0
Reserved
通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效 ，当你试图使用通常的闭合 连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。
1
tcpmux
这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户，如 IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐户。
7
Echo
能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。
19
Character Generator
这是一种仅仅发送字符的 。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen 器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个 广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
21
FTP
FTP 器所开放的 ，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP 器的方法。这些 器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的 。
22
Ssh
PcAnywhere建立的TCP和这一 的连接可能是为了寻找ssh。这一 有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
23
Telnet
远程登录，入侵者在搜索远程登录UNIX的 。大多数情况下扫描这一 是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个 。
25
SMTP
SMTP 器所开放的 ，用于发送邮件。入侵者寻找SMTP 器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL 器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个 。
31
MSG Authentication
木马Master Paradise、Hackers Paradise开放此 。
42
WINS Replication
WINS复制
53
Domain Name Server（DNS）
DNS 器所开放的 ，入侵者可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其他的通信。因此防火墙常常过滤或记录此 。
67
Bootstrap Protocol Server
通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP 器请求一个地址。HACKER常进入它们，分配一个地址把自己作为局部路由器而发起大量中间人（man-in-middle）攻击。客户端向68 广播请求配置， 器向67 广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。
69
Trival File Transfer
许多 器与bootp一起提供这项 ，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。
79
Finger Server
入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。
80
HTTP
用于网页浏览。木马Executor开放此 。
99
Metagram Relay
后门程序ncx99开放此 。
102
Message transfer agent(MTA)-X.400 over TCP/IP
消息传输代理。
109
Post Office Protocol -Version3
POP3 器开放此 ，用于接收邮件，客户端访问 器端的邮件 。POP3 有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。
110
SUN公司的RPC 所有
常见RPC 有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等
113
Authentication Service
这是一个许多计算机上运行的协议，用于鉴别TCP连接的用户。使用标准的这种 可以获得许多计算机的信息。但是它可作为许多 的记录器，尤其是FTP、POP、IMAP、SMTP和IRC等 。通常如果有许多客户通过防火墙访问这些 ，将会看到许多这个 的连接请求。记住，如果阻断这个 客户端会感觉到在防火墙另一边与E-MAIL 器的缓慢连接。许多防火墙支持TCP连接的阻断过程中发回RST。这将会停止缓慢的连接。
119
Network News Transfer Protocol
NEWS新闻组传输协议，承载USENET通信。这个 的连接通常是人们在寻找USENET 器。多数ISP限制，只有他们的客户才能访问他们的新闻组 器。打开新闻组 器将允许发/读任何人的帖子，访问被限制的新闻组 器，匿名发帖或发送SPAM。
135
Location Service
Microsoft在这个 运行DCE RPC end-point mapper为它的DCOM 。这与UNIX 111 的功能很相似。使用DCOM和RPC的 利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到 的位置。HACKER扫描计算机的这个 是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS攻击直接针对这个 。
137、138、139
NETBIOS Name Service
其中137、138是UDP ，当通过网上邻居传输文件时用这个 。而139 通过这个 进入的连接试图获得NetBIOS/SMB 。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。
143
Interim Mail Access Protocol v2
和POP3的安全问题一样，许多IMAP 器存在有缓冲区溢出漏洞。记住 一种LINUX蠕虫（admv0rm）会通过这个 繁殖，因此许多这个 的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认允许IMAP后，这些漏洞变的很流行。这一 还被用于IMAP2，但并不流行。
161
SNMP
SNMP允许远程管理设备。所有配置和运行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络。
177
X Display Manager Control Protocol
许多入侵者通过它访问X-windows操作台，它同时需要打开6000 。
389
LDAP、ILS
