cab-protocol 是什么
cab-protocol 是 IANA 早期登记在 595 号端口上的服务名，登记说明只写了 CAB Protocol 这一行，注册人为 Winston Hetherington，没有任何 RFC 引用。595 属于系统端口段（0-1023），RFC 6335 之后这一段不再接受普通注册申请。名字里的 CAB 是一个高度歧义的缩写，它与 Windows 的 CAB 压缩包格式、和许多会议机构简称没有任何关系；在不掌握实现资料的前提下，唯一可靠的结论就是「这个端口号被某个早期项目占用过命名」。
基本信息
| 服务名 | cab-protocol |
|---|---|
| IANA 登记说明 | CAB Protocol |
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无 RFC 引用 |
| 端口区间 | 系统端口 500-599 |
| 登记人 | Winston Hetherington |
典型使用场景
- 端口测绘结果复核：把 595 标为「登记名无实现」，不参与服务指纹推断
- 排查缩写歧义：确认业务方说的 CAB 是不是指这个端口，避免张冠李戴
- 准入审核：新上线的自研服务不得占用已有登记名的端口，避免与老系统冲突
- 内网异常流量分析：定位 595 的发起方是何种设备或软件
- 交接文档编写：如实记录登记信息来源，注明无实现细节可查
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :595' # 同时看 TCP 监听与 UDP 绑定
sudo lsof -i :595 -P -n # 拿到 PID 与进程完整路径
ls -l /proc/<pid>/exe # 确认可执行文件真身，留意已删除文件
ss -tnp state established '( sport = :595 or dport = :595 )' # 谁在连它
# Windows：netstat -ano | findstr :595，再用 Get-Process -Id <pid> 看签名与路径排查判断要点
| 现象 | 含义 | 处置 |
|---|---|---|
| 595 监听在 0.0.0.0 | 对全网可访问，暴露面偏大 | 限制到管理网段，或改为监听内网地址 |
| 只有零星公网探测 | 互联网背景噪音，非定向攻击 | 聚合统计即可，不必逐条处理 |
| 本机进程是脚本语言解释器 | 很可能是自研或临时服务 | 追查脚本来源与部署责任人 |
Linux 上 /proc/<pid>/exe 指向被删除文件时，`ls -l` 会显示 deleted 标记，这常出现在启动后又升级、或已被清理的恶意程序上，是判断进程真身的重要线索。
同一端口号在 IANA 可以同时登记 TCP 与 UDP 两个条目；登记信息本身不保证两者都有实现，排查时不要默认两条都存在。