761 是什么
761 的服务名是 rxe，协议为 TCP、UDP 双登记，登记表同样没有登记人和说明文字。它与周边若干裸名条目一样，属于早期批量登记阶段留下的名字。排查这类端口时，真正的难点不在端口本身，而在于如何区分「真的有人在监听」与「扫描器的判定假象」，这需要理解端口扫描的判定机制。
基本信息
| 端口号 | 761（700-1023 系统端口区间） |
|---|---|
| 服务名 | rxe |
| 协议 | TCP、UDP 双登记 |
| 登记说明 | 无 |
| 规范与实现 | 无公开规范 |
| 现实出现概率 | 极低 |
| 判读要点 | 区分开放、关闭与被过滤三种扫描结果 |
扫描结果的三种状态
- 开放：收到 SYN-ACK，说明有进程在监听，需回到主机复核进程
- 关闭：收到 RST，说明主机在线但没有进程监听该端口
- 被过滤：没有任何回应或收到 ICMP 不可达，说明中间有设备丢弃了探测包
- UDP 更复杂：无回应既可能是开放也可能是被过滤，只能靠应用层探测区分
主机侧复核与抓包对照
主机侧复核与抓包对照
# 主机侧是否有监听（权威依据）
ss -lntup 'sport = :761'
# 若扫描报告称开放但本机无监听，检查是否有防火墙代答
sudo iptables -S | grep -i reject
# 抓包看是否真有 SYN 到达本机
sudo timeout 30 tcpdump -nn -i any 'tcp port 761 and tcp[tcpflags] & tcp-syn != 0'
# 注意 UDP 端口需单独抓 udp port 761报告与现网不一致的常见原因
| 不一致表现 | 可能原因 | 核实方法 |
|---|---|---|
| 报告开放、本机无监听 | 中间设备代答或代理 | 主机抓包看 SYN 是否到达 |
| 报告关闭、本机有监听 | 本机防火墙丢弃了来自扫描源的包 | 检查来源限制规则 |
| UDP 结果反复变化 | 无连接特性导致判定不稳 | 应用层探测加抓包 |
| 不同扫描源结论不同 | 来源网段策略不一致 | 比对策略与路由路径 |
主机侧 ss 的输出是权威依据，扫描器的结论只是外部观测。两者冲突时以主机侧为准，并用抓包解释差异，能避免很多无谓的争论。
对 UDP 端口的判断不要只看扫描结果。UDP 没有连接建立过程，开放与被过滤在外部表现上可能完全一样。