https://en.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol
The DHCP employs a connectionless service model, using the User Datagram Protocol (UDP). It is implemented with two UDP port numbers for its operations which are the same as for the BOOTP protocol. UDP port number 67 is the destination port of a server, and UDP port number 68 is used by the client.
https://zh.wikipedia.org/wiki/动态主机配置协议
DHCP统一使用两个IANA分配的端口作为BOOTP：服务器端使用67/udp，客户端使用68/udp。
https 443
TCP 20=FTP Data,Amanda(传输数据)
TCP 21=文件传输,（控制连接）
TCP 22=安全服务(SSH)
TCP 23=远程登录(Telnet),Tiny Telnet Server (= TTS)
TCP 25=电子邮件(SMTP)
TCP 80=超文本服务器(Http)
TCP 110=电子邮件(Pop3)
TCP 115=简单文件传输协议
TCP 123=网络时间协议(NTP)
TCP 135=微软DCE RPC end-point mapper服务
TCP 137=微软Netbios Name服务(网上邻居传输文件使用)
TCP 138=微软Netbios Name服务(网上邻居传输文件使用)
TCP 139=微软Netbios Name服务(用于文件及打印机共享)
TCP 443=安全服务
TCP 444=Simple Network Paging Protocol(SNPP)rk
TCP 458=苹果公司QuickTime
TCP 548=Macintosh文件服务
TCP 555=Ini-Killer,Phase Zero,Stealth Spy
TCP 569=MSN
TCP 993=IMAP (带SSL的加密功能)
TCP 994=SMTP (带SSL的加密功能)
TCP 995=POP3 (带SSL的加密功能)
TCP 1433=Microsoft SQL Server
TCP 1434=Microsoft SQL Monitor
TCP 1801=Microsoft Message Queue
TCP 4000=腾讯QQ客户端
http://baike.baidu.com/item/端口号
涵义
端口包括物理端口和逻辑端口。物理端口是用于连接物理设备之间的接口，逻辑端口是逻辑上用于区分服务的端口。
TCP/IP协议中的端口就是逻辑端口，通过不同的逻辑端口来区分不同的服务。一个IP地址的端口通过16bit进行编号，最多可以有65536个端口。端口是通过端口号来标记的，端口号只有整数，范围是从0 到65535。
功能
端口有什么用呢？我们知道，一台拥有IP地址的
主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过1个IP地址来实现。那么，
主机是怎样区分不同的网络服务呢？显然不能只靠IP地址，因为IP 地址与网络服务的关系是一对多的关系。实际上是通过“IP地址+端口号”来区 分不同的服务的。
服务器一般都是通过知名端口号来识别的。例如，对于每个TCP/IP实现来说，
FTP服务器的TCP端口号都是21，每个Telnet服务器的TCP端口号都是23，每个TFTP(简单文件传送协议)服务器的UDP端口号都是69。任何TCP/IP实现所提供的服务都用知名的1～1023之间的端口号。这些知名端口号由Internet号分配机构（InternetAssignedNumbersAuthority,IANA）来管理。
到1992年为止，知名端口号介于1～255之间。256～1023之间的端口号通常都是由Unix系统占用，以提供一些特定的Unix服务—也就是说，提供一些只有Unix系统才有的、而其他
操作系统可能不提供的服务，IANA管理1～1023之间所有的端口号。
Internet扩展服务与Unix特定服务之间的一个差别就是Telnet和Rlogin。它们二者都允许通过计算机网络登录到其他
主机上。Telnet是采用端口号为23的TCP/IP标准且几乎可以在所有
操作系统上进行实现。Rlogin只是为Unix系统设计的（尽管许多非Unix系统也提供该服务），它的有名端口号为513。
客户端通常对它所使用的端口号并不关心，只需保证该端口号在本机上是唯一的就可以了。
客户端口号又称作临时端口号（即存在时间很短暂）。这是因为它通常只是在用户运行该客户程序时才存在，而服务器则只要
主机开着的，其服务就运行。
大多数TCP/IP实现给临时端口分配1024～5000之间的端口号。大于5000的端口号是为其他服务器预留的（Internet上并不常用的服务)。我们可以在后面看见许多这样的给临时端口分配端口号的例子。
Solaris2.2是一个很有名的例外。通常TCP和UDP的缺省临时端口号从32768开始。
https://en.wikipedia.org/wiki/Netstat
In computing, netstat (network statistics) is a command-line network utility tool that displays network connections for the Transmission Control Protocol (both incoming and outgoing), routing tables, and a number of network interface (network interface controller or software-defined network interface) and network protocol statistics. It is available on Unix-like operating systems including macOS, Linux, Solaris, and BSD, and is available on Windows NT-based operating systems including Windows XP, Windows Vista, Windows 7, Windows 8 and Windows 10.
