本文將向你解釋你在防火牆的記錄（Log）中看到了什麼？尤其是那些埠是什麼意思？你將能利用這些信息做出判斷：我是否受到了Hacker的攻擊？他/她到底想要幹什麼？本文既適用於維護企業級防火牆的安全專家，又適用於使用個人防火牆的家庭用戶。
*譯者：現在個人防火牆開始流行起來，很多網友一旦看到報警就以為受到某種攻擊，其實大多數情況並非如此。
目標埠ZZZZ是什麼意思?
所有穿過防火牆的通訊都是連接的一個部分。一個連接包含一對相互「交談」的IP位址以及一對與IP位址對應的埠。目標埠通常意味著正被連接的某種服務。當防火牆阻擋（block）某個連接時，它會將目標埠「記錄在案」（logfile）。這節將描述這些埠的意義。
埠可分為3大類：
1） 公認埠（Well Known Ports）：從0到1023，它們緊密綁定於一些服務。通常這些埠的通訊明確表明了某種服務的協議。例如：80埠實際上總是HTTP通訊。
2） 註冊埠（Registered Ports）：從1024到49151。它們鬆散地綁定於一些服務。也就是說有許多服務綁定於這些埠，這些埠同樣用於許多其它目的。例如：許多系統處理動態埠從1024左右開始。
3） 動態和/或私有埠（Dynamic and/or Private Ports）：從49152到65535。理論上，不應為服務分配這些埠。實際上，機器通常從1024起分配動態埠。但也有例外：SUN的RPC埠從32768開始。
從哪裡獲得更全面的埠信息：
1．ftp://ftp.isi.edu/in-notes/iana/assignments/port-numbers
"Assigned Numbers" RFC，埠分配的官方來源。
2．http://advice.networkice.com/advice/Exploits/Ports/
埠資料庫，包含許多系統弱點的埠。
3．/etc/services
UNIX 系統中文件/etc/services包含通常使用的UNIX埠分配列表。Windows NT中該文件位於%systemroot%/system32/drivers/etc/services。
4．http://www.con.wesleyan.edu/~triemer/network/docservs.html
特定的協議與埠。
5．http://www.chebucto.ns.ca/~rakerman/trojan-port-table.html
描述了許多埠。
6．http://www.tlsecurity.com/trojanh.htm
TLSecurity的Trojan埠列表。與其它人的收藏不同，作者檢驗了其中的所有埠。
7．http://www.simovits.com/nyheter9902.html
Trojan Horse 探測。
通常對於防火牆的TCP/UDP埠掃描有哪些？
本節講述通常TCP/UDP埠掃描在防火牆記錄中的信息。記住：並不存在所謂ICMP埠。如果你對解讀ICMP數據感興趣，請參看本文的其它部分。
0 通常用於分析作業系統。這一方法能夠工作是因為在一些系統中「0」是無效埠，當你試圖使用一種通常的閉合埠連接它時將產生不同的結果。一種典型的掃描：使用IP位址為0.0.0.0，設置ACK位並在乙太網層廣播。
1 tcpmux 這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者，預設情況下tcpmux在這種系統中被打開。Iris機器在發布時含有幾個預設的無密碼的帳戶，如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝後忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux並利用這些帳戶。
7 Echo 你能看到許多人們搜索Fraggle放大器時，發送到x.x.x.0和x.x.x.255的信息。
常見的一種DoS攻擊是echo循環（echo-loop），攻擊者偽造從一個機器發送到另一個機器的UDP數據包，而兩個機器分別以它們最快的方式回應這些數據包。（參見Chargen）
另一種東西是由DoubleClick在詞埠建立的TCP連接。有一種產品叫做「Resonate Global Dispatch」，它與DNS的這一埠連接以確定最近的路由。
Harvest/squid cache將從3130埠發送UDP echo：「如果將cache的source_ping on選項打開，它將對原始主機的UDP echo埠回應一個HIT reply。」這將會產生許多這類數據包。
11 sysstat 這是一種UNIX服務，它會列出機器上所有正在運行的進程以及是什麼啟動了這些進程。這為入侵者提供了許多信息而威脅機器的安全，如暴露已知某些弱點或帳戶的程序。這與UNIX系統中「ps」命令的結果相似
再說一遍：ICMP沒有埠，ICMP port 11通常是ICMP type=11
19 chargen 這是一種僅僅發送字符的服務。UDP版本將會在收到UDP包後回應含有垃圾字符的包。TCP連接時，會發送含有垃圾字符的數據流知道連接關閉。Hacker利用IP欺騙可以發動DoS攻擊。偽造兩個chargen伺服器之間的UDP包。由於伺服器企圖回應兩個伺服器之間的無限的往返數據通訊一個chargen和echo將導致伺服器過載。同樣fraggle DoS攻擊向目標地址的這個埠廣播一個帶有偽造受害者IP的數據包，受害者為了回應這些數據而過載。
21 ftp 最常見的攻擊者用於尋找打開「anonymous」的ftp伺服器的方法。這些伺服器帶有可讀寫的目錄。Hackers或Crackers 利用這些伺服器作為傳送warez (私有程序) 和pr0n(故意拼錯詞而避免被搜尋引擎分類)的節點。
22 ssh PcAnywhere建立TCP和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點。如果配置成特定的模式，許多使用RSAREF庫的版本有不少漏洞。（建議在其它埠運行ssh）
還應該注意的是ssh工具包帶有一個稱為make-ssh-known-hosts的程序。它會掃描整個域的ssh主機。你有時會被使用這一程序的人無意中掃描到。
UDP（而不是TCP）與另一端的5632埠相連意味著存在搜索pcAnywhere的掃描。5632（十六進位的0x1600）位交換後是0x0016（使進位的22）。
23 Telnet 入侵者在搜索遠程登陸UNIX的服務。大多數情況下入侵者掃描這一埠是為了找到機器運行的作業系統。此外使用其它技術，入侵者會找到密碼。
25 smtp 攻擊者（spammer）尋找SMTP伺服器是為了傳遞他們的spam。入侵者的帳戶總被關閉，他們需要撥號連接到高帶寬的e-mail伺服器上，將簡單的信息傳遞到不同的地址。SMTP伺服器（尤其是sendmail）是進入系統的最常用方法之一，因為它們必須完整的暴露於Internet且郵件的路由是複雜的（暴露+複雜=弱點）。
0