3935 是什么
3935 是登记名为 sdp-portmapper 的端口，属早期服务发现与端口映射机制的遗留登记，同样只见于系统自带的 services 名称映射文件。登记名中的 SDP 与 portmapper 都指向已经过时的技术栈，现代系统用其他机制完成服务发现与端口协商。它在现网中的出现，基本只能解释为旧系统残留或第三方软件自行占用。
基本信息
| 服务名 | sdp-portmapper（Microsoft 登记） |
|---|---|
| 协议 | TCP/UDP |
| 技术背景 | 早期服务发现与端口映射 |
| 登记来源 | Windows services 文件 |
| 端口区间 | 注册端口段 1024-49151 |
| 现实使用 | 历史遗留 |
典型使用场景
- 旧系统排查：老平台出现端口协商异常时确认是否依赖该机制
- 资产盘点：把扫描报告中的 3935 与业务清单对齐
- 主机取证：反查监听进程、运行账号与启动方式
- 风险核查：端口映射类通道可能被用于穿透网络边界，需重点确认
- 防火墙审计：清理无业务依赖的历史放行
- 合规留痕：无归属的监听按未知服务流程处置
定位占用进程
定位占用进程
ss -lntp 'sport = :3935' # 查 TCP 监听
ss -lnup 'sport = :3935' # 查 UDP 监听
sudo lsof -i :3935 # 反查进程与可执行文件
netstat -ano | findstr :3935 # Windows 侧取 PID
Get-Process -Id PID | Select-Object Path,Company # 看路径与厂商排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 监听确认 | ss 过滤 3935 的 TCP 与 UDP | 两侧都无输出即只是登记遗留 |
| 进程归属 | 反查路径与父进程 | 父进程为脚本宿主时需重点核实 |
| 映射用途 | 核对是否有端口转发类配置 | 映射通道要确认转发目标与授权 |
| 处置动作 | 限制访问并留档 | 无业务归属时按未知服务收口 |
端口映射类机制的风险点在于转发方向与授权范围：一旦被非授权使用，它就等于在边界上开了一条不在资产清单里的通道，因此发现后要连带核对转发配置。
服务发现机制的演进很快，旧资料里的端口与协议描述早已不适用。判断现网行为时看实际流量与配置，不要照搬历史登记信息。