srssend 是什么
srssend 是登记在 362 上的 IANA 服务名，登记说明为 SRS Send，注册人是 Curt Mayer，注册表没有展开 SRS 的含义，也没有 RFC 与实现记录。名称里的 send 提示它可能是一个发送方向的组件，但方向性描述不足以支撑任何具体结论，仍然需要主机证据。362 属于 0-1023 的知名端口段，绑定需要 root 或 CAP_NET_BIND_SERVICE，现网出现它通常意味着老系统仍在沿用固定的内部端口。
基本信息
| 服务名 | srssend（SRS Send） |
|---|---|
| 端口与协议 | 362，TCP 与 UDP 均有登记 |
| 注册情况 | IANA 早期登记项，无 RFC |
| 登记背景 | 注册人 Curt Mayer |
| 现网现状 | 无公开实现，现网极少出现 |
| 权限要求 | 0-1023 段端口，绑定需 root 或 CAP_NET_BIND_SERVICE |
典型使用场景
- 出入双向核查：名称提示发送方向，排查时监听与外联两个方向都要看
- 暴露面盘点：主机出现 362 监听时确认进程来源与运行用户
- 规则治理：回收无业务方认领的 362 放行条目
- 监控覆盖：把冷门低编号纳入流量监控，便于发现周期性外联
- 资产归档：记录注册表原文与本机证据，形成可复核结论
定位与排查
定位与排查
ss -lntup 'sport = :362' # 查看 362 的监听与进程
sudo lsof -i :362 # 反查进程与可执行文件
awk '$2 ~ /:016A$/ {print}' /proc/net/tcp # 十六进制端口，362 = 0x016A
ss -tan 'dport = :362' # 重点看是否有主动外联
sudo tcpdump -nni any port 362 -c 30 # 采样看流量方向与对端ss 输出逐列读法
| 列 | 含义 | 关注点 |
|---|---|---|
| State | LISTEN 监听、ESTAB 已连接 | ESTAB 中的方向要结合 Peer 列判断 |
| Recv-Q | 未读字节数 | 发送型组件长期堆积说明对端拒绝接收 |
| Send-Q | 未确认字节数 | 持续增长说明链路或对端有问题 |
| Local Address:Port | 本机地址与端口 | 监听地址决定暴露范围 |
| Process | 程序名与 PID | 核对程序是否与发送类业务相关 |
判断发送型组件有个实用技巧：看本地端口是不是随机高位端口。客户端发起连接时通常使用内核分配的高位端口，如果一个进程对固定目标反复发起连接而本地端口每次不同，它更可能是发送端而非服务端，这能帮助快速区分角色。