666 的两个注册项
666 在 IANA 名录里登记的服务名是 doom，登记人为 id Software，同号另有 mdqs。因为 Doom 的知名度，这个端口被戏称为恶魔端口，频繁出现在扫描报告和安全段子里。实际部署中 666 极少对应真实业务，扫描到它应先按未知服务处理。
基本信息
| 服务 | doom（id Software）/ mdqs |
|---|---|
| 协议 | TCP/UDP |
| 登记 | IANA |
| 属性 | 游戏文化符号，实际部署极少 |
| 备注 | 与 IRC 的 6667 仅差一位数字，容易混淆 |
典型使用场景
- 扫描报告里出现 666 时判断是误报还是真实服务
- 学习端口历史时理解早期登记的随意性
- 资产核查时确认无人认领端口的处置流程
- 排查疑似异常程序监听的低号端口
- 整理端口台账时把 666 与 6667 分开记录
定位占用该端口的进程
定位占用该端口的进程
ss -lntup 'sport = :666'
sudo lsof -i :666
netstat -ano | findstr :666 # Windows
# 关注进程路径与启动命令，判断是否为正常业务易混端口对照
| 端口 | 登记名 | 说明 |
|---|---|---|
| 666 | doom | 游戏文化符号，公开部署资料极少 |
| 666 | mdqs | 同号另一登记项 |
| 6667 | IRC | IRC 的事实默认端口，与 666 常被看错 |
doom 在 IANA 有登记但公开部署资料稀少。排查时先核对该端口是否为已知业务的默认端口；无法对应时按未知服务流程处置：核实进程来源、留存记录、必要时限制访问。
常见混淆：IRC 的事实默认端口是 6667，与 666 只差一位数字。扫描报告里把两者看错，会得出完全错误的服务判断，核对时留意位数并确认实际监听进程。
历史背景：早期登记名录里有不少端口来自个人或小项目申请，服务名与真实用途常常对不上。做端口指纹时不能只看注册名，必须结合实际监听进程与流量特征。
处置建议：遇到无人认领的开放端口，先核实进程来源与启动方式，留存证据后再决定关闭服务还是纳入台账。只封端口会让真正的可疑进程继续留在系统里。
台账建议：对历史登记项可以在台账里标注注册来源与当前是否在用，避免每次审计都重复排查同一批端口，把精力留给真正在用的服务。