服務埠的狀態變化

先在本機（伺服器端：IP地址為192.168.1.10）配置FTP服務，然後在其它計算機（客戶端：IP地址為192.168.1.1）訪問FTP服務，從TCPView看看埠的狀態變化。

1. 伺服器端的埠狀態

1.1 LISTENING狀態

• State顯示是LISTENING時表示處於偵聽狀態，就是說該埠是開放的，等待連線，但還沒有被連線 。

• 從TCPView可以看出本機（伺服器端）開放FTP的情況。它的意思是：程式inetinfo.exe開放了21埠（FTP預設的埠為21），即在本機（伺服器端）開放了FTP服務 。 目前正處於偵聽狀態。

程式	協議	伺服器端IP:Port	客戶端IP:Port	狀態
inetinfo.exe:1260	TCP	0.0.0.0:21	0.0.0.0:0	LISTENING

1.2 ESTABLISHED狀態

• 現在從（客戶端）192.168.1.1這臺計算機訪問一下（伺服器端）192.168.1.10的FTP服務。在本機（伺服器端）的TCPView可以看出埠狀態變為ESTABLISHED。

• ESTABLISHED的意思是建立連線。表示兩臺機器正在通訊。

下面顯示的是本機的FTP服務正在被192.168.1.1這臺計算機訪問。

程式	協議	伺服器端IP:Port	客戶端IP:Port	狀態
inetinfo.exe:1260	TCP	192.168.1.10:21	192.168.1.1:3009	ESTABLISHED

注意：處於ESTABLISHED狀態的連線一定要格外注意，因為它也許不是個正常連線。後面我們要講到這個問題。

1.3 TIME_WAIT狀態

• 現在從（客戶端）192.168.1.1這臺計算機結束訪問（伺服器端）192.168.1.10的FTP服務。在本機（伺服器端）的TCPView可以看出埠狀態變為TIME_WAIT。

• TIME_WAIT的意思是結束了這次連線。說明21埠曾經有過訪問，但訪問結束了。

程式	協議	伺服器端IP:Port	客戶端IP:Port	狀態
[System Process]:0	TCP	192.168.1.10:21	192.168.1.1:3009	TIME_WAIT

2. 客戶埠的狀態變化

客戶埠實際上就是從客戶端訪問其它計算機（伺服器端）服務時開啟的源埠，最多的應用是上網，下面就以訪問www.baidu.com為例來看看埠開放以及狀態的變化情況。

1. SYN_SENT狀態

SYN_SENT狀態表示請求連線，當你要訪問其它的計算機的服務時首先要發個同步訊號給該埠，此時狀態為SYN_SENT，如果連線成功了就變為ESTABLISHED，此時SYN_SENT狀態非常短暫。但如果發現SYN_SENT非常多且在向不同的機器發出，那你的機器可能中了衝擊波或震盪波之類的病毒了。這類病毒為了感染別的計算機，它就要掃描別的計算機，在掃描的過程中對每個要掃描的計算機都要發出了同步請求，這也是出現許多SYN_SENT的原因。

下面顯示的是本機連線www.baidu.com網站時的開始狀態，如果你的網路正常的，那很快就變為ESTABLISHED的連線狀態。

IEXPLORE.EXE:2928 TCP 192.168.1.10:1035 202.108.250.249:80 SYN_SENT

2. ESTABLISHED狀態

下面顯示的是本機正在訪問www.baidu.com網站。如果你訪問的網站有許多內容比如訪問www.yesky.com，那會發現一個地址有許多ESTABLISHED，這是正常的，網站中的每個內容比如圖片、flash等都要單獨建立一個連線。看ESTABLISHED狀態時一定要注意是不是IEXPLORE.EXE程式（IE）發起的連線，如果是EXPLORE.EXE之類的程式發起的連線，那也許是你的計算機中了木馬了。

程式	協議	客戶端IP:Port	伺服器端IP:Port	狀態
IEXPLORE.EXE:3120	TCP	192.168.1.10:1045	202.108.250.249:80	ESTABLISHED

3. TIME_WAIT狀態

如果瀏覽網頁完畢，那就變為TIME_WAIT狀態。

程式	協議	客戶端IP:Port	伺服器端IP:Port	狀態
[System Process]:0	TCP	192.168.1.10:4259	202.108.250.249:80	TIME_WAIT

一般使用者一定要熟悉：

• 服務埠重點要看的是LISTENING狀態和ESTABLISHED狀態，LISTENING是本機開了哪些埠，ESTABLISHED是誰在訪問你的機器，從哪個地址訪問的。
• 客戶埠的SYN_SENT狀態和ESTABLISHED狀態，SYN_SENT是本機向其它計算機發出的連線請求，一般這個狀態存在的時間很短，但如果本機發出了很多SYN_SENT，那可能就是中毒了。看ESTABLISHED狀態是要發現本機正在和哪個機器傳送資料，主要看是不是一個正常程式發起的。