11 是什么

11 号端口对应 Active Users 服务（RFC 866）：远程查询主机上当前登录的用户，可以看作 who 命令的网络版本。它出现在早期 Unix 环境，用来让远端了解目标主机正在被谁使用，如今几乎所有现代系统都默认关闭。

功能被取代，风险留下来

远程查询的能力早已被更安全的方式取代，剩下的主要是风险：一旦开放，账号名与在线状态可以直接被读取，属于典型的信息泄露面。安全基线核查通常把它与类似的历史查询服务放在一起检查。

基本信息

典型使用场景

• 理解早期网络服务与远程查询机制的演变
• 安全核查时确认主机是否开启该历史服务
• 梳理老系统资料时核对端口注册信息
• 扫描结果中出现该端口时判断服务归属
• 教学场景讲解信息泄露类服务的典型形态

探测与定位

nc -w2 192.0.2.10 11 </dev/null     # 探测端口是否响应
ss -lntp | grep ':11 '              # 确认本机监听
sudo lsof -i :11                    # 查看归属进程

本地替代命令

who                # 查看当前登录用户
w                  # 查看登录用户及其正在执行的任务
last | head -20    # 查看最近的登录记录

同期登记的小端口

现代等价能力

现在的替代方式是从集中式审计或终端管理平台获取登录信息：既集中存储、便于检索，也能配合权限与告警，不必在每台主机上单独开放服务。评估这类历史服务时，先找出真正使用登录数据的系统，再逐个迁移。