netstat

目录： （一）netstat简介 （二）netstat语法指南 （三）实战演练 （四）netstat小结 （一）netstat简介 (1.1)在Internet的RFC标准中，netstat的定义是：netstat是在内核中访问网络连接状态及相关信息的程序，它能提供TCP连接、在TCP和UDP监听、进程内存管理的相关报告。netstat是控制台命令，是一个监控TCP/IP网络的非常有用的工具，它可以显示路由表、实际的网络连接以及每一个网络接口设备的状态信息。netstat用于显示IP、TCP、UDP和ICMP协议相关的统计数据，一般用于检验本机各端口的网路连接情况。如果你的计算机有时候接收到的数据包导致出错数据或故障，你不必感到奇怪，TCP/IP可以容许这些类型的错误，并能够自动重发数据包。但如果累积的出错情况数目占到所接收的IP数据报相当大的百分比，或者它的数目正迅速增加，那么你就应该使用netstat查一查为什么会出现这些情况了。netstat命令的功能是显示网路连接、路由表和网络接口信息，可以让用户得知有哪些网络连接正在运作。使用时如果不带参数，netstat显示活动的TCP连接。 (1.2)我们的服务器经常会搭建网站同时会对外提供服务，很多时候我们想要监控服务器的TCP连接信息、UDP连接信息、或者查询有多少个用户连接到我们的服务器等，每个用户建立了多少个连接

netstat命令各个参数说明如下： 　　-t : 指明显示TCP端口 　　-u : 指明显示UDP端口 　　-l : 仅显示监听套接字(所谓套接字就是使应用程序能够读写与收发通讯协议(protocol)与资料的程序) 　　-p : 显示进程标识符和程序名称，每一个套接字/端口都属于一个程序。 　　-n : 不进行DNS轮询，显示IP(可以加速操作) 即可显示当前服务器上所有端口及进程服务，于grep结合可查看某个具体端口及服务情况·· netstat -ntlp //查看当前所有tcp端口· netstat -ntulp |grep 80 //查看所有80端口使用情况· netstat -an | grep 3306 //查看所有3306端口使用情况· 查看一台服务器上面哪些服务及端口 netstat -lanp 查看一个服务有几个端口。比如要查看mysqld ps -ef |grep mysqld 查看某一端口的连接数量,比如3306端口 netstat -pnt |grep :3306 |wc 查看某一端口的连接客户端IP 比如3306端口 netstat -anp |grep 3306 netstat -an 查看网络端口 lsof -i :port，使用lsof -i :port就能看见所指定端口运行的程序，同时还有当前连接。 nmap 端口扫描netstat -nupl

　　Netstat 命令用于显示各种网络相关信息，如网络连接，路由表，接口状态 (Interface Statistics)，masquerade 连接，多播成员 (Multicast Memberships) 等等，可让你得知整个Linux系统的网络情况。 命令含义 　　执行netstat后，其输出结果为： [root@CTU1000094955 ~]# netstat Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 CTU100009495:scp-config 10.156.17.212:50097 ESTABLISHED tcp 0 0 localhost:53020 localhost:mysql ESTABLISHED tcp 0 0 localhost:53022 localhost:mysql ESTABLISHED tcp 0 0 CTU1000094955:ssh 10.148.76.171:49280 ESTABLISHED tcp 0 0 localhost:53021 localhost:mysql ESTABLISHED tcp 0 0 localhost:53019 localhost

a、/bin/ps,/bin/netsta程序都是1.2M的大小，显然是被人掉包了 　　b、/usr/bin/.dbus-daemon--system 进程还带了一个点，跟哪个不带点的很像，但终归是假的，你咋不给真的删掉替换呢，看来写这种程序的人法律意识很强，要不然程序推广起来了，死了 　　一大片CIA会放过他吗 　　c、/etc/rc.local权限改了，而且添加了一个开机启动项 　　d、lsattr、chattr命令删除了 　　e 、进程杀掉了立即又起来了这点很让人头痛 　　f、找到了一些最近修改的文件，显然这些都是黑客留下的 　　g、开机自动启动文件增加2个启动项 　　刚开始进程杀了又起来，文件删了又自动生成，线上环境又没有防火墙配置，无奈之下只好想了一个怪招，把/bin/bash 重命名 一下，果然流量下来了，这种杀敌1万自损8千的招果然有用。 　　其实这时候还没有找到真正的木马，但是已经有时间去分析查找 病毒 源了，这3台其中两台修改了bash名字，突然断开了，这样就登陆不了，只好重装系统了。后来这台我就慢慢查找了，差不 　　多都找到了，然后删除。这时心情大好，准备写博文记录一下，毕竟这是线上环境第一次遭遇木马。 　　大概22点的时候，博文写了一半，突然又接到故障，这次一下子又7台服务器出故障了，好心情一下子没了，原来那3台只是个开场白，真正的战斗还没有开始