31337 是什么
31337 因 1998 年出现的远程控制木马 Back Orifice 把它作为默认端口而知名，此后成为安全圈里的固定梗。木马本身早已退役，但端口号一直被各类恶意样本、演练工具与靶场环境引用，不少入侵检测与防火墙也会把它单独列为命中理由。因此在流量或主机上见到 31337，并不能直接证明存在某款具体木马，但值得认真核实一次。
基本信息
| 关联程序 | Back Orifice（历史远程控制木马） |
|---|---|
| 默认协议 | UDP |
| 出现时间 | 1998 年 |
| 现状 | 木马退役，端口号仍被模仿引用 |
| 检测意义 | 常作为入侵检测的命中信号 |
| 处置原则 | 出现即核实，不预设结论 |
典型使用场景
- 告警处置：检测规则命中该端口时按流程核实主机与流量
- 主机排查：确认是否存在 UDP 监听与异常外联
- 演练与靶场：教学环境中该端口出现属预期现象
- 基线核对：把该端口列入高风险端口监控清单
- 取证要求：处置前保留进程、连接与流量证据
- 复盘改进：把核实结论回写到检测规则，减少误报
排查思路
排查思路
sudo tcpdump -n -i any 'udp port 31337' # 授权范围内抓包观察
ss -lunp | grep 31337 # 主机侧 UDP 监听
netstat -anob | findstr :31337 # Windows 侧连接与进程
sudo lsof -i :31337 # 反查占用进程
# 结论要落到具体主机与进程上，不要停在端口号本身排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 流量方向 | 抓包确认源与目的 | 内到外的持续外联比偶发扫描更可疑 |
| 主机监听 | ss 或 netstat 查询 | UDP 监听且进程来源不明时按高风险处理 |
| 进程身份 | 核对路径、签名与启动方式 | 临时目录中的未签名程序需重点分析 |
| 处置动作 | 隔离、取证、清除 | 先取证再清理，顺序颠倒会丢失线索 |
端口号只是线索而不是结论：现代恶意软件更倾向于伪装成 443、53 这类常见端口，而演练工具与教学环境又常故意使用这个号码。核实必须落到主机与进程。
把这端口当笑话而忽略告警是真实出现过的问题：部分攻击者正是利用这一点，在明显可疑的端口上做长期驻留，因为它看起来太像演练痕迹。