1863 是什么
1863 是 IANA 为 MSN Messenger 协议（MSNP）登记的端口。MSN Messenger 与 Windows Live Messenger 时代，客户端通过它与微软的服务器建立长连接，完成登录、在线状态同步与消息投递。该服务早已下线，现代即时通信一律走 443 上的 HTTPS 与 WebSocket 隧道，长连接也是加密的。因此内网里出现 1863 连接，通常是遗留代理软件、老客户端残留组件或测试工具的流量。
基本信息
| 服务 | MSNP（MSN Messenger 协议） |
|---|---|
| 协议 | TCP |
| 用途 | 即时消息与在线状态同步 |
| 现状 | 微软服务已停止 |
| 替代 | 443 上的 HTTPS/WSS |
| 登记来源 | Windows services 文件 |
典型使用场景
- 终端安全检查：发现 1863 外联时定位是遗留客户端还是异常程序
- 边界流量分析：解读老代理与防火墙日志里 1863 的历史记录
- 旧系统清理：卸载仍残留的 Messenger 组件，减少无谓的出站规则
- 演练复盘：把这类已停服的「死端口」识别出来，避免误报为隐蔽通道
- 出站策略收敛：清理长期无人使用的放行项
即时通信端口对照
| 端口 | 协议 | 现状 |
|---|---|---|
| 1863 | MSNP（TCP） | 微软服务已停止，仅遗留客户端 |
| 443 | HTTPS / WSS | 现代即时通信与推送的通用通道 |
| 5222 | XMPP | 开源即时通信协议（按部署） |
| 8080/8443 | 自有协议 | 部分内网 IM 与企业办公工具 |
定位占用该端口的进程
定位占用该端口的进程
ss -lntup 'sport = :1863' # 本机是否有服务监听
sudo lsof -i :1863 # 谁在占用这个端口
netstat -ano | findstr :1863 # Windows：拿到 PID
tcpdump -i any -nn port 1863 -c 10 # 抓包确认有无实际流量
# 出站域名排查: 结合 DNS 日志确认连接目标是否仍有业务意义「MSNP」为早期注册名，公开资料稀少，正常网络中极少出现。若在资产中发现该端口监听或外联：先核实进程来源与业务归属，无明确用途的按未知服务流程处置，并评估是否需要限制访问。
MSNP 后续版本（MSNP9 之后）大多改变了连接方式，看到 1863 只能说明是「很老的实现」，不能据此判断用途，必须结合进程与域名信息。
排查顺序建议：先看进程与启动命令行，再看连接目标与 DNS 记录，最后才考虑流量封禁；顺序反过来会把线索一起封掉，只剩一个无法解释的现象。
老客户端卸载后常留下随开机启动的残留组件：把服务清单、计划任务与启动项交叉核对，才能确认清理彻底，而不是只删了桌面图标。