惊! UPnP一打开家庭隐私就变“打开”了?( 二 )_首先

1、 IntraScan

我们采集到约有26万条IntraScan的内外网端口映射关系数据，平均每个恶意IP约有31条恶意端口映射记录。韩国受到IntraScan的影响最为严重，占所有感染数量的47% 。

IntraScan暴露的内网端口包括 Web服务相关的80、81、82、8080端口， FTP 21端口， SSH 22端口， Samba 445端口， MySQL 3306端口， MSSQL 1433端口等。暴露数量最多的是9308端口，即索尼PlayStation的端口。

图1 受IntraScan感染的设备内网映射端口分布

表 1是受IntraScan感染的设备内外网端口映射关系的示例。从中我们发现了两类不同的端口映射规则。一类是内网端口和所映射的外网端口相同，这类规则发生在9303-9308端口之间和所有大于等于49152端口的时候;另一类是将内网端口号加1000作为相对应的外网端口号，如果出现映射失败的情况(即该外网端口已在使用中) ，则会尝试将内网端口号加1025作为相对应的外网端口号，如果继续映射失败，则会持续在此基础上加1进行映射，直到映射成功，如示例中的80、81、82、8443、9999端口。