58端口使用技巧-烟消火灭网

去年帮朋友处理一台被入侵的端口服务器，攻击者留下的使用后门就挂在58端口上。当时我盯着netstat输出里那个陌生的技巧IPv6地址，才意识到这个常被忽略的端口端口能惹出多大麻烦。

58端口属于XNS（Xerox Network Systems）协议族，使用这套协议现在基本进了博物馆。技巧按理说它不该出现在现代网络环境里，端口可偏偏有些老系统、使用嵌入式设备甚至某些安全工具会默认启用它。技巧问题就出在这——你可能压根不知道它在跑。端口

先搞清楚谁在监听

Linux下直接甩这条命令：

ss -tulnp | grep :58

如果输出里有东西，使用别急着kill。技巧我见过某品牌网络打印机用58端口做内部状态同步，端口贸然关掉会导致队列卡死。使用Windows上更简单，技巧资源监视器里筛TCP/UDP端口，58通常不会出现在默认列表里，一旦冒出来就值得深挖。

macOS用户注意，lsof -i :58比netstat好用，它能直接告诉你进程路径。有次我在这上面发现一个伪装成系统服务的挖矿程序，二进制文件藏在/private/var/tmp下面，文件名还带苹果风格的命名前缀。

防火墙规则别写太死

很多人配iptables时习惯性写-A INPUT -p tcp --dport 58 -j DROP，这没错。但UDP呢？XNS协议族里UDP 58同样活跃。更稳妥的做法是双向都堵：

iptables -A INPUT -p tcp --dport 58 -j DROP iptables -A INPUT -p udp --dport 58 -j DROP iptables -A OUTPUT -p tcp --sport 58 -j DROP iptables -A OUTPUT -p udp --sport 58 -j DROP

出站规则同样重要。我遇到过一种情况：内网某台机器被植入的恶意软件通过58端口往外发心跳包，只堵入站根本没用。

抓包看看究竟在传什么

tcpdump指定端口抓几个包，往往能看出端倪：

tcpdump -i eth0 -nn -s0 -c 50 port 58

如果看到大量重复的固定长度包，大概率是某种心跳或探测。要是包内容以00 00 00 00开头且长度规整，可能是旧版XNS的echo请求——某些扫描器会拿这个当存活探测手段。Wireshark里直接过滤xns协议更直观，不过新版本Wireshark默认可能不解析，得手动开。

那些藏在配置文件里的坑

systemd系统上，systemctl list-sockets能列出所有监听的socket单元。有回我在一台CentOS 7上发现/etc/systemd/system/sockets.target.wants里有个奇怪的xns-proxy.socket，内容指向一个不存在的二进制。这明显是攻击者留的持久化后门——即使进程被杀了，socket激活机制还会尝试拉起它。

另外检查/etc/services文件，正常系统里58端口应该被注释掉或标记为xns-mail。如果这行被修改成别的服务名，说明有人动过手脚。我习惯用rpm -V setup校验这个文件是否被篡改。