687 是什么
687 的 IANA 服务名是 asipregistry，登记人 Erik Sea，协议标为 TCP/UDP。除名字之外，登记表没有留下协议说明、引用文档或任何实现线索，公开网络中几乎没有对应流量。它属于早期「按申请分配低位端口」时代的产物：当年个人或小厂商可以为自己的私有服务直接占一个号码，产品停掉后登记项仍然留在表里。
基本信息
| 端口号 | 687（0-1023 系统端口区间） |
|---|---|
| 服务名 | asipregistry |
| 协议 | TCP、UDP 双登记 |
| 登记人 | Erik Sea |
| 规范 | 无 RFC、无公开实现 |
| 常见程度 | 常规网络中极少出现 |
| 处理定性 | 登记遗留项，不等于现网服务 |
判断它是真服务还是误报
- 先看监听方：ss 或 lsof 能否给出进程名与启动路径，只有进程能证明本机在提供服务
- 再看流量：对端是否稳定、是否按固定周期通信，周期性通信更像业务，随机短连更像扫描或探测
- 再核台账：该 IP 是不是登记在册的业务主机，装机文档里有没有提到 asipregistry 这个名字
- 最后看方向：入方向监听说明本机是服务端，出方向连接说明本机是客户端或被控端
三步核实法
三步核实法
# 第一步：有没有监听（无 root 时 Process 列为空）
ss -lntup 'sport = :687'
# 第二步：有没有活跃或半开连接
ss -tnp state established | grep ':687'
# 第三步：把进程追到可执行文件与包归属
sudo lsof -i :687
readlink -f /proc/<PID>/exe
rpm -qf $(readlink -f /proc/<PID>/exe) 2>/dev/null || dpkg -S $(readlink -f /proc/<PID>/exe)lsof 输出逐列读法
| 列 | 含义 | 判读要点 |
|---|---|---|
| COMMAND | 持有该端口的进程名 | 名字生僻或像随机字符串要重点核实 |
| PID | 进程号 | 配合 /proc/<PID> 追启动参数与路径 |
| USER | 运行身份 | root 运行的低位端口服务权限面更大 |
| FD | 文件描述符 | 监听套接字通常是 3u、4u 等 |
| TYPE | 套接字类型 | IPv4/IPv6 会分两行显示 |
| NODE / NAME | 协议与本地地址端口 | NAME 为 *:687 表示监听全部网卡 |
asipregistry 这类名字在端口库里成百上千，它们的共同点是：能查到名字，查不到产品。工作中遇到时的正确姿势是先证伪——找出占用进程或流量特征，再决定是清理防火墙规则还是提风险工单。
如果既没有监听也没有流量，处置动作只是把资产表、防火墙工单和文档里的 687 条目清掉，不建议为它专门保留放行策略。留下无依据的端口放行，才是长期风险。