中继聊天协议的经典端口
6667 是中继聊天协议的经典端口：客户端连到服务器后加入频道，消息由服务器转发给频道内所有人。它在编号上占据一段连续区间，加密版本通常使用另一端口。开源社区长期用它做技术讨论，企业内部也有自建服务器用于团队交流；同时因为协议简单、连接易于隐藏，一些恶意程序也曾用它作为控制通道，流量审计时需要结合行为判断。
基本信息
| 服务 | 中继聊天协议 |
|---|---|
| 协议 | TCP 6667（相邻端口成段，加密版本另有端口） |
| 用途 | 频道聊天、社区讨论、内部沟通 |
| 客户端 | 命令行与图形客户端均可 |
| 注意点 | 明文传输；也可能被用于隐蔽控制通道 |
典型使用场景
- 开源社区协作：项目讨论与实时答疑
- 内部沟通：自建服务器作为轻量消息通道
- 排障：连不上服务器时先确认端口与加密方式
- 安全审计：发现该类流量时结合行为判断是否为异常通信
- 迁移评估：把明文通道切换到加密版本
端口与加密
| 端口 | 加密 | 使用建议 |
|---|---|---|
| 6667 | 明文 | 仅内网或经隧道使用 |
| 6665 至 6669 | 明文 | 历史沿用区间 |
| 6697 | 加密 | 公网访问优先选择 |
连通与核对
连通与核对
# 端口连通测试
nc -zv irc.example.com 6667
# 加密端口连通测试
nc -zv irc.example.com 6697
# 查看本机是否有异常外联（安全审计视角）
ss -tnp state established | grep 6667
# 观察连接是否长期保持且流量极小
sudo tcpdump -i any -n port 6667 -c 20判断该类流量是否异常，看的是通信模式而不是端口本身：正常聊天有明显的用户交互节奏，而控制通道往往表现为长时间空闲后突然出现短小指令、目标地址固定且缺少正常客户端特征。
明文通道上的口令与聊天内容可被同网段直接读取：内部使用应启用加密版本或限制在受控网段内，公网连接务必选择加密端口。
审计要点
- 确认外联目标是否为已知服务器地址
- 确认通信模式是否符合正常聊天特征
- 确认通道是否加密、口令是否在明文中传输
- 确认内部服务器只对内网开放