password-chg 与 586 端口
586 的登记名是 password-chg，IANA 说明为 Password Change，是早期系统管理工具时代的口令修改服务登记：把改密操作做成可远程调用的服务，集中处理多台主机的账号口令。这类设计后来被认为风险过高，现代做法是把改密收敛到身份平台或通过 SSH 单机执行。
基本信息
| 服务名 | password-chg（Password Change） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 用途方向 | 远程口令修改 |
| 现代对应 | 身份平台改密、SSH 改密流程 |
| 公开实现 | 无资料 |
什么情况下会遇到
- 老运维工具链梳理时，发现存在集中改密组件
- 账号安全整改要求清点所有参与口令变更的服务
- 合规审计要求说明口令策略的执行位置与审计方式
- 批量改密脚本改造时，需要梳理现有调用链路
- 事件响应中需要判断是否存在异常的口令变更行为
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 监听方为自研集中改密服务 | 高风险通道 | 限期迁移到身份平台，先做限源与审计 |
| 鉴权仅靠主机信任或共享口令 | 凭证强度不足 | 改用强认证并做操作留痕 |
| 口令变更无审计记录 | 不可追溯 | 补充日志并纳入定期核对 |
| 端口开放但无调用 | 残留服务 | 确认后停用 |
| 无监听无流量 | 注册表条目 | 无需处置 |
四步定位
四步定位
ss -lntup 'sport = :586' # 监听面
sudo lsof -i :586 -P -n # 进程与可执行路径
sudo ss -tnp 'sport = :586 or dport = :586' # 调用来源
sudo ausearch -m user_acct 2>/dev/null | head # 账号变更审计线索
sudo grep -rnw 586 /etc /opt 2>/dev/null # 配置引用
sudo grep -rnw 586 /var/log 2>/dev/null | head # 日志痕迹口令变更属于账号生命周期管理的关键动作，审计价值很高：谁在什么时候改了哪个账号的口令，应当可查。使用自研通道时如果缺少日志，事后无法区分正常运维与账号劫持。
集中改密组件通常需要保存或传输口令，风险集中在凭据存储环节。评估时要确认凭据是否加密、谁能读取配置文件，以及改密过程是否留痕。
如果发现口令修改服务在业务网段可达且缺少强认证，应视为高危：攻击者可以直接修改账号口令并获得持久访问，比一次性入侵的危害更大。