ms-shuttle 与 568 端口
568 的登记名是 ms-shuttle，IANA 说明为 microsoft shuttle，登记人 Rudolph Balaz，属微软相关历史产品的登记；同一登记人还申请了相邻的 569 ms-rome。登记记录没有协议文档，也没有可考的实现，属于企业早期为内部项目保留号码的类型。
基本信息
| 服务名 | ms-shuttle（Microsoft shuttle） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 登记联系人 | Rudolph Balaz |
| 同族条目 | 569 ms-rome（同一登记人） |
| 公开实现 | 无资料 |
什么情况下会遇到
- 微软体系为主的机房出现低位端口，运维需要确认是否为官方组件
- 端口清单审计时遇到厂商相关命名，需要判断是否仍受支持
- 历史系统整合要求区分官方支持组件与已停止维护的服务
- 安全扫描报告该端口开放，需要给出可靠的产品归属说明
- 更换技术栈时评估遗留依赖，需要能证明无调用方
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 监听方为微软官方组件且版本受支持 | 正常组件 | 按官方文档加固，保持补丁更新 |
| 监听方为第三方软件借用该端口 | 端口借用 | 按实际进程更新台账 |
| 同主机同时开放 568/569 | 同族登记 | 整体核实，不要单独处理 |
| 存在对外连接 | 需重点核实 | 按外联事件流程取证 |
| 无监听无流量 | 注册表条目 | 标注即可 |
四步定位
四步定位
ss -lntup 'sport = :568' # 监听面
netstat -ano | findstr :568 # Windows 侧 PID
powershell -c "Get-Process -Id <PID> | Select Path" # 进程镜像路径
tasklist /SV
sudo ss -tnp 'sport = :568 or dport = :568' # 会话视图
wmic product get name,version 2>/dev/null | head -20 # 已装组件线索微软生态里的产品名称与端口对应关系要以官方文档为准。注册表中的 ms-* 命名只表示当年由微软相关人员登记，不能据此推断当前 Windows 版本仍在使用该端口。
Windows 排查建议固定一套命令：netstat -ano 拿 PID，tasklist 或 Get-Process 拿镜像路径，再结合服务列表确认启动方式。仅凭 PID 判断不可靠，因为 PID 会被复用。
如果端口属于已停止支持的旧组件，处置顺序是：先确认无业务依赖，再评估能否卸载，最后清理策略与台账。直接删文件容易留下注册表与服务残留。