轻型目录访问协议和NetMeeting Internet Locator Server共用这一 。
443
Https
网页浏览 ，能提供加密和通过安全 传输的另一种HTTP。
456
[NULL]
木马HACKERS PARADISE开放此 。
513
Login,remote login
是从使用cable modem或DSL登陆到子网中的UNIX计算机发出的广播。这些人为入侵者进入他们的系统提供了信息。
544
[NULL]
kerberos kshell
548
Macintosh,File Services(AFP/IP)
Macintosh,文件 。
553
CORBA IIOP （UDP）
使用cable modem、DSL或VLAN将会看到这个 的广播。CORBA是一种面向对象的RPC系统。入侵者可以利用这些信息进入系统。
555
DSF
木马PhAse1.0、Stealth Spy、IniKiller开放此 。
568
Membership DPA
成员资格 DPA。
569
Membership MSN
成员资格 MSN。
635
mountd
Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个 的扫描是基于UDP的，但是基于TCP的mountd有所增加（mountd同时运行于两个 ）。记住mountd可运行于任何 （到底是哪个 ，需要在 111做portmap查询），只是Linux默认 是635，就像NFS通常运行于2049 。
636
LDAP
SSL（Secure Sockets layer）
666
Doom Id Software
木马Attack FTP、Satanz Backdoor开放此
993
IMAP
SSL（Secure Sockets layer）
1001、1011
[NULL]
木马Silencer、WebEx开放1001 。木马Doly Trojan开放1011 。
1024
Reserved
它是动态 的开始，许多程序并不在乎用哪个 连接网络，它们请求系统为它们分配下一个闲置 。基于这一点分配从 1024开始。这就是说第一个向系统发出请求的会分配到1024 。你可以重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024 。还有SQL session也用此 和5000 。
1025、1033
1025 network blackjack 1033 [NULL]
木马netspy开放这2个 。
1080
SOCKS
这一协议以通道方式穿过防火墙，允许防火墙后面的人通过一个IP地址访问INTERNET。理论上它应该只允许内部的通信向外到达INTERNET。但是由于错误的配置，它会允许位于防火墙外部的攻击穿过防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种情况。
1170
[NULL]
木马Streaming Audio Trojan、Psyber Stream Server、Voice开放此 。
1234、1243、6711、6776
[NULL]
木马SubSeven2.0、Ultors Trojan开放1234、6776 。木马SubSeven1.0/1.9开放1243、6711、6776 。
1245
[NULL]
木马Vodoo开放此 。
1433
SQL
Microsoft的SQL 开放的 。
1492
stone-design-1
木马FTP99CMP开放此 。
1500
RPC client fixed port session queries
RPC客户固定 会话查询
1503
NetMeeting T.120
NetMeeting T.120
1524
ingress
许多攻击脚本将安装一个后门SHELL于这个 ，尤其是针对SUN系统中Sendmail和RPC 漏洞的脚本。如果刚安装了防火墙就看到在这个 上的连接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个 ，看看它是否会给你一个SHELL。连接到600/pcserver也存在这个问题。
1600
issd
木马Shivka-Burka开放此 。
1720
NetMeeting
NetMeeting H.233 call Setup。
1731
NetMeeting Audio Call Control
NetMeeting音频调用控制。
1807
[NULL]
木马SpySender开放此 。
1981
[NULL]
木马ShockRave开放此 。
1999
cisco identification port
木马BackDoor开放此 。
2000
[NULL]
木马GirlFriend 1.3、Millenium 1.0开放此 。
2001
[NULL]
木马Millenium 1.0、Trojan Cow开放此 。
2023
xinuexpansion 4
木马Pass Ripper开放此 。
2049
NFS
NFS程序常运行于这个 。通常需要访问Portmapper查询这个 运行于哪个 。
2115
[NULL]
木马Bugs开放此 。
2140、3150
[NULL]
木马Deep Throat 1.0/3.0开放此 。
2500
RPC client using a fixed port session replication
应用固定 会话复制的RPC客户
2583
[NULL]
木马Wincrash 2.0开放此 。
2801
[NULL]
木马Phineas Phucker开放此 。
3024、4092
[NULL]
木马WinCrash开放此 。
3128
squid
这是squid HTTP代理 器的默认 。攻击者扫描这个 是为了搜寻一个代理 器而匿名访问Internet。也会看到搜索其他代理 器的 8000、8001、8080、8888。扫描这个 的另一个原因是用户正在进入聊天室。其他用户也会检验这个 以确定用户的机器是否支持代理。
3129
[NULL]
木马Master Paradise开放此 。
3150
[NULL]
木马The Invasor开放此 。
3210、4321
[NULL]
木马SchoolBus开放此
3306
[NULL]
mysql
3333
dec-notes
木马Prosiak开放此
3389
超级终端
WINDOWS 2000终端开放此 。
3700
[NULL]
木马Portal of Doom开放此
3996、4060
[NULL]
木马RemoteAnything开放此
4000
QQ客户端
腾讯QQ客户端开放此 。
4092
[NULL]
木马WinCrash开放此 。
4590
[NULL]
木马ICQTrojan开放此 。
5000、5001、5321、50505
[NULL]
木马blazer5开放5000 。木马Sockets de Troie开放5000、5001、5321、50505 。
5400、5401、5402
[NULL]
木马Blade Runner开放此 。
5550
[NULL]
木马xtcp开放此 。
5569
