Port- og tjenesteopslag

Søg i portregistret i begge retninger: skriv et tal som 443 eller et tjenestenavn som postgresql, så viser tabellen alle tildelinger, der matcher, den transportprotokol de bruger, det område de ligger i, og hvad porten er til. Data er en kopi af det offentlige register, der ligger inde i denne side, så opslaget virker uden nogen netværksforbindelse, og intet, man skriver, forlader browseren. Denne side scanner ikke porte, og den kan ikke fortælle, hvilke porte der er åbne på en given maskine — den fortæller, hvad et tal betyder.
Portnummer eller tjenestenavn
Tildelinger
Offline-reference indlæst. Intet er sendt nogen steder hen.
Skriv et tal eller et tjenestenavn, eller vælg et eksempel ovenfor.
De tre portområder, og hvorfor tallet alene afgør, hvem der må bruge det
Velkendte porte, 0 til 1023. Disse tildeles én ad gangen til bestemte protokoller og er de eneste porte, der betyder det samme overalt: 22 er SSH, 80 er almindelig HTTP, 443 er HTTP over TLS. På en server kan de normalt kun nås af en proces med administrative rettigheder, og netop derfor er en dæmon, der ikke har noget at gøre med at lytte dér, værd at kigge nærmere på.

Registrerede porte, 1024 til 49151. Disse registreres på samme måde, men enhver proces må bruge dem, så et tal her fortæller om den registrerede brug og ikke om den brug, der foregår foran én: 8080 og 8443 er registreret som alternativer og bruges lige så ofte til noget helt andet, og en udviklingsserver kan dukke op på et hvilket som helst tal i dette område.

Dynamiske eller private porte, 49152 til 65535. Disse er bevidst ikke tildelt: et operativsystem vælger en til den udgående ende af en forbindelse, og den betyder ikke noget stabilt. Et tal i dette område kan kun læses ud fra konteksten for én samtale, og derfor kan en offline-reference ikke sige noget nyttigt om det.

Sådan læses tabellen. Registret tildeler porte til protokol og transport samtidig, og ét tal kan bære flere uafhængige tjenester: 514 er den eksterne shell på TCP og syslog på UDP, 465 bærer både en ældre mail-indleveringstjeneste og en IGMP-variant. Når en række angiver mere end ét tjenestenavn, så kig på transporten i parentes ved siden af hvert navn, før man beslutter, hvilket der hører til ens trafik. Et manglende tal er ikke en fejl: registret har simpelthen ingen tildeling til det, og siden vil stadig fortælle, hvilket område det falder i.
Et nærmere kig: tjenester, der eksponeres ved en fejl langt oftere end med vilje
Sådan bruges listen.Intet her siger, at en port er åben — kun at hvis tjenesten bag den svarer alle, der kan nå maskinen, er risikoen højere, end tjenestens alder antyder. Kontrollér disse på maskiner, man selv ejer, indefra, med det værktøj, der følger med systemet:

Klartekst med vilje. 23 telnet 21 ftp 389 ldap 161 snmp — hvad enten en adgangskode eller community-streng krydser ledningen i klartekst.
Filedeling og fjernstyring. 445 139 137 3389 5900 — disse er beregnet til et lokalt netværk og bør aldrig kunne nås fra internettet, hvilket er grunden til, at de er det klassiske indgangspunkt, der findes ved scanning.
Databaser og caches. 3306 1433 5432 6379 27017 11211 — de fleste af disse er designet til at sidde bag en applikation, og flere har ingen autentificering overhovedet i deres standardkonfiguration.
Kontrolgrænseflader. 2375 — en API, der kan starte containere på værten, registreret i klartekst ved siden af en krypteret søskende. At nå den svarer til at køre kommandoer på maskinen.
Et nummer lånt af en populær tjeneste. 9200 — registret angiver dette som en mobil webtjenestes port, og det samme nummer bruges i vid udstrækning af et søgemaskineprodukt, der ikke står i registret. Rækker som denne er grunden til, at tabellen viser den registrerede hensigt og ikke en liste over produkter.

Hvad man gør i stedet for at gætte.På en maskine, man selv kontrollerer, spørger man operativsystemet, hvilken proces der holder en port (ss -lntuppå Linux,netstat -abnopå Windows), og afgør ud fra svaret. At en port kan nås, er et konfigurationsspørgsmål, og rettelsen er at stoppe tjenesten, binde den til loopback-adressen eller sætte den bag en firewall — i den rækkefølge.