网络端口

《Windows系统管理》 ################################################################### 什么是 BIOS？如何进入BIOS？ BIOS基本输入输出系统，一般按DEL或F2进BIOS设置程序。 什么是虚拟机？ 虚拟机运行在计算机上的一款软件程序，模拟计算机硬件功能为其他软件程序提供一个独立的计算机环境。 虚拟机运行模式？ 1）寄居架构 作为应用软件安装在操作系统上 ，可以在此应用软件上安装多个操作系统 2）原生架构 虚拟机软件直接安装在计算机硬件上 虚拟机本身就是一个操作系统 IP地址作用、组成、分类？ 1) 作用：用来标识一个节点的网络地址 2） 组成：网络位+主机位，32位，以4个十进制数来表示，之间用 . 隔开 3) 分类：  A 1 - 127 网+主+主+主  B 128 -191 网+网+主+主  C 192 -223 网+网+网+主  D 224 - 239 组播(多播)  E 240 - 254 科研 4）默认子网掩码  A 类 255.0.0.0  B类 255.255.0.0  C 类 255.255.255.0 备用配置专用IP地址？ 169.254.0.1-169.254.255.254、子网掩码为255.255.0.0 私有地址范围： A类 10.0.0.1 ~ 10

原文: http://blog.gqylpy.com/gqy/304 "2端口：管理实用程序 3端口：压缩进程 5端口：远程作业登录 7端口：回显 9端口：丢弃 11端口：在线用户 13端口：时间 17端口：每日引用 18端口：消息发送协议 19端口：字符发生器 20端口：FTP文件传输协议（默认数据口） 21端口：FTP文件传输协议（控制） 22端口：SSH远程登录协议 23端口：telnet（终端仿真协议），木马Tiny Telnet服务器开放此端口 24端口：预留给个人用邮件系统 25端口：SMTP服务器所开放的端口，用于发送邮件 27端口：NSW用户系统FE 29端口：MSG ICP 31端口：MSG验证，木马Master Paradise，HackersParadise开放此端口 33端口：显示支持协议 37端口：预留给个人打印机服务 37端口：时间 38端口：路由访问协议 39端口：资源定位协议 41端口：图形 42端口：主机名服务 43端口：谁是服务 44端口：MPM （消息处理模块）标志协议 45端口：消息处理模块 46端口：消息处理模块（默认发送口） 47端口 NI FTP 48端口：数码音频后台服务 49端口：TACACS登录主机协议 50端口：远程邮件检查协议 51端口：IMP（接口信息处理机）逻辑地址维护 52端口：施乐网络服务系统时间协议 53端口

原文: http://blog.gqylpy.com/gqy/304 "2端口：管理实用程序 3端口：压缩进程 5端口：远程作业登录 7端口：回显 9端口：丢弃 11端口：在线用户 13端口：时间 17端口：每日引用 18端口：消息发送协议 19端口：字符发生器 20端口：FTP文件传输协议（默认数据口） 21端口：FTP文件传输协议（控制） 22端口：SSH远程登录协议 23端口：telnet（终端仿真协议），木马Tiny Telnet服务器开放此端口 24端口：预留给个人用邮件系统 25端口：SMTP服务器所开放的端口，用于发送邮件 27端口：NSW用户系统FE 29端口：MSG ICP 31端口：MSG验证，木马Master Paradise，HackersParadise开放此端口 33端口：显示支持协议 37端口：预留给个人打印机服务 37端口：时间 38端口：路由访问协议 39端口：资源定位协议 41端口：图形 42端口：主机名服务 43端口：谁是服务 44端口：MPM （消息处理模块）标志协议 45端口：消息处理模块 46端口：消息处理模块（默认发送口） 47端口 NI FTP 48端口：数码音频后台服务 49端口：TACACS登录主机协议 50端口：远程邮件检查协议 51端口：IMP（接口信息处理机）逻辑地址维护 52端口：施乐网络服务系统时间协议 53端口

