decap 是什么
decap 是登记在 403 上的 IANA 服务名，注册表只有这个缩写，没有展开说明，注册表也未记录注册人信息，没有 RFC 与实现记录。decap 在技术上还常指「剥离封装头」这类操作，例如把隧道报文的外层头去掉，但那属于处理动作，不是一个服务名。403 位于 0-1023 的知名端口段，绑定需要 root 或 CAP_NET_BIND_SERVICE。顺便一提，403 也是常见的 HTTP 状态码，但两者毫无关系。
基本信息
| 服务名 | decap |
|---|---|
| 端口与协议 | 403，TCP 与 UDP 均有登记 |
| 注册情况 | IANA 早期登记项，无 RFC |
| 名称含义 | 注册表未展开，可能与封装处理相关 |
| 现网现状 | 无公开实现，现网极少出现 |
| 权限要求 | 0-1023 段端口，绑定需 root 或 CAP_NET_BIND_SERVICE |
典型使用场景
- 概念区分：说明 403 端口与 HTTP 403 响应码是两个层面的东西
- 暴露面核查：主机监听 403 时确认进程来源与运行用户
- 规则治理：回收无人认领的 403 放行条目
- 隧道排查：分析封装与解封装行为时，关注的是报文结构而非该编号
- 资产归档：记录注册表原文与本机证据
定位与排查
定位与排查
ss -lntup 'sport = :403' # 查看 403 的监听与进程
sudo lsof -i :403 # 反查进程与可执行文件
awk '$2 ~ /:0193$/ {print}' /proc/net/tcp # 十六进制端口，403 = 0x0193
ss -tan 'dport = :403' # 看本机是否有主动连接
netstat -ano | findstr :403 # Windows 侧查法与进程号ss 输出逐列读法
| 列 | 含义 | 关注点 |
|---|---|---|
| State | LISTEN 监听、ESTAB 已连接 | 端口状态与 HTTP 响应码无关 |
| Recv-Q | 未读字节数 | 长期非 0 说明应用未消费数据 |
| Send-Q | 未确认字节数 | 结合链路情况判断 |
| Local Address:Port | 本机地址与端口 | 按需限制访问来源 |
| Process | 程序名与 PID | 无权限时不显示，需 sudo 复跑 |
排查中容易出现的混淆是「数字相同就认为相关」：端口号、HTTP 状态码、进程退出码都是独立的编号体系，取值相同没有任何因果联系。写报告时把体系名称一并写清楚，例如「403/tcp 端口」与「HTTP 403 状态码」，可以避免读者误读。