chshell 与 562 端口
562 的登记名是 chshell，IANA 说明为 chcmd，从命名看与远程命令执行类服务相关（shell 与命令通道）。登记记录没有给出协议规范，也没有公开实现。这类设计在上世纪曾用于集中管理多台主机，但由于认证薄弱，后来统一被 SSH 取代。
基本信息
| 服务名 | chshell（chcmd） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 用途方向 | 远程命令执行 |
| 现代替代 | SSH（22）及其自动化生态 |
| 公开实现 | 无资料 |
什么情况下会遇到
- 老运维体系中存在自研的远程执行通道，需要评估替换
- 内网扫描发现疑似命令执行类服务，需要优先评估风险
- 批量管理脚本迁移时，要梳理仍在使用旧通道的节点
- 安全评估要求清点所有可远程执行命令的服务
- 事件响应中发现命令执行痕迹，需要判断来源通道
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 监听方为自研批量管理组件 | 高风险通道 | 限期迁移到 SSH，先做限源与审计 |
| 认证方式为口令或主机信任 | 凭证强度不足 | 改用密钥与集中账号管理 |
| 存在异常命令执行日志 | 疑似入侵 | 按事件流程取证并核查持久化 |
| 端口开放但无客户端 | 残留服务 | 确认后停用 |
| 无监听无流量 | 注册表条目 | 无需处置 |
四步定位
四步定位
ss -lntup 'sport = :562' # 监听面
sudo lsof -i :562 -P -n # 进程与可执行路径
ps -o pid,ppid,user,etime,cmd -p <PID> # 运行账号与启动时长
sudo ss -tnp state established '( sport = :562 )' | head
sudo ausearch -m execve 2>/dev/null | head # 命令执行审计线索
sudo grep -rnw 562 /etc /opt 2>/dev/null # 配置引用可远程执行命令的服务属于最高风险类别：它不需要提权漏洞，凭据泄露即可直接获得主机控制权。评估时除了端口可达性，还要检查认证方式、账号权限与操作日志是否完整。
历史批量管理工具常把凭据存放在本地配置文件中，权限设置过宽时可被任意读取。清理这类通道时，凭据轮换与配置清理要与停服同步进行。
如果发现该端口对应未知进程且存在外部连接，应视为高危事件：先断链保存现场，再分析进程树、计划任务与启动脚本，不要在取证前直接终止进程。