decauth 是什么
decauth 是登记在 316 上的 IANA 服务名，注册人是 Michael Agishtein，名称中的 dec 前缀与 DEC（Digital Equipment Corporation）平台时代相关，登记说明指向认证类服务。随着 DEC 平台退出市场，这类组件没有留下公开实现与技术文档，编号只保留在注册表里。316 位于 0-1023 的知名端口段，绑定需要 root 或 CAP_NET_BIND_SERVICE；现网出现它，通常意味着老系统仍在沿用硬编码端口。
基本信息
| 服务名 | decauth（decAuth） |
|---|---|
| 端口与协议 | 316，TCP 与 UDP 均有登记 |
| 注册情况 | IANA 登记项，无 RFC 文档 |
| 登记背景 | DEC 平台时代，注册人 Michael Agishtein |
| 现网现状 | 无公开实现，现网极少出现 |
| 权限要求 | 0-1023 段端口，绑定需 root 或 CAP_NET_BIND_SERVICE |
典型使用场景
- 老主机排查：在历史 Unix 或 VMS 迁移环境中核对是否仍有认证组件占用 316
- 认证面审计：清点系统内所有认证相关端口，确认没有脱离统一身份体系的私有认证通道
- 规则治理：回收无人认领的 316 放行条目
- 迁移评估：把旧平台残留的服务清单交给迁移项目，确认等价功能已由新体系承担
- 安全分析：出现 316 连接时确认对端是谁，避免把遗留认证流量误判为攻击行为
定位与排查
定位与排查
ss -lntup 'sport = :316' # 查看 316 的监听与进程
sudo lsof -i :316 # 反查进程与可执行文件
awk '$2 ~ /:013C$/ {print}' /proc/net/tcp # 十六进制端口，316 = 0x013C
ss -tan 'dport = :316' # 看本机是否有主动连接
sudo tcpdump -nni any port 316 -c 20 # 采少量包判断是否为认证交互ss 输出逐列读法
| 列 | 含义 | 关注点 |
|---|---|---|
| State | LISTEN 监听、ESTAB 已连接 | 认证类服务出现连接属正常，但要查对端 |
| Recv-Q | 未读字节数 | 认证请求小，长期堆积属异常 |
| Send-Q | 未确认字节数 | 异常增长多来自网络问题 |
| Local Address:Port | 本机地址与端口 | 认证端口应限制在受控网段 |
| Process | 程序名与 PID | 确认是否属于旧平台组件 |
自带认证体系的遗留组件风险比普通服务更高：它们往往使用过时算法或静态口令，且不在统一身份管理范围内。发现此类端口时，除了确认进程，还要检查是否存在弱口令或免认证路径；无法升级的组件应限制来源地址，并纳入下线计划。