It is used for finding problems in the network and to determine the amount of traffic on the network as a performance measurement.[1]
On Linux, netstat (part of "net-tools") is superseded by ss (part of iproute2), which is recommended instead.[2][3][4][5]
w
https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml
一个IP地址的端口通过16bit进行编号，最多可以有65536个端口。端口是通过端口号来标记的，端口号只有整数，范围是从0 到65535。
1024*64=64000+1280+256=64000+1536
TCP与UDP段结构中
端口地址都是16比特，可以有在0---65535范围内的端口号。对于这65536个端口号有以下的使用规定：
（1）端口号小于256的定义为常用端口，服务器一般都是通过常用端口号来识别的。任何TCP/IP实现所提供的服务都用1---1023之间的端口号，是由ICANN来管理的；
（2）
客户端只需保证该端口号在本机上是惟一的就可以了。
客户端口号因存在时间很短暂又称临时端口号；
（3）大多数TCP/IP实现给临时端口号分配1024---5000之间的端口号。大于5000的端口号是为其他服务器预留的。
逻辑端口
逻辑意义上的端口有多种分类标准，下面将介绍常见的按端口号分布的分类：
（1）公认端口（Well-Known Ports）
知名端口即众所周知的端口号，范围从0到1023，这些端口号一般固定分配给一些服务。比如21端口分配给FTP(
文件传输协议)服务，25端口分配给SMTP（
简单邮件传输协议）服务，80端口分配给HTTP服务，135端口分配给RPC（
远程过程调用）服务等等。
网络服务是可以使用其他端口号的，如果不是默认的端口号则应该在
地址栏上指定端口号，方法是在地址后面加上冒号“:”（
半角），再加上端口 号。比如使用“8080”作为WWW服务的端口，则需要在
地址栏里输入“：8080”。
但是有些系统协议使用固定的端口号，它是不能被改变的，比如139 端口专门用于NetBIOS与TCP/IP之间的通信，不能手动改变。
（2） 注册端口（Registered Ports）：端口号从1025到49151。它们松散地绑定于一些服务。也是说有许多服务绑定于这些端口，这些端口同样用于许多其他目的。这些端口多数没有明确的定义服务对象，不同程序可根据实际需要自己定义，如后面要介绍的远程控制软件和木马程序中都会有这些端口的定义的。记住这些常见的程序端口在木马程序的防护和查杀上是非常有必要的。常见木马所使用的端口在后面将有详细的列表。
动态端口
（1） （ 动态和/或私有端口（Dynamic and/or Private Ports）
动态端口的范围从1024到65535，这些端口号一般不固定分配给某个服务，也就是说许多服务都可以使用这些端口。只要运行的程序向系统提出访问网络的申请，那么系统就可以从这些端口号中分配一个供该程序使用。比如
1024端口就是分配给第一个向系统发出申请的程序。在关闭程序进程后，就会释放所占用的端口号。
不过，动态端口也常常被病毒
木马程序所利用，如冰河默认连接端口是7626、WAY 2.4是8011、Netspy 3.0是7306、YAI病毒是1024等 。
保留端
Unix系统有保留端口号的概念。只有具有超级用户特权的进程才允许给它自己分配一个保留端口号。
https://baike.baidu.com/item/端口地址
端口：21
服务：FTP
说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly
Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。
端口：22
服务：Ssh
说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
端口：23
服务：Telnet
说明：
远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。
端口：25
服务：SMTP
说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email
Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。
