Quá trình nghe không rõ tại cổng 8080

Vấn đề: có gì đó đang nghe trên cổng 8080

• Nếu tôi tải trang bằng Safari, tôi nhận được một trang trống (trang có màu trắng nhưng "Phát triển → Hiển thị nguồn trang" bị mờ đi)

• Nếu tôi telnet đến cổng 8080, tôi nhận được câu trả lời

  $ telnet 127.0.0.1 8080
  Trying 127.0.0.1...
  Connected to localhost (127.0.0.1).
  Escape character is '^]'.
  

Nhưng

• lsof không hiển thị bất kỳ quá trình nghe trên cổng 8080

  $ sudo lsof -iTCP -sTCP:LISTEN -P -n | grep 8080
  $
  

• netstat không hiển thị bất kỳ quy trình sử dụng cổng 8080

  $ netstat -n  | grep 8080
  $
  

• Tôi có thể mở cổng 8080 theo chương trình (ví dụ: với máy chủ web) mà không có bất kỳ lỗi nào về cổng đang được sử dụng

• nmap không liệt kê cổng như được sử dụng

  sudo nmap 127.0.0.1
  
  Starting Nmap 6.01 ( http://nmap.org ) at 2012-10-03 16:16 CEST
  Nmap scan report for localhost (127.0.0.1)
  Host is up (0.000081s latency).
  Not shown: 990 closed ports
  PORT      STATE SERVICE
  22/tcp    open  ssh
  631/tcp   open  ipp
  1023/tcp  open  netvenuechat
  3283/tcp  open  netassistant
  3306/tcp  open  mysql
  3689/tcp  open  rendezvous
  5001/tcp  open  commplex-link
  5003/tcp  open  filemaker
  5432/tcp  open  postgresql
  50003/tcp open  unknown
  
  Nmap done: 1 IP address (1 host up) scanned in 10.92 seconds
  

Điều tương tự cũng xảy ra với cổng 80 nhưng không xảy ra với các cổng khác (ví dụ: 81 hoặc 8081).

Câu hỏi Quá trình nào đang trả lời cho các cổng này khi không có quá trình nào khác đang mở chúng? Mục đích của hành vi này là gì?

Biên tập

• Nếu tôi mở cổng bằng một chương trình thì cổng đó có thể được sử dụng bình thường. Khi cổng được đóng lại, hành vi lạ xuất hiện trở lại. Thí dụ:

  • truy cập vào cổng 8080 cung cấp kết nối đến một quy trình không xác định
  • Tôi mở cổng với tomcat
  • truy cập vào cổng 8080 vào tomcat và mọi thứ đều ổn
  • Tôi đóng cổng (bỏ tomcat)
  • cổng được liệt kê là không được sử dụng (xem ở trên)
  • truy cập vào cổng 8080 cung cấp kết nối đến một quy trình không xác định

• các quy tắc tường lửa chỉ cho thấy rằng cổng không bị chặn

  $ sudo ipfw show
  00001    926004   100891783 allow ip from me to any dst-port 80,8080,3128,5001,5003,443
  65535 125057043 94341114828 allow ip from any to any
  

Chỉnh sửa 2

• chương trình nghe không phải là máy chủ HTTP (nghĩa là không phản ứng với GET index.html HTTP/1.0yêu cầu

Tôi nhận thấy vấn đề này rất nhiều trên Macbook của tôi. Tôi đã thử sử dụng cổng 8080 cho một số thử nghiệm và tôi đã nhận được lỗi rằng một quá trình khác đã lắng nghe nó. Yêu cầu nmaptrả lại kết quả khác nhau của tôi tùy thuộc vào việc tôi có sử dụng sudohay không. Điều này không có ý nghĩa với tôi.

Tôi thực sự lo lắng khi tôi không thể hiểu được các quy trình đang lắng nghe trên các cổng này là gì sudo lsof -P -n -iTCP | grep LIST. Điều này khiến tôi tin rằng có phần mềm độc hại cố tình che giấu chính nó.

Tôi đã kết thúc việc xóa các tập tin từ đó /Library/LaunchDaemons/cho đến khi tôi thu hẹp nó thành thủ phạm. Ứng dụng chịu trách nhiệm cho tất cả các cổng được mở này là Máy khách di động an toàn Cisco AnyConnect. Thật không may, để ứng dụng khách Cisco VPN này hoạt động, nó phải mở tất cả các cổng này. Rõ ràng, nó cũng chịu trách nhiệm cho việc bổ sung quy tắc tường lửa mà bạn đã báo cáo ipfw show.

Nó vẫn làm tôi suy nghĩ tại sao nó không hiển thị quá trình nào chịu trách nhiệm cho các cổng mở khi sử dụng lsof. Không có ứng dụng nào có thể tránh được việc liệt kê bằng phương pháp này. Có lẽ lý do cho quá trình không được liệt kê sẽ được trả lời trong một câu hỏi stackexchange khác.

Tôi gặp vấn đề này sáng nay, phàn nàn trên Twitter và được thông báo rằng sự cố đã được khắc phục trong các phiên bản gần đây của Any Connect . Tôi đã nâng cấp lên phiên bản mới và tôi không còn có quá trình bí ẩn ràng buộc với cổng 8080. Cho đến nay vẫn tốt.

Trong trường hợp của tôi, tôi đã nhận được điều này từ lsof.

GeneralSe 57613  root  8u  IPv6 0x2ffc9f7c6daebd5b  0t0  TCP *:8080 (LISTEN)

Vì vậy, sau khi đào sâu vào LaunchDaemon, tôi đã tìm thấy các tệp này và xóa chúng.

com.GeneralSearchSignDaemon.plist
com.GeneralSearchSignP.plist

Sau đó, cổng trở nên miễn phí.

Tôi nghĩ rằng quá trình này được kết nối với Sợi nhưng nó không được giải quyết tự động ngay cả khi tôi đã loại bỏ Sợi.