1） 公认端口（well known ports）：从0到1023，它们紧密绑定于一些服务。通常这些端口的通讯明确表明了某种服 务的协议。例如：80端口实际上总是http通讯。

　　2） 注册端口（registered ports）：从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其它目的。例如：许多系统处理动态端口从1024左右开始。

　　3） 动态和/或私有端口（dynamic and/or private ports）：从49152到65535。理论上，不应为服务分配这些端口。实际上，机器通常从1024起分配动态端口。但也有例外：sun的rpc端口从32768开始。

　　本节讲述通常tcp/udp端口扫描在防火墙记录中的信息。记住：并不存在所谓icmp端口。如果你对解读icmp数据感兴趣，请参看本文的其它部分。0通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用一种通常的闭合端口连接它时将产生不同的结果。一种典型的扫描：使用ip地址为 0.0.0.0，设置ack位并在以太网层广播。 1 tcpmux 这显示有人在寻找sgiirix机器。irix是实现tcpmux的主要提供者，缺省情况下tcpmux在这种系统中被打开。iris机器在发布时含有几个缺省的无密码的帐户，如lp,guest, uucp, nuucp, demos, tutor, diag, ezsetup, outofbox, 和4dgifts。许多管理员安装后忘记删除这些帐户。因此hacker们在internet上搜索tcpmux 并利用这些帐户。

　　7echo你能看到许多人们搜索fraggle放大器时，发送到x.x.x.0和x.x.x.255的信息。常见的一种dos攻击是echo循环（echo-loop），攻击者伪造从一个机器发送到另一个udp数据包，而两个机器分别以它们最快的方式回应这些数据包。（参见chargen） 另一种东西是由doubleclick在词端口建立的tcp连接。有一种产品叫做resonate global dispatch”，它与dns的这一端口连接以确定最近的路由。harvest/squid cache将从3130端口发送udpecho：“如果将cache的source_ping on选项打开，它将对原始主机的udp echo端口回应一个hit reply。”这将会产生许多这类数据包。

　　11 sysstat这是一种unix服务，它会列出机器上所有正在运行的进程以及是什么启动了这些进程。这为入侵者提供了许多信息而威胁机器的安全，如暴露已知某些弱点或帐户的程序。这与unix系统中“ps”命令的结果相似再说一遍：icmp没有端口，icmp port 11通常是icmptype=1119 chargen 这是一种仅仅发送字符的服务。udp版本将会在收到udp包后回应含有垃圾字符的包。tcp连接时，会发送含有垃圾字符的数据流知道连接关闭。hacker利用ip欺骗可以发动dos攻击伪造两 个chargen服务器之间的udp由于服务器企图回应两个服务器之间的无限的往返数据通讯一个chargen和echo将导致服务器过载。同样fraggle dos攻击向目标地址的这个端口广播一个带有伪造受害者ip的数据包，受害者为了回应这些数据而过载。

　　21 ftp最常见的攻击者用于寻找打开“anonymous”的ftp服务器的方法。这些服务器带有可读写的目录。hackers或tackers利用这些服务器作为传送warez (私有程序) 和pr0n(故意拼错词而避免被搜索引擎分类)的节点。

　　22 sshpcanywhere建立tcp和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点。如果配置成特定的模式，许多使用rsaref库的版本有不少漏洞。（建议在其它端口运行ssh）还应该注意的是ssh工具包带有一个称为ake-ssh-known-hosts的程序。它会扫描整个域的ssh主机。你有时会被使用这一程序的人无意中扫描到。udp（而不是tcp）与另一端的5632端口相连意味着存在搜索pcanywhere的扫描。5632 （十六进制的0x1600）位交换后是0x0016（使进制的22）。

　　23 telnet入侵者在搜索远程登陆unix的服务。大多数情况下入侵者扫描这一端口是为了找到机器运行的操作系统。此外使用其它技术，入侵者会找到密码。