mailbox-lm 与 505 端口
505 的 IANA 登记名是 mailbox-lm，字面指向局域网邮件箱服务，登记人为 Beverly Moody，用途说明与协议细节都没有公开文档。这类条目属于早期个人或厂商申请占位的低位端口：号码被保留下来，但既没有 RFC，也没有可考的软件实现。
基本信息
| 服务名 | mailbox-lm |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 登记联系人 | Beverly Moody |
| 登记完整性 | 无用途说明、无参考文档 |
| 公开实现 | 无资料 |
| 绑定权限 | Linux/macOS 需特权或能力授权 |
为什么这类端口值得单独记录
- 端口定性是资产台账的基础字段，答不出「这是谁的业务」就无法评估风险
- 攻击面收敛要求区分「有人在用」和「只是被登记过」，避免误报也避免漏报
- 历史端口常被杀毒与 EDR 规则覆盖，排查时需要人工复核而不是直接采信告警
- 老代码里出现的端口常量需要能反查到出处，否则不敢改
- 跨团队交接时，无名端口是最容易被永久挂起的待办项
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 本机有监听且能定位到业务 | 业务实际占用 | 登记归属，做访问控制与日志 |
| 本机有监听但进程无法识别 | 遗留组件或恶意程序 | 冻结现场，比对文件哈希与启动项 |
| 无监听、无规则 | 纯注册表遗留 | 在台账注明，不做额外处置 |
| 外联对端在公网且端口固定 | 疑似回连 | 抓包与进程树分析后按流程处置 |
| 只在扫描器报告里出现过 | 扫描行为本身 | 核对扫描源与时间窗，别当资产问题 |
四步定位
四步定位
ss -lntup 'sport = :505' # 定位监听方
sudo lsof -i :505 -P -n # 拿到 PID 与路径
sudo ss -tnp state established '( sport = :505 )' # 看有无活动会话
sudo ls -l /proc/<PID>/exe # 确认可执行文件是否被删除
grep -w 505 /etc/services # 本地登记表
sudo nft list ruleset | grep -w 505 # 查是否被策略放过mailbox-lm 没有公开文档，检索时容易被同名邮件软件的结果带偏。判断依据应放在本机证据上：谁在监听、二进制路径、启动方式、有无外联，而不是名字的字面含义。
Linux 上低位端口的实际权限门槛由 net.ipv4.ip_unprivileged_port_start 决定，默认 1024；运维为方便部署容器常把它调成 0，这会让非特权进程也能监听 505 一类的端口。
IPv6 是独立的一套监听：ss 输出里的 [::]:505 与 0.0.0.0:505 是两条栈上的绑定。只加固 IPv4 的话，IPv6 侧仍可能暴露，排查时两边都要看。