端口全网监听分析思路
【现场现象与场景】
CIE1:~ # netstat -anp | grep tcp | grep LISTEN | sort
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN 10490/rpcbind
tcp 0 0 0.0.0.0:2049 0.0.0.0:* LISTEN -
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 26667/sshd
tcp 0 0 0.0.0.0:4051 0.0.0.0:* LISTEN -
tcp 0 0 0.0.0.0:4052 0.0.0.0:* LISTEN 10516/rpc.statd
tcp 0 0 0.0.0.0:815 0.0.0.0:* LISTEN 10513/rpc.mountd
tcp 0 0 ::1:6010 :::* LISTEN 9834/1
tcp 0 0 ::1:6011 :::* LISTEN 9834/1
tcp 0 0 ::1:6012 :::* LISTEN 9834/1
tcp 0 0 :::111 :::* LISTEN 10490/rpcbind
tcp 0 0 :::1521 :::* LISTEN 26578/tnslsnr
tcp 0 0 :::2049 :::* LISTEN -
tcp 0 0 :::4051 :::* LISTEN -
CIE1:~ # netstat -anp | grep udp | sort
udp 0 0 0.0.0.0:111 0.0.0.0:* 10490/rpcbind
udp 0 0 0.0.0.0:123 0.0.0.0:* 9542/ntpd
udp 0 0 0.0.0.0:2049 0.0.0.0:* -
udp 0 0 0.0.0.0:4051 0.0.0.0:* -
udp 0 0 0.0.0.0:4052 0.0.0.0:* 10516/rpc.statd
udp 0 0 0.0.0.0:815 0.0.0.0:* 10513/rpc.mountd
udp 0 0 0.0.0.0:913 0.0.0.0:* 10490/rpcbind
udp 0 0 0.0.0.0:940 0.0.0.0:* 10516/rpc.statd
udp 0 0 ::1:123 :::* 9542/ntpd
udp 0 0 ::1:47355 :::* 25748/ora_pmon_i2kd
udp 0 0 ::1:54125 ::1:54125 ESTABLISHED 13973/proton: dmuus
udp 0 0 :::111 :::* 10490/rpcbind
udp 0 0 :::123 :::* 9542/ntpd
udp 0 0 :::2049 :::* -
udp 0 0 :::4051 :::* -
udp 0 0 :::56927 :::* 25797/ora_mmon_i2kd
udp 0 0 :::913 :::* 10490/rpcbind
【分析思路与总结】
后续大家测试端口认证的时候可以参考下面几点来分析：
1、0.0.0.0：端口号和:::端口号，这种才是全网监听
1）查到全网监听，首先要看进程或者服务，如果是rpc和ssh相关的，已经出安全配置资料，就不是问题
2）从结果看不出进程和服务的，根据经验很可能是rpc子服务开的端口，大家可以用rpcinfo命令来查看
2、::1:端口号，这种是非问题，是IPv6的本地监听
3、有些服务CIE安装出的OS是默认关闭的，就没有开通端口。
如果扫描发现有些端口开通了全网监听，要看看这个服务在默认OS安装是不是开启的
4、确实有端口开通了全网监听的，要查看进程和服务看看是否为CIE模块或者OS系统服务，准确定位后提单