696 是什么
696 的服务名是 rushd，登记表里也写作 RUSHD，登记人 Greg Ercolano，协议为 TCP/UDP。名字以 d 结尾，按 Unix 惯例代表守护进程（daemon），说明登记时对应的是一套自带后台服务的软件，而不是一次性工具。但登记表没有留下该守护进程的功能描述、协议格式或文档链接，因此无法从公开资料判断它在现网中应当长什么样。
基本信息
| 端口号 | 696（0-1023 系统端口区间） |
|---|---|
| 服务名 | rushd（RUSHD） |
| 协议 | TCP、UDP 双登记 |
| 登记人 | Greg Ercolano |
| 命名惯例 | d 结尾表示守护进程 |
| 规范与实现 | 无公开规范与实现说明 |
| 常见程度 | 常规网络中极少出现 |
典型判断流程
- 确认监听方是不是某个软件套装的后台服务：看进程路径、同机其它端口和进程依赖库
- 确认端口是否只在本机可见：仅回环监听说明它只是组件间通信通道，暴露面极小
- 确认有无外部连接：若只有本机进程互连，通常不需要防火墙额外放行
- 确认是否属于已下线软件的残留：装了又卸载不干净的后台服务常以开机自启形式留在系统里
残留服务排查
残留服务排查
# 端口与进程
ss -lntup 'sport = :696'
# 看进程是否为开机自启
systemctl list-units --type=service --state=running | grep -i <进程关键字>
# 查历史安装痕迹（Debian 系）
dpkg -l | grep -i <软件关键字>
# 查 cron 与开机脚本中的残留
sudo crontab -l; ls -l /etc/cron.d/ | grep -i <关键字>残留类型与处置
| 残留形式 | 表现 | 处置建议 |
|---|---|---|
| systemd 服务仍在运行 | 开机自启，端口长期监听 | 确认无人依赖后 disable 再 stop |
| 仅进程存在无服务定义 | 手工拉起或脚本拉起 | 找到拉起方，先去掉再收进程 |
| 安装包已删服务仍在 | 包管理器查不到 | 从进程路径反查文件来源 |
| 配置文件残留但无进程 | 不影响运行 | 归档配置后清理，避免误配 |
以 d 结尾的服务名只说明命名习惯，不代表这个端口安全或无害。守护进程如果以 root 身份运行并监听全网卡，风险与普通服务并无区别，评估时看的是权限、暴露面和认证强度。
对于找不到业务归属的低位端口，推荐的处理顺序是：先限制来源网段，观察一段时间确认无影响，再决定是否永久停用。直接关闭可能触发隐藏依赖，排查成本反而更高。