netstat 是一個可以查詢本機網路和外界網路連線的指令，可以透過這個指令的查詢得知有沒有奇怪的連線在你的機器中連線，也可透過此指令瞭解電腦連線的狀況。
這個指令在Windows,Linux,Mac上都有,但在參數與用法有一些許不同。
在 Windows 上的 netstat 說明
節錄及翻譯如下：
語法：
netstat [-a] [-e] [-n] [-o] [-p Protocol] [-r] [-s] [Interval]
參數：
-a : 顯示所有活動中的 TCP 連線，及 TCP and UDP ports 上聆聽中的資訊。
-e : 顯示網路的統計資訊，如 bytes 數和封包發送和接收的數量.這參數通常和 -s 並用。
-n : 顯示活動的TCP連線，但是 ip address和port編號沒有被解釋翻譯成為名稱說明。(通常可以加速顯示的速度因為反解通常需要查詢 dns 的時間)
-o : 顯示活動的 TCP 連線並且包含每個連線程序的 ID 編號(PID).你能夠找到應用程式的程序的PID資訊，在 windows 的工作管理員。這個參數通常和 -a, -n, and -p 混合使用.
-p 通訊協定 : 顯示指連線的通訊協定.預設的狀況這個通訊協定包含 tcp, udp, tcpv6, or udpv6. 如果配合 -s 參數則是可以顯示統計數量。
-s : 顯示統計資訊。預設顯示 TCP, UDP, ICMP, and IP 通訊協定. 如果 IPv6 protocol for Windows XP 被安裝的話, 統計資料顯示 TCP over IPv6, UDP over IPv6, ICMPv6, and IPv6 protocols.
-r : 顯示 IP 路由表的內容. 相當於 route print 命令.
Interval : 每隔幾秒重新顯示資訊. 按 CTRL+C 可以停止顯示. 如果省略則只顯示一次。
/? : 此說明
以下是一些實用的 netstat 語法，可以檢查主機的連線數量：
netstat -na
顯示主機上所有已建立的連線。
netstat -an | grep :80 | sort
顯示所有 port 80 的連線，並把結果排序。
netstat -n -p|grep SYN_REC | wc -l
列出主機上有多少個 SYNC_REC，一般上這個數字應該相當低。
netstat -n -p | grep SYN_REC | sort -u
同樣是列出 SYNC_REC，但不只列出數字，而是將每個 SYNC_REC 的連線列出。
netstat -n -p | grep SYN_REC | awk ‘{print $5}’ | awk -F: ‘{print $1}’
列出發送 SYNC_REC 的所有 ip 地址。
netstat -ntu | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n
計算每一個 ip 在主機上建立的連線數量。
netstat -anp |grep ‘tcp\|udp’ | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n
列出從 TCP 或 UDP 連線到主機的 ip 的數量。
netstat -ntu | grep ESTAB | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -nr
列出每個 ip 建立的 ESTABLISHED 連線數量。
netstat -plan|grep :80|awk {’print $5′}|cut -d: -f 1|sort|uniq -c|sort -nk 1
列出每個 ip 建立的 port 80 連線數量。
當然還有一些其他的方法囉：
例如使用 lsof
lsof（list open files）是一個列出當前系統打開文件的工具。在linux環境下，任何事物都以文件的形式存在，通過文件不僅僅可以訪問常規數據，還可以訪問網路連接和硬體。
所以如傳輸控制協議(TCP) 和用戶數據協議(UDP) Socket 等，系統在後台都為該應用程序分配了一個文件描述符，無論這個文件的本質如何，該文件描述符為應用程序與基礎操作系統之間的交互提供了通用接口。
因為應用程序打開文件的描述符列表提供了大量關於這個應用程序本身的信息，因此通過lsof工具能夠查看這個列表對系統監測以及排錯將是很有幫助的。
在終端下輸入lsof即可顯示系統打開的文件，因為lsof 需要訪問核心內存和各種文件，所以必須以root 用戶才能運行它。
範例：
lsof -i -n | egrep 'COMMAND|LISTEN'
The output should look something like this (as run on my laptop, again):
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
Xorg 1154 root 1u IPv6 0xc6042000 0t0 TCP *:x11 (LISTEN)
Xorg 1154 root 3u IPv4 0xc6041cb0 0t0 TCP *:x11 (LISTEN)
sshd 1685 root 3u IPv6 0xc6041ae0 0t0 TCP *:2200 (LISTEN)
sshd 1685 root 4u IPv4 0xc6041910 0t0 TCP *:2200 (LISTEN)
cupsd 1701 root 3u IPv6 0xc6041740 0t0 TCP [::1]:ipp (LISTEN)
cupsd 1701 root 4u IPv4 0xc6041570 0t0 TCP 127.0.0.1:ipp (LISTEN)
沒有留言:
張貼留言