ginad 是什么
634 在 IANA 登记的服务名是 ginad，注册人为 Mark Crother，登记表没有 RFC 引用与说明字段，连名字的构成方式都看不出明确含义。这类条目在 600-699 段成片出现，共同特征是：只能证明曾经有软件占用了这个端口号，无法证明协议内容或现行用途。634 属于系统端口段（0-1023），RFC 6335 之后这段只由 IETF Review 或 IESG Approval 分配。排查时它应当被当作完全未知的端口，从本机进程和连接对象入手定性。
基本信息
| 服务名 | ginad |
|---|---|
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无说明无 RFC |
| 端口区间 | 系统端口 600-699 |
| 现状 | 无公开规范与公开实现 |
| 登记人 | Mark Crother |
典型使用场景
- 主机加固基线：确认系统端口段内没有多余监听服务
- 入侵排查：把无说明端口的出现时间与账号活动时间对齐
- 日志归一化：为这类端口在采集规则中保留原始字段，避免信息丢失
- 系统交接：接手他人维护的主机时优先清理无归属端口
- 合规审计：为每个开放端口准备必要性说明，无说明的先关再议
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :634' # 监听情况
sudo lsof -i :634 -P -n # 进程详情
sudo ls -l /proc/<pid>/exe # 可执行文件真身
sudo cat /proc/<pid>/cmdline | tr '\0' ' '; echo # 启动参数，常含配置路径
# 排查持久化：crontab -l、systemctl list-timers、/etc/rc.local排查判断要点
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| 启动参数 | 带明确的配置路径与运行模式 | 空参数或被混淆过的参数 |
| 持久化方式 | 有对应的服务单元或计划任务 | 都查不到，重启后仍自动出现 |
| 可执行文件位置 | 受管目录，包管理器可追溯 | 临时目录、隐藏文件名 |
进程重启后自动出现却找不到服务单元时，要系统性检查持久化位置：crontab、systemd timer、rc.local、init 脚本、容器重启策略都可能拉起进程。
PID 会被回收，取证时把 PID 与进程启动时间、可执行文件路径一起记录，仅凭端口号和 PID 不足以支撑后续追溯。