1524 是什么
1524 的服务名是 ingreslock，IANA 登记说明写作 ingres，协议为 TCP。Ingres 是起源很早的关系数据库系统，ingreslock 是其锁定服务端口，相关条目也出现在各系统的 services 文件与微软的服务列表中。今天 Ingres 及其分支已很少见，端口出现在扫描报告里通常说明存在极老的数据库资产，或者端口被其它程序占用。更要紧的是，1524 在历史攻击工具里被大量用作后门监听端口。
基本信息
| 端口号 | 1524 |
|---|---|
| 服务名 | ingreslock |
| IANA 登记说明 | ingres |
| 协议 | TCP（登记为 TCP） |
| 历史背景 | Ingres 数据库锁定服务 |
| 现状 | 遗留系统，现代部署罕见 |
| 安全提示 | 历史上常被后门程序使用 |
为什么 1524 需要特别警惕
- 名字看起来像正常数据库服务，流量特征不突出，容易被巡检忽略
- 历史上大量入侵工具与后门程序选择在 1524 上监听，直接提供一个远程命令通道
- 数据库资产往往位于内网深处，一旦被作为跳板，横向移动路径难以察觉
- 老数据库的认证与传输加密能力有限，凭据在链路上可能暴露
- 扫描报告中该端口开放时，必须区分是老数据库还是可疑监听
区分数据库与可疑监听
区分数据库与可疑监听
# 谁在监听、进程路径是什么
ss -lntup 'sport = :1524'
sudo readlink -f /proc/<PID>/exe
sudo lsof -p <PID> | head -20
# 若进程路径异常或在临时目录，按可疑事件处理
# 同时抓包看是否存在交互式命令通道特征
sudo timeout 20 tcpdump -nn -A -i any 'tcp port 1524' | head -40判定线索对照
| 线索 | 老数据库 | 可疑监听 |
|---|---|---|
| 进程路径 | 安装目录内的服务程序 | 临时目录或隐藏目录 |
| 启动方式 | 服务单元或初始化脚本 | 手工拉起或计划任务 |
| 访问来源 | 固定应用服务器 | 来源分散或不固定 |
| 载荷特征 | 数据库协议报文 | 交互式命令回显 |
如果 1524 上出现异常进程，应按安全事件流程处理：先隔离主机并保留现场证据，不要直接结束进程，否则会破坏后续分析所需的线索。
老数据库资产的处置顺序建议是：先确认数据是否还有价值，再确认是否还有应用连接，最后才规划下线。缺少任一步确认都会有返工风险。