4444 的双身份
4444 在安全与测试两个世界都有固定角色：渗透测试框架 Metasploit 把 4444 作为默认回连监听端口（meterpreter/reverse 类载荷默认指向它），Selenium Grid 的 Hub 默认也在 4444 上提供 WebDriver 接口。IANA 给它的登记名是 krb524。同一端口的两副面孔让检测变得微妙：内网主机主动外连 4444 是典型的失陷信号，而测试机上 4444 监听往往只是自动化脚本。
基本信息
| 服务 | Metasploit handler / Selenium Grid Hub（IANA 登记名 krb524） |
|---|---|
| 协议 | TCP |
| 典型载荷端口 | Metasploit 默认 4444，可自定义 |
| Selenium | Grid Hub 默认 4444，节点注册与服务暴露同端口 |
| 安全等级 | 授权环境专用，生产网络不得出现未知监听 |
典型使用场景
- 授权渗透测试：搭建监听器接收回连，端口应按项目登记备案
- 自动化测试：Selenium Grid 集中调度浏览器节点跑回归
- 检测研判：内网出现外连 4444 的流量需要优先排查
- 资产盘点：确认 4444 监听属于测试环境还是异常进程
- 隔离管理：测试网格与生产网络分段，避免接口被外部滥用
检查本机 4444 归属
检查本机 4444 归属
ss -lntp | grep :4444
curl -s http://127.0.0.1:4444/status | head -c 300 # Selenium Grid 状态接口
docker ps | grep 4444 # 容器发布的端口
ps -fp $(ss -lntpH 'sport = :4444' | grep -oP 'pid=\K[0-9]+' | head -1)两种身份判定
| 特征 | Metasploit | Selenium Grid |
|---|---|---|
| 监听方向 | 服务端等回连，常在跳板或云主机 | 测试环境集中部署，节点主动注册 |
| 协议特征 | meterpreter 加密流量，特征不固定 | HTTP/WebDriver 接口，可直接 curl |
| 正常位置 | 授权测试网段 | 测试与 CI 环境 |
| 异常信号 | 生产主机出现该监听或外连 | 网格接口暴露公网被滥用 |
生产网络严禁出现未知的 4444 监听：渗透演练端口应登记备案，否则一旦发生真实入侵，告警会被当作演练噪声忽略。
研判思路：先看进程归属与启动方式，再看通信对象是否固定；测试网格的流量通常在固定主机之间，而失陷主机的外连目标会变化频繁。
记录与备案：测试环境的监听端口、使用时段与负责人应留档，测试结束后及时关闭监听，避免演练资源变成长期暴露面。
运维与检测建议
- 自动化网格与生产网络分段，接口不直接暴露到公网
- 检测规则同时覆盖监听与外连两个方向，减少单向盲区
- 测试任务结束即回收容器与端口占用，避免长期挂着
- 把该端口纳入资产台账，出现未知归属时优先排查