3847 是什么
3847 是登记名为 msfw-control 的端口，属 Microsoft 防火墙控制类组件的遗留登记，见于系统自带的 services 名称映射文件。现代 Windows 防火墙由系统策略与集中管理统一控制，不依赖该端口对外通信。若在现网看到它在监听，更可能是第三方安全或网络管理软件在复用这个端口号，必须反查进程才能判断归属。
基本信息
| 服务名 | msfw-control（Microsoft 登记） |
|---|---|
| 协议 | TCP |
| 关联组件 | 防火墙控制类组件 |
| 登记来源 | Windows services 文件 |
| 端口区间 | 注册端口段 1024-49151 |
| 现实使用 | 历史遗留 |
典型使用场景
- 安全软件盘点：确认终端上的安全或管理类软件是否自带监听服务
- 策略核对：区分系统防火墙策略与该软件的独立放行规则
- 主机取证：反查监听进程、运行账号与安装来源
- 暴露面收敛：安全管理口不应对业务网段或公网开放
- 防火墙审计：清理软件升级或卸载后残留的规则
- 合规留痕：把无法归因的监听按未知服务流程处理
核对现状的常用命令
核对现状的常用命令
ss -lntp 'sport = :3847' # 查 TCP 监听
sudo lsof -i :3847 # 反查进程与可执行文件
netstat -ano | findstr :3847 # Windows 侧取 PID
netsh advfirewall show allprofiles state # 确认系统防火墙各配置文件状态
sudo nft list ruleset | grep -c 3847 # Linux 侧核对是否有相关规则排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 监听归属 | 反查进程与路径 | 安全软件通常有明确的安装目录与签名 |
| 管理口暴露 | 查看监听地址与网段可达性 | 管理口对业务网段开放属高危配置 |
| 策略来源 | 对比系统防火墙与软件规则 | 两套规则并存时容易互相掩盖问题 |
| 规则残留 | 导出规则清单并过滤 | 升级或卸载后常留下不再生效的放行 |
安全软件的管理接口权限很高，它的监听端口是攻击者的重点目标。管理通道应限制到管理网段，并尽量启用强认证，不能与业务访问共用同一张网。
系统防火墙与第三方安全软件各管一套规则，核对暴露面时两套都要看。只看系统规则，会漏掉软件自行添加的放行。