個人防火牆普及後，使用者常因日誌滿滿的「封鎖記錄」而恐慌。實則多為常規網路流量、掃描探測、P2P 連線殘留。本文詳細解讀常見 TCP/UDP 連接埠含義，助你判斷：是駭客攻擊，還是正常雜訊？
防火牆日誌中「ICMP 連接埠」是錯誤標示，ICMP 僅有「類型/代碼」。見到連接埠 0、7、11 等多為 ICMP 類型代碼被誤標。
| Port | 服務/協定 | 典型日誌意義與應對 |
|---|---|---|
| 0 | OS 指紋識別 | 嘗試連接無效埠 0 分析回應差異判斷作業系統。屬偵察行為，防火牆封鎖即可。 |
| 1 | tcpmux | 尋找 SGI Irix 主機，利用預設無密碼帳號 (lp, guest, uucp...) 入侵。極舊漏洞，現罕見。 |
| 7 | Echo | Fraggle DoS 放大攻擊 (偽造來源 IP 廣播至 x.x.x.0/255)；或 DoubleClick/Resonate 連線。見大量廣播封包需警惕。 |
| 11 | systat | 列出遠端 UNIX 進程資訊 (如 ps)，洩露服務版本、帳號。應封鎖對外。 |
| 19 | chargen | 字符產生器，可被利用做 DoS 迴路攻擊 (偽造 UDP 封包雙向洪流)。封鎖對外。 |
| 21 | FTP | 掃描匿名登入可寫入目錄，作為 Warez/色情資源跳板。若非架站需求，封鎖對外。 |
| 22 | SSH | 遠端管理，常被暴力破解。建議：改非標準埠、禁用密碼登入改金鑰、僅允信任 IP。 |
| 23 | Telnet | 明文傳輸，極度不安全。掃描者通常為識別 OS 或嘗試暴力破解。全面封鎖。 |
| 25 | SMTP | 垃圾郵件發送者尋找開放轉發站；Sendmail 歷史漏洞多。非郵件伺服器請封鎖。 |
| 53 | DNS | 區域傳輸 (TCP)、DNS 偽造 (UDP)、隱蔽通道。防火牆應限制僅允許內部查詢外部，封鎖外部主動查詢內部權威 DNS。 |
| 67/68 | DHCP/BOOTP | 用戶端廣播尋址 (68→67)。若見大量 255.255.255.255 封包屬正常；偽造 DHCP 伺服器可發動中間人攻擊。 |
| 69 | TFTP | 無認證檔案傳輸，常因誤設導致密碼檔洩露或被寫入後門。非必要封鎖。 |
| 79 | Finger | 查詢用戶資訊、OS 版本、緩衝區溢出探測。封鎖對外。 |
| 80/8080/3128/8888 | HTTP/Proxy | 掃描開放代理匿名上網；聊天室檢測用戶是否走代理。非代理伺服器封鎖對外。 |
| 110/109 | POP3/POP2 | 郵件接收，已知 20+ 緩衝區溢出漏洞 (登入前即可入侵)。非郵件伺服器封鎖。 |
| 111 | SunRPC/Portmap | RPC 服務入口，查詢可用 RPC 服務 (NFS, mountd...)。極高風險，**必須封鎖對外**。 |
| 113 | Ident/Auth | IRC/郵件伺服器回查用戶身分。封鎖會導致郵件/IRC 連線延遲；建議防火牆回應 RST 而非 DROP。 |
| 135 | MS RPC / DCOM | Windows 端點對應器，查詢 DCOM 服務 (Exchange 版本等)。Blaster 蠕蟲等蠕蟲利用此埠。**對外嚴禁開放**。 |
| 139/445 | NetBIOS/SMB | 檔案共享。Internet 直接開放等同裸奔。**嚴禁對外開放**，僅限區域網路受信任區段。 |
| 143 | IMAP | 郵件協定，同 POP3 多緩衝區溢出。Linux 蠕蟲 admw0rm 曾利用此埠傳播。非郵件伺服器封鎖。 |
| 161/162 | SNMP | 網管協定，預設社群字串 public/private 極易被讀寫配置。誤配置常導致洩露。非網管設備封鎖。 |
| 445 | SMB over IP | 同 139，現代 Windows 檔案共享核心埠。**永勿對外開放**。 |
| 1024-1030 | 動態埠起始 | 首個請求動態埠的程式獲分配 1024。見此埠多為正常用戶端外連 (瀏覽、郵件)。 |
| 1080 | SOCKS Proxy | 錯誤配置可讓外部攻擊穿透防火牆。WinGate 等軟體常見誤配。非代理封鎖。 |
| 1243/27374/6776 | SubSeven 木馬 | 經典後門程式。見此埠連線嘗試極大機率遭種植木馬，**立即全盤掃毒**。 |
| 1524 | ingreslock 後門 | 攻擊腳本植入 Shell 之埠。Telnet 連此埠若得 Shell 即確認被植入。立即處理。 |
| 31337 | Back Orifice (Elite) | 駭客術語 "elite" (31337)。經典後門埠，近年較少見但仍具參考價值。 |
| 32770-32900 | Solaris RPC | 早期 Solaris portmapper 置於高埠區繞過防火牆低埠封鎖。針對 Sun 系統攻擊。 |
| 33434-33600 | Traceroute | UDP 封包 TTL 遞增探測路徑。見此範圍 UDP 封包屬正常路由追蹤，非攻擊。 |
善用日誌分析、結合 IDS/IPS、定期更新規則庫，將防火牆從「報警器」變為「情報中心」。
