端口与体系
998 是同一端口号上、不同传输层协议对应不同服务的多重登记：TCP 侧为 busboy，UDP 侧为 puparp，后者属于早期网络协议族的历史注册。两侧服务名不同，这是本端口最容易混淆的地方。
由此要注意什么
同一个数字在不同传输层上可能是完全不同的服务。排查时必须先确认看的是 TCP 还是 UDP，否则很容易把两侧混为一谈，得出错误结论。
基本信息
| 服务名称 | busboy（TCP）与 puparp（UDP） |
|---|---|
| 传输协议 | TCP 与 UDP，两侧登记名不同 |
| 所属体系 | 早期网络协议族 |
| 当前状态 | 无公开实现 |
典型使用场景
- 协议核对：区分同一端口号在 TCP 与 UDP 上的不同登记
- 端口清单整理：避免把两侧服务合并为一条记录
- 扫描报告解读：扫描器可能只报一侧，需补齐另一侧
- 遗留放行规则回收：TCP 与 UDP 的放行要分别核对
- 未知服务处置：两侧都无对应组件时按未知服务流程取证
- 资产台账复核：确认台账中的协议字段是否完整
- 安全基线检查：低编号端口在两个协议上都被扫描关注，需一并说明
分别查看两侧
分别查看两侧
# Linux：TCP 与 UDP 侧分别查看监听
ss -lntup | grep ':998 '
ss -lunp | grep ':998 '
# 交叉验证可执行文件归属
sudo lsof -i :998
# Windows：取 PID 后反查（netstat 会标注 TCP/UDP）
netstat -ano | findstr :998同一端口号的两侧登记
| 传输层 | 登记名 | 判读方式 |
|---|---|---|
| TCP | busboy | 按 TCP 侧监听与连接核对 |
| UDP | puparp | 按 UDP 侧套接字核对 |
| 共性问题 | 登记名不同 | 先确认协议再判断服务 |
做端口台账时建议把传输层作为独立字段：一条 TCP 记录加一条 UDP 记录，比合并成一行更贴近实际，也避免日后回收放行规则时出现一半留一半的情况。
防火墙与安全组对 TCP 和 UDP 的处理是分开的。只检查一侧就宣告端口已关闭，是这类多重登记端口最常见的遗漏点。
从命名习惯看，puparp 这类带协议族缩写的名称通常是早期实验性项目的命名遗留。遇到类似的名字，先假设它缺少现役实现，再用进程与连接证据去验证或推翻这个假设。