1109 是什么
1109 是登记名为 kpop 的端口，出处是 Windows 系统自带的 services 名称映射文件，IANA 侧没有对应的公开规范或实现说明。它属于只在登记表里存在的类型：端口号本身不承载可依赖的协议语义，现代网络中也基本不会出现。因此资产清单或扫描报告里出现 1109 时，判断依据只能是实际监听的进程，而不是登记名。
基本信息
| 服务名 | kpop（登记名） |
|---|---|
| 协议 | TCP |
| 登记来源 | Windows services 文件 |
| IANA 公开说明 | 无 |
| 端口区间 | 注册端口段 1024-49151 |
| 现实使用 | 无主流实现 |
典型使用场景
- 资产盘点：扫描报告出现 1109 时，先判断是登记遗留还是真有服务在跑
- 防火墙清单核对：老规则可能按登记名放行过，需要确认是否还有业务用途
- 主机取证：反查监听进程的路径、数字签名与父进程，排除恶意程序伪装
- 合规处置：对无明确业务归属的监听，按未知服务流程记录并限制访问
- 变更评审：新增监听前核对该端口是否与已登记名称冲突，避免认知混乱
定位占用进程
定位占用进程
ss -lntp 'sport = :1109' # Linux：只看监听态的 TCP 1109
sudo lsof -i :1109 # 反查占用进程与可执行文件路径
sudo fuser -v 1109/tcp # 另一条反查路径，用于交叉验证
netstat -ano | findstr :1109 # Windows：列出监听 PID
wmic process where processid=PID get Name,ExecutablePath # 用 PID 查进程来源
Get-Process -Id PID | Select-Object Path,Company # 看路径与厂商信息排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 监听状态 | ss -lntp 过滤 1109 | 没有输出说明无人监听，扫描命中可能来自中间设备 |
| 进程归属 | lsof 或 fuser 反查 | 确认可执行文件路径是否落在系统目录 |
| 文件信誉 | 校验签名与哈希 | 无签名且位于临时目录的，按可疑程序处理 |
| 连通性 | nc -zv 目标主机 1109 | 能建连只说明有程序在听，不代表业务正常 |
| 变更记录 | 比对配置库与变更单 | 查不到记录时升级为未知服务处置 |
Windows 自带的 services 文件只是端口号到名称的本地映射表，端口写在其中并不代表系统会监听它；反过来，未登记的端口也可能被业务正常使用。两边都不能单独作为结论。