ndsauth 是什么
ndsauth 是登记在 353 上的 IANA 服务名，注册人是 Jayakumar Ramalingam，登记说明指向认证类服务，除名称外没有公开的协议文档与实现记录。认证类编号在 1990 年代很常见，各家产品都做过私有认证通道，随着目录服务与统一身份体系普及，这些私有方案大多被 LDAP、Kerberos 或基于 HTTPS 的认证取代。353 位于 0-1023 的知名端口段，绑定需要 root 或 CAP_NET_BIND_SERVICE。
基本信息
| 服务名 | ndsauth |
|---|---|
| 端口与协议 | 353，TCP 与 UDP 均有登记 |
| 注册情况 | IANA 早期登记项，无 RFC |
| 用途分类 | 早期认证服务 |
| 现网现状 | 无公开实现，现网极少出现 |
| 权限要求 | 0-1023 段端口，绑定需 root 或 CAP_NET_BIND_SERVICE |
典型使用场景
- 认证面清点：确认系统内没有游离于统一身份体系之外的私有认证端口
- 老系统排查：在历史 Unix 主机上核对是否仍有认证组件占用 353
- 规则治理：回收无业务方认领的 353 放行条目
- 迁移评估：确认新平台已覆盖旧认证组件的功能，避免迁移后出现登录旁路
- 安全分析：出现 353 连接时确认对端，避免把遗留认证流量误判为攻击
定位与排查
定位与排查
ss -lntup 'sport = :353' # 查看 353 的监听与进程
sudo lsof -i :353 # 反查进程与可执行文件
awk '$2 ~ /:0161$/ {print}' /proc/net/tcp # 十六进制端口，353 = 0x0161
ss -tan 'dport = :353' # 看本机是否有主动连接
sudo tcpdump -nni any port 353 -c 20 # 采样判断是否为认证交互ss 输出逐列读法
| 列 | 含义 | 关注点 |
|---|---|---|
| State | LISTEN 监听、ESTAB 已连接 | 认证服务出现连接正常，但要查对端 |
| Recv-Q | 未读字节数 | 认证报文小，长期堆积属异常 |
| Send-Q | 未确认字节数 | 异常增长多与网络有关 |
| Local Address:Port | 本机地址与端口 | 认证端口应限制在受控网段 |
| Process | 程序名与 PID | 确认是否属于统一身份体系之外的组件 |
私有认证通道最容易被忽略的风险是旁路：集中管控开启了多因素认证，但旧组件仍用静态口令直连，攻击者只要找到这个端口就能绕过管控。发现此类端口时，除了查进程，还应确认它是否被纳入了账号与口令策略、是否有登录审计。