2702 是什么
2702 的服务名是 sms-xfer，与 2701、2703 同属微软系统管理套件的端口组，xfer 指向文件传输能力：在软件分发与数据传递场景中承担传输通道。它的存在意味着该套件不仅能采集信息，还能向被管理主机推送文件——这正是分发类通道需要重点评估的地方。现代配置管理产品改用其它机制完成分发，2702 属于历史登记项。
基本信息
| 端口号 | 2702 |
|---|---|
| 服务名 | sms-xfer |
| 协议 | TCP、UDP 双登记 |
| 功能角色 | 软件分发与数据传递通道 |
| 同组端口 | 2701 信息通道、2703 交互通道 |
| 现状 | 历史登记，现代产品不依赖 |
| 区间归属 | 注册端口区间 |
分发通道为什么风险更高
- 它能向被管理主机投递文件，滥用效果等同于向大量主机植入内容
- 被管理主机通常数量庞大，一次错误分发的影响面极广
- 分发过程常以系统权限执行，落地后的文件权限高、难以察觉
- 分发内容是否签名与校验，决定投递物是否可被伪造或替换
- 分发日志是否完整，决定事后能否还原投递范围
分发通道核查
分发通道核查
# 端口与进程
netstat -ano | findstr :2702
# 查看是否有活跃分发（大量连接通常对应分发窗口）
netstat -an | findstr :2702 | find /c /v ""
# 检查分发目录与日志
# 具体路径随产品版本不同，需按现场产品文档确认分发通道评估清单
| 评估项 | 要点 | 不合格表现 |
|---|---|---|
| 触发权限 | 谁可以发起分发 | 普通账号即可发起 |
| 目标范围 | 分发对象如何选定 | 无范围限制 |
| 内容校验 | 投递物是否校验来源 | 未校验，可被替换 |
| 执行权限 | 落地文件以何权限运行 | 以系统权限运行且无审计 |
| 日志留存 | 分发记录保留多久 | 无记录或短期覆盖 |
评估分发类通道时可以用一个具体问题自检：现在谁能在这批主机上放文件。如果答案模糊，说明管控与审计都存在缺口。
2701 到 2703 属于同一套件，建议作为一组处置。只清理其中一个，可能让套件处于半可用状态，反而产生更多异常连接。
老内网仍在使用该套件时，至少应确认分发源主机名单、分发目录权限与作业日志三项，这三项覆盖了大部分滥用路径。