teedtap 与 559 端口
559 的登记名是 teedtap，登记人 Charlie Limoges，登记记录没有展开说明，也找不到对应的公开协议与软件。名字结构上接近「tee 到 tap」的转发描述，但仅凭命名无法确定用途，按注册表条目对待即可。
基本信息
| 服务名 | teedtap |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 登记联系人 | Charlie Limoges |
| 登记说明 | 无展开描述 |
| 公开实现 | 无资料 |
什么情况下会遇到
- 端口扫描报告里出现无法定性的条目，需要给出可交付结论
- 内网抓包发现该端口有零星流量，需要判断是否为历史工具
- 变更评审要求说明某主机开放该端口的必要性
- 资产台账长期挂着一个无人认领端口，需要销项
- 渗透测试报告把它列为风险点，需要业务方给出举证
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 有监听且进程可识别 | 存在实际服务 | 登记归属并做最小权限控制 |
| 有流量但无监听 | 客户端或转发行为 | 定位发起进程与目标地址 |
| 仅报告存在、复查无监听 | 扫描时序差异 | 记录复核过程后销项 |
| 配置文件中有引用 | 历史依赖 | 确认无调用方后清理 |
| 完全无痕迹 | 注册表条目 | 标注即可 |
四步定位
四步定位
ss -lntup 'sport = :559' # 监听面
sudo lsof -i :559 -P -n # 进程归属
sudo ss -tnp 'sport = :559 or dport = :559' # 双向会话
sudo conntrack -L 2>/dev/null | grep -w 559 | head # 连接跟踪
sudo grep -rnw 559 /etc /opt /usr/local 2>/dev/null
sudo tcpdump -ni any port 559 -c 10 # 抽样确认协议「有流量但无监听」通常意味着本机是发起方或中间转发节点。此时排查重点从服务端切到客户端：找发起进程、看目标地址、对齐业务时间窗，往往能直接定位到具体工具。
渗透测试报告的端口风险需要业务方举证闭环。举证内容包括：端口用途、使用组件、访问来源、是否有更强替代方案；只有结论没有过程的答复通常无法通过复测。
对无法考证的历史登记，建议统一记录格式：登记名、登记来源、首次发现时间、排查命令与输出、结论、责任人。这样后续审计可以直接引用，不必重新调研。