67和68 Bootp和DHCP UDP上的Bootp/DHCP：通过DSL和cable-modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址分配。Hacker常进入他们分配一个地址把自己作为局部路由器而发起大量的“中间人”（man-in-middle）攻击。客户端向68端口（bootps）广播请求配置，服务器向67端口（bootpc）广播回应请求。这种回应使用广播是因为客户端还不知道能够发送的IP地址。

　　69 TFTP（UDP） 许多服务器和bootp一起提供这项服务，便于从系统下载启动代码。但是他们常常错误配置而从系统提供任何文档，如密码文档。他们也可用于向系统写入文档。

　　79 finger Hacker用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器finger扫描。

　　98 linuxconf 这个程式提供linux boxen的简单管理。通过整合的HTTP服务器在98端口提供基于Web界面的服务。他已发现有许多安全问题。一些版本setuid root，信任局域网，在/tmp下建立Internet可访问的文档，LANG环境变量有缓冲区溢出。此外因为他包含整合的服务器，许多典型的HTTP漏洞可能存在（缓冲区溢出，历遍目录等）

　　109 POP2 并不象POP3那样有名，但许多服务器同时提供两种服务（向后兼容）。在同一个服务器上POP3的漏洞在POP2中同样存在。

　　110 POP3 用于客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交换缓冲区溢出的弱点至少有20个（这意味着Hacker能够在真正登陆前进入系统）。成功登陆后更有其他缓冲区溢出错误。

　　111 sunrpc portmap rpcbind Sun RPC PortMapper/RPCBIND.访问portmapper是扫描系统查看允许哪些RPC服务的最早的一步。常见RPC服务有：rpc.mountd， NFS， rpc.statd， rpc.csmd， rpc.ttybd， amd等。入侵者发现了允许的RPC服务将转向提供服务的特定端口测试漏洞。

　　记住一定要记录线路中的daemon， IDS， 或sniffer，您能够发现入侵者正使用什么程式访问以便发现到底发生了什么。

　　113 Ident auth 这是个许多机器上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务能够获得许多机器的信息（会被Hacker利用）。但是他可作为许多服务的记录器，尤其是FTP， POP， IMAP， SMTP和IRC等服务。通常假如有许多客户通过防火墙访问这些服务，您将会看到许多这个端口的连接请求。记住，假如您阻断这个端口客户端会感觉到在防火墙另一边和e-mail服务器的缓慢连接。许多防火墙支持在TCP连接的阻断过程中发回RST，着将回停止这一缓慢的连接。

　　119 NNTP news 新闻组传输协议，承载USENET通讯。当您链接到诸如：news://comp.security.firewalls/. 的地址时通常使用这个端口。这个端口的连接企图通常是人们在寻找USENET服务器。多数ISP限制只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送spam.

　　135 oc-serv MS RPC end-point mapper Microsoft在这个端口运行DCE RPC end-point mapper为他的DCOM服务。这和UNIX 111端口的功能很相似。使用DCOM和/或RPC的服务利用机器上的end-point mapper注册他们的位置。远端客户连接到机器时，他们查询end-point mapper找到服务的位置。同样Hacker扫描机器的这个端口是为了找到诸如：这个机器上运行Exchange Server吗？是什么版本？

　　这个端口除了被用来查询服务（如使用epdump）还能够被用于直接攻击。有一些DoS攻击直接针对这个端口。

　　137 NetBIOS name service nbtstat （UDP） 这是防火墙管理员最常见的信息，请仔细阅读文章后面的NetBIOS一节

　　139 NetBIOS　File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于Windows“文档和打印机共享”和SAMBA.在Internet上共享自己的硬盘是可能是最常见的问题。

　　大量针对这一端口始于1999，后来逐渐变少。2000年又有回升。一些VBS（IE5 VisualBasic Scripting）开始将他们自己拷贝到这个端口，试图在这个端口繁殖。

　　143 IMAP 和上面POP3的安全问题相同，许多IMAP服务器有缓冲区溢出漏洞运行登陆过程中进入。记住：一种Linux蠕虫（admw0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中默认允许IMAP后，这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播的蠕虫。

　　这一端口还被用于IMAP2，但并不流行。

　　已有一些报道发现有些0到143端口的攻击源于脚本。

　　161 SNMP（UDP） 入侵者常探测的端口。SNMP允许远程管理设备。任何配置和运行信息都储存在数据库中，通过SNMP客获得这些信息。许多管理员错误配置将他们暴露于Internet.Crackers将试图使用缺省的密码“public”“private”访问系统。他们可能会试验任何可能的组合。

　　SNMP包可能会被错误的指向您的网络。Windows机器常会因为错误配置将HP JetDirect remote management软件使用SNMP.HP OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名，您会看见这种包在子网内广播（cable modem， DSL）查询sysName和其他信息。

　　162 SNMP trap 可能是由于错误配置

　　177 xdmcp 许多Hacker通过他访问X-Windows控制台， 他同时需要打开6000端口。

　　513 rwho 可能是从使用cable modem或DSL登陆到的子网中的UNIX机器发出的广播。这些人为Hacker进入他们的系统提供了很有趣的信息。

　　553 CORBA IIOP （UDP） 假如您使用cable modem或DSL VLAN，您将会看到这个端口的广播。CORBA是一种面向对象的RPC（remote procedure call）系统。Hacker会利用这些信息进入系统。

　　600 Pcserver backdoor 请查看1524端口

　　一些玩script的孩子认为他们通过修改ingreslock和pcserver文档已完全攻破了系统—— Alan J. Rosenthal.

　　635 mountd Linux的mountd Bug.这是人们扫描的一个流行的Bug.大多数对这个端口的扫描是基于UDP的，但基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住，mountd可运行于任何端口（到底在哪个端口，需要在端口111做portmap查询），只是Linux默认为635端口，就象NFS通常运行于2049端口。

　　1024 许多人问这个端口是干什么的。他是动态端口的开始。许多程式并不在乎用哪个端口连接网络，他们请求操作系统为他们分配“下一个闲置端口”。基于这一点分配从端口1024开始。这意味着第一个向系统请求分配动态端口的程式将被分配端口1024.为了验证这一点，您能够重启机器，打开Telnet，再打开一个窗口运行“natstat -a”，您将会看到Telnet被分配1024端口。请求的程式越多，动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍，当您浏览Web页时用“netstat”查看，每个Web页需要一个新端口。