irc-serv 与 529 端口
529 的登记名是 irc-serv，登记人 Brian Tackett，指向 IRC（Internet Relay Chat）服务器；Windows 的 services 文件也收录了这个名字。实际部署中 IRC 服务几乎不用 529：明文监听惯例是 6667，TLS 监听惯例是 6697，因此 529 更多是历史登记与命名占位。
基本信息
| 服务名 | irc-serv（IRC server） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 登记联系人 | Brian Tackett |
| 本地登记表 | Windows services 文件亦收录 |
| 实际常用端口 | 6667 明文、6697 TLS |
| 现状 | 协议仍在用，但罕用 529 |
什么情况下会遇到
- 开源社区或内部沟通仍有 IRC 频道，需要确认服务端端口与加密情况
- 内网扫描出现 6667/6697 监听，需要评估是否属于违规自建服务
- 恶意软件利用 IRC 作为命令控制通道，取证时需要识别相关流量特征
- 老设备或脚本里写死了 irc-serv 名称，需要确认实际连接端口
- 合规检查要求说明非标准聊天服务的用途与数据留存方式
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 6667/6697 有监听且属内部用途 | 自建沟通服务 | 补齐审批、限源与日志留存 |
| 存在与外网 IRC 服务器的长连接 | 可疑 C2 | 封链取证，核查进程与持久化 |
| 529 上有监听 | 极少见，需核实 | 以进程为准定性，核对业务归属 |
| 连接呈规律性心跳 | 自动化客户端 | 定位客户端程序与配置文件 |
| 无监听无连接 | 历史登记 | 无需处置 |
四步定位
四步定位
sudo ss -lntp | grep -E ':(529|6667|6697)\b' # 常见 IRC 端口一起看
sudo ss -tnp state established | grep -E ':(6667|6697)\b' # 现有连接
sudo lsof -i :6667 -P -n # 客户端或服务端进程
whois <对端IP> | head -20 # 确认对端归属
sudo grep -rniE 'irc|6697' /etc /opt 2>/dev/null | head # 配置痕迹
sudo tcpdump -ni any port 6667 -A -c 5 | head -30 # 抽样看协议文本特征IRC 协议早期明文传输，认证与频道权限模型简单，因此长期被恶意软件用作命令控制通道。发现内网主机主动维持到外部 IRC 服务器的长连接，应作为重点线索而不是普通上网行为。
如果确实需要保留 IRC 用于技术协作，优先使用 TLS 端口并限制访问来源；同时明确服务端归属与日志留存策略，避免出现无人负责的长期开放服务。
注册表里的 irc-serv 与实际端口不一致是常态。部署与排查都应以客户端配置、服务端监听列表与手册为准，不要依据登记名推断连接方式。