[NULL]
木马Robo-Hack开放此 。
5632
pcAnywere
有时会看到很多这个 的扫描，这依赖于用户所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能的代理（这里的代理是指agent而不是proxy）。入侵者也会寻找开放这种 的计算机。，所以应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描包常含 22的UDP数据包。
5742
[NULL]
木马WinCrash1.03开放此 。
6267
[NULL]
木马广外女生开放此 。
6400
[NULL]
木马The tHing开放此 。
6670、6671
[NULL]
木马Deep Throat开放6670 。而Deep Throat 3.0开放6671 。
6883
[NULL]
木马DeltaSource开放此 。
6969
[NULL]
木马Gatecrasher、Priority开放此 。
6970
RealAudio
RealAudio客户将从 器的6970-7170的UDP 接收音频数据流。这是由TCP-7070 外向控制连接设置的。
7000
[NULL]
木马Remote Grab开放此 。
7300、7301、7306、7307、7308
[NULL]
木马NetMonitor开放此 。另外NetSpy1.0也开放7306 。
7323
[NULL]
Sygate 器端。
7626
[NULL]
木马Giscier开放此 。
7789
[NULL]
木马ICKiller开放此 。
8000
OICQ
腾讯QQ 器端开放此 。
8010
Wingate
Wingate代理开放此 。
8080
代理
WWW代理开放此 。
9400、9401、9402
[NULL]
木马Incommand 1.0开放此 。
9872、9873、9874、9875、10067、10167
[NULL]
木马Portal of Doom开放此 。
9989
[NULL]
木马iNi-Killer开放此 。
11000
[NULL]
木马SennaSpy开放此 。
11223
[NULL]
木马Progenic trojan开放此 。
12076、61466
[NULL]
木马Telecommando开放此 。
page]
12223
[NULL]
木马Hack’99 KeyLogger开放此 。
12345、12346
[NULL]
木马NetBus1.60/1.70、GabanBus开放此 。
12361
[NULL]
木马Whack-a-mole开放此 。
13223
PowWow
PowWow是Tribal Voice的聊天程序。它允许用户在此 打开私人聊天的连接。这一程序对于建立连接非常具有攻击性。它会驻扎在这个TCP 等回应。造成类似心跳间隔的连接请求。如果一个拨号用户从另一个聊天者手中继承了IP地址就会发生好象有很多不同的人在测试这个 的情况。这一协议使用OPNG作为其连接请求的前4个字节。
16969
[NULL]
木马Priority开放此 。
17027
Conducent
这是一个外向连接。这是由于公司内部有人安装了带有Conducent"adbot"的共享软件。Conducent"adbot"是为共享软件显示广告 的。使用这种 的一种流行的软件是Pkware。
19191
[NULL]
木马蓝色火焰开放此 。
20000、20001
[NULL]
木马Millennium开放此 。
20034
[NULL]
木马NetBus Pro开放此 。
21554
[NULL]
木马GirlFriend开放此 。
22222
[NULL]
木马Prosiak开放此 。
23456
[NULL]
木马Evil FTP、Ugly FTP开放此 。
26274、47262
[NULL]
木马Delta开放此 。
27374
[NULL]
木马Subseven 2.1开放此 。
30100
[NULL]
木马NetSphere开放此 。
30303
[NULL]
木马Socket23开放此 。
30999
[NULL]
木马Kuang开放此 。
31337、31338
[NULL]
木马BO(Back Orifice)开放此 。另外木马DeepBO也开放31338 。
31339
[NULL]
木马NetSpy DK开放此 。
31666
[NULL]
木马BOWhack开放此 。
33333
[NULL]
木马Prosiak开放此 。
34324
[NULL]
木马Tiny Telnet Server、BigGluck、TN开放此 。
40412
[NULL]
木马The Spy开放此 。
40421、40422、40423、40426、
[NULL]
木马Masters Paradise开放此 。
43210、54321
[NULL]
木马SchoolBus 1.0/2.0开放此 。
44445
[NULL]
木马Happypig开放此 。
50766
[NULL]
木马Fore开放此 。
53001
[NULL]
木马Remote Windows Shutdown开放此 。
65000
[NULL]
木马Devil 1.03开放此 。
88
Kerberos krb5。另外TCP的88 也是这个用途。
137
SQL Named Pipes encryption over other protocols name lookup(其他协议名称查找上的SQL命名管道加密技术)和SQL RPC encryption over other protocols name lookup(其他协议名称查找上的SQL RPC加密技术)和Wins NetBT name service(WINS NetBT名称 )和Wins Proxy都用这个 。
161
Simple Network Management Protocol(SMTP)（简单网络管理协议）。
162
SNMP Trap（SNMP陷阱）
445
Common Internet File System(CIFS)（公共Internet文件系统）
464
Kerberos kpasswd(v5)。另外TCP的464 也是这个用途。
500
Internet Key Exchange(IKE)（Internet密钥交换）
1645、1812
Remot Authentication Dial-In User Service(RADIUS)authentication(Routing and Remote Access)(远程认证拨号用户 )
1646、1813
RADIUS accounting(Routing and Remote Access)(RADIUS记帐（路由和远程访问）)
1701
Layer Two Tunneling Protocol(L2TP)(第2层隧道协议)
1801、3527
Microsoft Message Queue Server(Microsoft消息队列 器)。还有TCP的135、1801、2101、2103、2105也是同样的用途。
2504
Network Load Balancing(网络平衡负荷)