物理层网络设备有中继器、集线器。 中继器的功能是将接收到的信号进行再放大然后传输出去，作用是将扩展网络设备信号传输的物理范围，缺点是扩大数据信号的同时也扩大的噪声，不能够进行广播隔离，网络利用率很低，现在基本上已经被淘汰。 集线器实际上可以理解为有多个端口的中继器，集线器的所有端口共享一条背板总线，故所有端口都在同一个冲突域，网络利用率低，基本已经淘汰。 数据链路层网络设备有网桥、交换机。 网桥工作在数据链路层，能够通过源主机的mac地址，自学习创建自己的“mac-端口”表，一旦这个“mac-端口”表创建完成，在下次主机间进行数据通信时，数据就会通过这个“mac-端口”表来选路到达目的主机，因此可以多个主机之间同时通信。网桥的“mac-端口”表可以一个端口对应多个mac地址，其中mac地址的获取又是通过ARP广播的方式得到的，网桥开机后“mac-端口”表为空，由源主机发送不带数据内容的ARP广播包向所有端口广播，目的主机收到此包会回复一个单播的ARP包回应源主机。同理，直到所有“mac-端口”表创建完成为止。网桥隔离的是物理网段，属于不同物理区域的统一网段，这一点很容易被误解。目的网桥有两个端口，这两个端口一般用来接集线器，再由集线器连接主机进行通信。网桥起到了隔离冲突域的作用，将大的冲突域划分隔开为2个小的冲突域，相对来说提高了网络利用率。但其应用的是软件的方式来管理，有瓶颈限制

1 TCP端口的连通性 TC端口的连通性，一般通过telnet检测： TCP协议是面向连接的，可以直接通过telnet命令连接 telnet host-ip port 2 UDP端口的连通性 因为公司网络防火墙一般对端口会有一些限制，通过公司网络访问外部服务器特定端口时，需要检测与目标服务器特定端口的连通性； 若无法连通，在确认目标服务器相关端口打开时，则很有可能是被公司网络（中间网络）屏蔽了。对于TCP端口，如上一般用telnet检测。 对于UDP端口，一般稍微复杂点： 因为UDP协议是无连接的，不需要握手建立连接，数据发送后，server端也不会返回确认信息。 一般可以使用netcat检测，这个命令被誉为是网络中的“瑞士军刀”，功能非常强大，测试udp只是其中的一个功能变通。 UDP端口连通性测试： 在目标机器监听UDP端口port1, 在客户端机器向目标机器port1端口发送UDP数据报，看能否发送成功。发送成功，则表示可连通。 例如： a机器上运行： nc -ul 1080 或：netcat -ul -p 1080 #使用udp模式监听1080 端口 b机器上运行： nc -u x.x.x.x 1080 或：netcat -u x.x.x.x 1080 #使用udp模式向该ip的1080端口发送信息。 效果如图，在任意一边输入内容，另一边则会收到相应内容

最简单的一个操作： sudo ufw status(如果你是root，则去掉sudo，ufw status)可检查防火墙的状态，我的返回的是：inactive(默认为不活动)。 sudo ufw version防火墙版本： ufw 0.29-4ubuntu1 Copyright 2008-2009 Canonical Ltd. ubuntu 系统默认已安装ufw. 1.安装 sudo apt-get install ufw 2.启用 sudo ufw enable sudo ufw default deny 运行以上两条命令后，开启了防火墙，并在系统启动时自动开启。关闭所有外部对本机的访问，但本机访问外部正常。 3.开启/禁用 sudo ufw allow|deny [service] 打开或关闭某个端口，例如： sudo ufw allow smtp　允许所有的外部IP访问本机的25/tcp (smtp)端口 sudo ufw allow 22/tcp 允许所有的外部IP访问本机的22/tcp (ssh)端口 这个很重要，ssh远程登录用于SecureCRT等软件建议开启。或者不要开防火墙。 sudo ufw allow 53 允许外部访问53端口(tcp/udp) sudo ufw allow from 192.168.1.100 允许此IP访问所有的本机端口 sudo ufw

不可配（傻瓜式交换机） 交换机分为|||| 二层（只有管理地址） 可配 三层（可以换分多个vlan） 二层交换机属数据链路层设备，可以识别数据包中的MAC地址信息，根据MAC地址进行转发，并将这些MAC地址与对应的端口记录在自己内部的一个地址表中。 具体的工作流程如下： （1）当交换机从某个端口收到一个数据包，它先读取包头中的源MAC地址，这样它就知道源MAC地址的机器是连在哪个端口上的。 （2）再去读取包头中的目的MAC地址，并在地址表中查找相应的端口； （3）如表中有与这目的MAC地址对应的端口，把数据包直接复制到这端口上； （4）如表中找不到相应的端口则把数据包广播到所有端口上，当目的机器对源机器回应时，交换机又可以学习一目的MAC地址与哪个端口对应，在下次传送数据时就不再需要对所有端口进行广播了。 三层交换机 传统的交换技术是在OSI网络标准模型中的第二层——数据链路层进行操作的，而三层交换技术是在网络模型中的第三层实现了数据包的高速转发。应用第三层交换技术即可实现网络路由的功能，又可以根据不同的网络状况做到最优的网络性能。 思科二层交换机： 2918系列，24/48表示端口数，TT表示两个千兆电口，TC表示两个千兆电口（共享SFP光口），-C表示针对中国，全部型号均为精简版镜像（定制），不可升级IOS。 WS-C2918-24TT-C WS-C2918-24TC-C WS

