uucp-rlogin 与 541 端口
541 的登记名是 uucp-rlogin，登记人 Stuart Lynne，指把 UUCP 传输承载在 rlogin 会话上的通道，与 540 uucp 属同一族。UUCP 是 Unix 之间通过串行线路或网络交换文件与邮件的机制，在互联网普及前承担了大量节点间通信；承载它的 rlogin 认证非常薄弱，因此这一族整体已被淘汰。
基本信息
| 服务名 | uucp-rlogin（UUCP over rlogin） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 登记联系人 | Stuart Lynne |
| 关联号码 | 540 uucp、513 rlogin |
| 认证强度 | 基于主机信任，弱 |
| 现状 | 整体淘汰 |
什么情况下会遇到
- 老式 Unix 节点之间仍有 UUCP 传输任务，端口出现在资产清单里
- 工业或科研专网里保留着串行与拨号时代的通信脚本
- 安全评估要求识别基于主机信任关系的通道并给出替代方案
- 清理历史服务时需要判断哪些脚本仍在被定时任务调用
- 事件响应中需要区分老式批量传输与异常外联行为
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 由定时任务发起的规律传输 | 历史批量作业 | 评估迁移到 scp/sftp 后停用 |
| 使用主机信任且无强鉴权 | 高风险通道 | 改为密钥认证再谈保留 |
| 存在到外部地址的传输 | 数据外发风险 | 核对内容与合规性，必要时阻断 |
| 服务已停但脚本仍在跑 | 错误重试 | 清理定时任务与队列，避免日志噪音 |
| 无进程无任务 | 历史登记 | 无需处置 |
四步定位
四步定位
ss -lntup 'sport = :541' # 监听面
sudo lsof -i :541 -P -n # 进程归属
sudo ls -l /var/spool/uucp* 2>/dev/null # UUCP 队列是否仍有内容
sudo crontab -l; sudo ls /etc/cron.d 2>/dev/null
sudo grep -rniE 'uucp|rlogin' /etc 2>/dev/null | head
sudo ss -tnp 'sport = :541 or dport = :541' # 会话方向rlogin 系列依赖 .rhosts 一类主机信任文件，只校验来源主机而不做凭据校验。这类机制的替代方案是 SSH 密钥认证，并在需要批量传输时使用专门的自动化账号而非个人账号。
UUCP 的队列目录能反映真实工作量：队列长期为空但端口仍在监听，说明业务其实已经停用，只是没人做过清理。这比单看端口是否开放更能判断去留。
如果传输通道承载的是作业数据与内部邮件，明文与弱认证组合意味着内容可被读取和伪造。在专网中也不能默认安全，应尽快替换为加密通道。