3587 是什么
3587 是登记名为 p2pgroup 的端口，属 Windows 对等网络时代的组件登记，与 PNRP 等机制属于同一批技术。这类组件早期用于局域网内的对等协作与名称解析，现代系统基本不再默认启用对应服务，登记项只保留在本地 services 文件里。若在老系统上看到 3587 监听，通常意味着装过依赖对等组件的协作或共享类软件。
基本信息
| 服务名 | p2pgroup（Microsoft 登记） |
|---|---|
| 协议 | TCP/UDP |
| 技术背景 | Windows 对等网络与名称解析 |
| 登记来源 | Windows services 文件 |
| 端口区间 | 注册端口段 1024-49151 |
| 现实使用 | 历史遗留 |
典型使用场景
- 组件盘点：确认终端是否安装过对等协作或共享类软件
- 网络管控：对等传输可能绕过集中审计，需确认是否被策略禁用
- 主机取证：反查监听进程与运行账号，确认服务归属
- 防火墙审计：清理软件卸载后残留的例外与放行规则
- 隔离评估：终端出现在受控网段却开启对等监听时需立即核实
- 台账留痕：标注该端口为历史登记项，减少重复核查
定位占用进程
定位占用进程
ss -lntp 'sport = :3587' # 查 TCP 监听
ss -lnup 'sport = :3587' # 查 UDP 监听
sudo lsof -i :3587 # 反查进程与可执行文件
netstat -ano | findstr :3587 # Windows 侧取 PID
Get-NetTCPConnection -LocalPort 3587 -State Listen | Select-Object OwningProcess # Windows 查监听者排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 监听确认 | ss 或 netstat 过滤 3587 | 无输出即只是登记遗留 |
| 软件来源 | 对照已安装程序与协作类软件 | 确认是否有软件带入了对等组件 |
| 服务状态 | 查看相关对等服务的启动类型 | 自动启动且无人认领时需追问来源 |
| 规则残留 | 导出防火墙例外并过滤相关条目 | 软件卸载后例外常被遗留 |
企业对等网络相关组件通常直接禁用：点对点传输缺少集中的审计与访问控制，容易成为数据外流或横向移动的通道。核对时就按这条策略读结果，而不是按端口号判断风险大小。
部分软件在安装时自动添加防火墙例外，卸载时却不会清理。排查这类端口时顺手导出一次例外清单，能同时发现历史遗留的放行规则。