交换机的分类 1、按照管理划分 网管交换机 非网管交换机 2、按照工作层次分 2层交换机 数据链路层 3层交换机 网络层 4层交换机 可以依靠传输层的端口进行转发 3、按照网络拓扑结构分 1、接入层交换机 ： 将计算机和终端接入网络 2、汇聚层交换机： 数据包过滤，协议转换，流量负载和路由 3、核心层交换机： 网络骨干构建高速局域网 4、按交换方式划分 直通式交换 存储转发式交换 无碎片转发交换 冲突域和广播域 网桥，交换机，路由器能隔离冲突域 路由器，3层交换机能隔离广播域 VLAN 1、VLAN配置 虚拟局域网（VLAN）是一组逻辑上的设备和用户，这些设备和用户并不受物理位置的限制，可以根据功能、部门及应用等因素将它们组织起来，相互之间的通信就好像它们在同一个网段中一样，由此得名虚拟局域网。VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，一个VLAN就是一个广播域，VLAN之间的通信是通过第3层的路由器来完成的。与传统的局域网技术相比较，VLAN技术更加灵活，它具有以下优点： 网络设备的移动、添加和修改的管理开销减少；可以控制广播活动；可提高网络的安全性。 2、VLAN划分方法 1、按端口划分VLAN 许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。 2、按MAC地址划分VLAN

1.局域网设计 1.1分级网络设计 典型设计分三层 接入层 access 、汇聚层 distribution、核心层 core a接入层为终端设备 提供访问接口 在此层提供冲突域的隔离 、vlan的划分和交换机的端口安全 b汇聚层 实现vlan间的通信和广播域的划分，定义网络的策略 policy 控制某些类型通信的一种方法，包括路由更新，路由汇总，vlan间通信、地址聚合、访问控制盒路由的重新分布等 c核心层 只有一个用途，快速转发 1.2 网络设计原则 a 网络直径 源到目的之间的经过的设备的数量 越少越好 pc1 到pc2 s1-d1-s2 b 带宽聚合 s1和d1之间连接多条线缆 配置链路聚合 可以提供更高的吞吐量 c 冗余 分为链路冗余和设备冗余 任何两台交换机之间的链路故障都不会影响网络的正常通信 链路冗余 除接入层s1和s2外，任何一台交换机的故障也不会影响网络的通信 设备冗余 为了保障高可用行，往往同时使用链路和设备的冗余 注意arp病毒 的问题 2.交换机的型号选择 a 固定配置交换机 不可以扩展端口 b 模块化交换机 配置了不同大小的迹象 可以安装不同的模块化线路卡 可以添加端口 数量可增加 24-48 c 可堆叠交换机 使用一根背板电缆相互连接，交换机之间提供高的吞吐量。可以将堆叠的多台交换机当成一台交换机 堆叠和级联概念不同 级联

应急响应 分类 应急响应根据平台划分，可以分为Windows、Linux平台，但是根据事件类型分析，种类繁多，根据目前遇到的应急事件，简单分为： 系统入侵：弱口令、主机漏洞 web入侵：篡改、webshell 病毒木马：挖矿病毒、勒索病毒、后门、蠕虫 网络攻击：DDOS攻击、频繁发包、批量请求 思路 一、收集信息 首先根据报警设备（IDS、态势感知、EDR等），查询首先产生报警的时间，以及详情。有时需要了解报警设备的触发规则，方便对事件性质进行判断。 根据报警设备锁定需要排查的一台或者多台机器。与客户进行沟通，得到机器中运行的系统详情、启用服务等信息。 二、接触服务器 一、查看端口情况 接触到服务器之后，首先应该查询端口情况。 Windows netstat -ano 查看目前的网络连接，定位可疑的ESTABLISHED，得到可疑PID。 tasklist | findstr "PID" or tasklist /svc | findstr "PID" 查看PID对应的进程 dir /s ****(文件) 查找进程文件所在位置 netstat -ano | findstr "port" 查看端口对应的PID 使用 Process Hacker 工具进行查看可疑进程、服务 分析进程参数： wmic process get caption,commandline /value >>