| 服务 | exec（512/tcp）、comsat/biff（512/udp） |
|---|---|
| 协议 | TCP/UDP |
| 背景 | Berkeley r-services 家族 |
| 现状 | exec 应彻底禁用，biff 基本绝迹 |
rexec 的认证模型依赖“客户端源端口必须小于 1024”这一特权端口信任假设，在现代网络中等同于无认证。
检查本机是否还在监听 r-services
检查本机是否还在监听 r-services
ss -ltnp | grep -E ":(512|513|514)\b"若 512-514/tcp 对外开放，攻击者可直接获得远程命令执行或登录；应立即关闭服务并封禁端口。