9535 是什么
9535 是 IANA 登记给 man 服务的端口，历史上用于集中提供手册查询：客户端不必在本地安装手册页，改为向手册服务器请求。这类服务在老 UNIX 环境中偶有部署，现代发行版几乎不再启用，扫描报告里出现 9535 多半意味着老系统仍在运行。它没有现代加固版本，排查重点落在资产归属以及是否还需要保留。
基本信息
| 服务名 | man（远程手册服务） |
|---|---|
| 协议 | TCP |
| 登记来源 | IANA 服务端口注册表 |
| 历史用途 | 集中式手册查询 |
| 端口区间 | 注册端口段 1024-49151 |
| 现实使用 | 仅遗留 UNIX 环境可能出现 |
典型使用场景
- 遗留资产盘点：确认老 UNIX 主机是否仍在提供手册服务
- 下线评估：确认没有客户端调用后再停服，减少暴露面
- 连通性探测：在授权范围内确认端口是否开放与响应特征
- 进程取证：反查服务进程与配置文件，确认归属与版本
- 防火墙审计：清理为老服务保留的放行规则
- 合规留痕：把遗留服务登记进资产台账并记录处置结论
探测与处置
探测与处置
nc -zv legacy01 9535 # 探测端口是否开放
ss -lntp 'sport = :9535' # 本机确认监听与进程
sudo lsof -i :9535 # 反查服务进程与配置文件
netstat -ano | findstr :9535 # Windows 侧对应查询
# 停服前先统计调用方: 访谈业务方并观察一段时间的访问日志排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 开放状态 | nc 或 telnet 探测 | 开放不代表有业务在用，需核对调用方 |
| 进程归属 | lsof 反查并核对配置 | 确认是否由老系统自带脚本启动 |
| 调用方核查 | 访谈与访问日志分析 | 没有调用方即可安排停服 |
| 处置动作 | 停服、收规则、留档 | 无人认领的遗留服务应优先下线 |
遗留系统上无人认领的服务是入侵链上的常见落脚点：缺少补丁、缺少监控、也很少有人注意。发现后即便暂时不能下线，也应先限制来源并开启日志。
停服之前先抓一次真实调用：老客户端的依赖常常藏在定时脚本或内部文档里，直接停服会引出难以定位的故障。