有 TCP/IP 埠和 X11 連接。
通過使用SSH，你可以把所有傳輸的數據進行加密，這樣"中間人"這種攻擊方式就不可能實現了，而且也能夠防止DNS欺騙和IP欺騙。使用SSH，還有一個額外的好處就是傳輸的數據是經過壓縮的，所以可以加快傳輸的速度。SSH有很多功能，它既可以代替Telnet，又可以為FTP、PoP、甚至為PPP提供一個安全的"通道"。
SSH分為兩部分：客戶端部分和服務端部分。
服務端是一個守護進程(demon)，他在後台運行並響應來自客戶端的連接請求。服務端一般是sshd進程，提供了對遠程連接的處理，一般包括公共密鑰認證、密鑰交換、對稱密鑰加密和非安全連接。
客戶端包含ssh程序以及像scp（遠程拷貝）、slogin（遠程登陸）、sftp（安全文件傳輸）等其他的應用程序。
他們的工作機制大致是本地的客戶端發送一個連接請求到遠程的服務端，服務端檢查申請的包和IP地址再發送密鑰給SSH的客戶端，本地再將密鑰發回給服務端，自此連接建立。剛才所講的只是SSH連接的大致過程，SSH 1.x和SSH 2.x在連接協議上還有著一些差異。
SSH被設計成為工作於自己的基礎之上而不利用超級伺服器(inetd)，雖然可以通過inetd上的tcpd來運行SSH進程，但是這完全沒有必要。啟動SSH伺服器後，sshd運行起來並在默認的22埠進行監聽（你可以用 # ps -waux | grep sshd 來查看sshd是否已經被正確的運行了）如果不是通過inetd啟動的SSH，那麼SSH就將一直等待連接請求。當請求到來的時候SSH守護進程會產生一個子進程，該子進程進行這次的連接處理。
但是因為受版權和加密演算法的限制，現在很多人都轉而使用OpenSSH。OpenSSH是SSH的替代軟體，而且是免費的，
能看懂吧