端口与体系
407 对应 IANA 登记的 timbuktu，登记人 Marc Epard，是早期远程控制与屏幕共享软件 Timbuktu 使用的服务端口。这类工具在桌面支持场景中用于跨机器接管屏幕、传文件与共享资源，后来被系统自带远程桌面、主流商用远控以及统一的终端管理平台取代，公开部署资料已经很少。在安全审计里，未经纳管的远程控制监听通常被视为高关注项。
基本信息
| 服务名称 | timbuktu |
|---|---|
| 传输协议 | TCP 与 UDP |
| 登记机构 | Marc Epard |
| 所属体系 | 早期远程控制与屏幕共享软件 |
| 当前状态 | 被现代远程桌面与终端管理方案取代 |
典型使用场景
- 资产排查：识别内网是否存在未纳入管理的远程控制入口
- 桌面支持工具盘点：核对支持团队实际使用的远控软件与其端口
- 扫描报告解读：扫描器标注 timbuktu，需要与进程归属比对
- 合规审计：未授权远控是常见检查项，需要台账支撑
- 未知服务处置：无法归属时先取证再限制访问
定位占用进程
定位占用进程
# Linux：查看 407 的监听进程
ss -lntup 'sport = :407'
# 已建立连接：判断主机是发起端还是被控端
ss -tnp | grep ':407'
# 进程可执行文件路径，用于判断工具来源
sudo lsof -i :407
# 顺带看图形会话相关的监听，远控常伴随图形组件
ss -lntup | grep -E ':(5900|3389)\b'
# Windows：取 PID 后反查
netstat -ano | findstr :407
tasklist /FI "PID eq 1234"远控工具排查看点
| 排查维度 | 关注内容 | 判读方式 |
|---|---|---|
| 端口 | 是否为已纳管的远控方案 | 与工具台账比对，无记录即为异常 |
| 进程来源 | 安装路径与数字签名 | 非官方安装目录或签名异常需重点核查 |
| 连接方向 | 被控端还是发起端 | 办公网主机被控通常不符合策略 |
| 启动方式 | 服务、计划任务或开机自启 | 未纳管的开机自启是常见问题根因 |
未经纳管的远程控制类监听可能来自遗留的正版工具，也可能来自恶意远控，两者在端口层面难以区分。发现后不要直接下结论，先取证：进程路径、启动方式、启动账号、连接历史，再决定删除或上报。