危险端口包藏祸心 关!

　　编者按:上一期，我们介绍了如何对本地系统中的TCP连接进行自检。相信很多读者在看后都会觉得不管是正常程序还是木马、病毒建立的TCP连接，都是从本地(或远端)系统的某个端口发起的，数据通过网络传输后，在远端(或本地)系统的某个端口结束。因此在整个通信过程中“端口”起着至关重要的作用。

　　本地系统端口的开放情况，以及某个端口所关联的具体程序是否正常，直接关系到本地系统的安全、稳定。因此“端口自检”也是抵御病毒、木马和黑客入侵的一种重要手段。本期，笔者将重点介绍如何对本地系统的端口进行安全自检。

　2.扫描端口，检测安全性

　　扫描本地系统的端口开放情况，最好在远端机器中进行。下面笔者要扫描IP地址为“192.168.1.28”的机器的端口开放情况，在远端机器中运行SuperScan3.0(见图)，在“IP起始”栏中输入“192.168.1.28”，在“结束”栏中也输入“192.168.1.28”，这表示扫描的目标就是IP地址为“192.168.1.28”的机器。

主界面

　　然后在“扫描类型”栏中选中“所有端口定义”单选项，在后面的空白栏中输入“1-65535”，这表示要扫描目标机器“1-65535”的端口。点击“开始”按钮，SuperScan就开始扫描目标机器的端口，并在下方的列表框中显示出开放的端口号，用户就可知道本地系统中有哪些端口开放了，如果发现不熟悉的端口号可以通过网络查询“常用端口对应表”，了解相关端口号的具体情况。

　　提示:常用端口对应表请参看http://www.mh.fy.cn/2005/常用网络端口对应表.txt。

　　3.如何辨别漏洞

　　如果碰到某些高端端口已开放，而且在“常用端口对应表”中无法查找到时，你就得留意了。为了防止可疑的高端端口对本地系统带来安全隐患，或引来致命攻击，建议大家在第一时间内升级病毒和网络防火墙，即时查杀和封堵系统中存在的可疑程序。

　　方法总结:利用SuperScan虽然可以清楚地查看本地系统的端口开放情况，但它有很大的不足。你找到的可疑端口一定就是病毒或木马留下的后门吗?这个很难说，也许这个端口是你不了解的本地系统中的正常应用程序所使用的端口，如果不假思索封闭该端口，很可能会影响系统的运行。

　　对一般用户来说，端口自检通常包括查看开放端口、查看端口和进程的关联这两种方法，使用这两种方法，可以快速、高效地找出本地系统中开放了哪些端口，以及哪些端口是可疑、高危险端口，确定当前开放端口的危险级别，还可揪出系统中隐藏的病毒或木马，能有效防止他人的入侵。

　　一个不漏:检查已开放的端口

　　端口就像网络通信中的一扇窗户，要想进行通信就必须开放某些特定的端口。然而，大家必须特别注意，对于已经打开的窗户，一定要做到心中有数，否则就会有“窃贼”乘虚而入。

　　1.哪些端口最危险

　　对于本地系统中的应用程序来说，它们一般使用大于1024的高端端口，如QQ客户端程序使用UDP 4000端口进行通信。而病毒、木马和间谍软件等高危险性程序同样会使用高端端口进行传播、攻击，而且它们使用的高端端口号比较隐蔽，一般用户很难发现。

　　因此，对本地系统中开放的端口进行自检是有必要的，这样一来用户就可掌握系统开放端口的情况，病毒、木马使用的端口就无处遁形。

　　SuperScan(下载地址：新浪下载中心)就是笔者向大家推荐的端口扫描工具，利用这款工具，大家可以自检端口的开放状况。

理清关系:查看端口和进程关联

　　窗户打开了，但进来的一定就是新鲜空气吗?它也很可能是蚊虫和细菌乘虚而入的通道。要想保证本地系统的安全，必须快速、准确地找出哪些是高危险端口。

　　笔者刚才提到了SuperScan对端口进行自检的不足，那么如何才能确定某个端口就是“恐怖分子”所为呢?单纯通过端口号进行判断会证据不足的，这时不妨利用与该可疑端口相关联的进程来取证，找到使用该端口的进程，通过分析它的进程名、路径和主程序名，来进行锁定。这样一来，对可疑端口地判断就比较准确了。

　　Windows系统自带的命令或工具无法查看端口和进程的关联，这时不妨考虑动用第三方工具(如Fport和Active Ports等)。下面笔者就介绍一下如何查看端口与进程的关联。

　　小知识:关联

　　所谓端口和进程的关联，是指某个程序的进程使用哪个或哪些通信端口进行通信，这样一来进程就会和这些通信端口建立起联系，这就是大家所说的关联。

　　1.快捷，用命令查关联

　　Fport(下载地址:新浪下载中心)是一个命令行工具，在Windows系统“命令提示符”窗口中运行“Fport”命令后回车，就会显示本地系统中所有进程的通信情况，而且每个进程项目所包含的信息都很详细。

　　通过本地端口号属性栏，查明可疑端口号对应哪个进程项目，接着就能找到该端口所对应的进程名，以及它的路径和主程序名。通过这些有力的证据，能够很容易地判断出该端口是不是被木马和病毒所利用，准确性很高。

　　2.直观，用工具查寻关联

　　Fport工具毕竟是一个命令，有些用户使用起来很不习惯。那么大家不妨使用一下图形用户界面下的关联查看工具Active Ports。

　　Active Ports(下载地址:http://ftp15.enet.com.cn:83/pub/network/ip/aports.zip)提供的端口和进程关联查看和Fport基本相同，只不过Active Ports是在图形用户界面下使用的，操作起来更方便，而且它的功能也很强，除了提供进程ID(PID)、进程名、使用的本地端口号、使用的通信协议以及该进程的路径和主程序名外，还提供远端机器的IP地址、远程端口号和通信状态等。

　　方法总结:Fport和Active Ports可以快速查找出端口和进程的关联情况，但它们也有小小的不足之处，这就是它们无法动态监控端口和进程的关联情况。如果用户有特殊需要，想看动态监控端口和进程的关联，不妨使用微软提供的“PortReporter”。

　　关门:禁用高危端口

　　准确找出病毒或木马使用的可疑端口后，首先要利用进程管理器结束这个恶意进程(如Windows进程管理器、Active Ports等)，然后即时升级病毒库和个人网络防火墙，查杀系统中存在的病毒和木马。当然，为了保险起见，还可利用个人网络防火墙定制通信规则阻断某个端口与互联网的通信，甚至可以利用“TCP/IP”筛选功能禁用这些高危险端口。

　　没有最好，只有更好，虽然以上介绍的两种端口自检方法都有不足之处，但将两种方法相结合，相辅相成，完全可以满足绝大多数用户的端口安全需要。在端口自检操作过程中，用户一定要细心谨慎，防止错判和误判的发生，相信病毒和木马都逃脱不了这对火眼金睛地甄别。