端口可分為3大類:

　　1) 公認端口(Well Known Ports):從0到1023，它們緊密綁定于一些服務。通常這些端口的通訊明確表明了某種服 務的協(xié)議。例如:80端口實際上總是HTTP通訊。

　　2) 注冊端口(Registered Ports):從1024到49151。它們松散地綁定于一些服務。也就是說有許多服務綁定于這些端口，這些端口同樣用于許多其它目的。例如:許多系統(tǒng)處理動態(tài)端口從1024左右開始。

　　3) 動態(tài)和/或私有端口(Dynamic and/or Private Ports):從49152到65535。理論上，不應為服務分配這些端口。實際上，機器通常從1024起分配動態(tài)端口。但也有例外:SUN的RPC端口從32768開始。

　　本節(jié)講述通常TCP/UDP端口掃描在防火墻記錄中的信息。記住:并不存在所謂ICMP端口。如果你對解讀ICMP數(shù)據(jù)感興趣，請參看本文的其它部分。0通常用于分析操作系統(tǒng)。這一方法能夠工作是因為在一些系統(tǒng)中“0”是無效端口，當你試 圖使用一種通常的閉合端口連接它時將產(chǎn)生不同的結(jié)果。一種典型的掃描:使用IP地址為 0.0.0.0，設置ACK位并在以太網(wǎng)層廣播。 1 tcpmux 這顯示有人在尋找SGIIrix機器。Irix是實現(xiàn)tcpmux的主要提供者，缺省情況下tcpmux在這種系統(tǒng)中被打開。Iris機器在發(fā)布時含有幾個缺省的無密碼的帳戶，如lp,guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝后忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux 并利用這些帳戶。 7Echo你能看到許多人們搜索Fraggle放大器時，發(fā)送到x.x.x.0和x.x.x.255的信息。常見的一種DoS攻擊是echo循環(huán)(echo-loop)，攻擊者偽造從一個機器發(fā)送到另一個UDP數(shù)據(jù)包，而兩個機器分別以它們最快的方式回應這些數(shù)據(jù)包。(參見Chargen) 另一種東西是由DoubleClick在詞端口建立的TCP連接。有一種產(chǎn)品叫做Resonate Global Dispatch”，它與DNS的這一端口連接以確定最近的路由。Harvest/squid cache將從3130端口發(fā)送UDPecho:“如果將cache的source_ping on選項打開，它將對原始主機的UDP echo端口回應一個HIT reply。”這將會產(chǎn)生許多這類數(shù)據(jù)包。

　　11 sysstat這是一種UNIX服務，它會列出機器上所有正在運行的進程以及是什么啟動了這些進程。這為入侵者提供了許多信息而威脅機器的安全，如暴露已知某些弱點或帳戶的程序。這與UNIX系統(tǒng)中“ps”命令的結(jié)果相似再說一遍:ICMP沒有端口，ICMP port 11通常是ICMPtype=1119 chargen 這是一種僅僅發(fā)送字符的服務。UDP版本將會在收到UDP包后回應含有垃圾字符的包。TCP連接時，會發(fā)送含有垃圾字符的數(shù)據(jù)流知道連接關(guān)閉。Hacker利用IP欺騙可以發(fā)動DoS攻擊偽造兩 個chargen服務器之間的UDP由于服務器企圖回應兩個服務器之間的無限的往返數(shù)據(jù)通訊一個chargen和echo將導致服務器過載。同樣fraggle DoS攻擊向目標地址的這個端口廣播一個帶有偽造受害者IP的數(shù)據(jù)包，受害者為了回應這些數(shù)據(jù)而過載。