linux netstat命令技巧
mckee发表于 2015-12-19 13:52:52
netstat简介：
netstat 命令用于显示各种网络相关信息，如网络连接，路由表，连接状态，多播成员等等。
常见参数选项：
-a (all) |
显示所有选项，默认不显示LISTEN相关 |
-t (tcp) |
仅显示tcp相关选项 |
-u (udp) |
仅显示udp相关选项 |
-n (numberic) |
拒绝显示别名，能显示数字的全部转化成数字。 |
-l (listen) |
仅列出有在 Listen (监听) 的服務状态 |
-p (program/PID) |
显示建立相关链接的程序名和pid |
-r (route) |
显示路由信息，路由表 |
-e(extend) |
显示扩展信息，例如uid等 |
-s (static) |
按各个协议进行统计 |
-c (Continus) |
每隔一个固定时间，执行该netstat命令。 |
- x |
UNIX套接字连接 |
-w |
RAW |
连接状态说明：
LISTEN：侦听来自远方的TCP端口的连接请求
SYN-SENT：再发送连接请求后等待匹配的连接请求（如果有大量这样的状态包，检查是否中招了）
SYN-RECEIVED：再收到和发送一个连接请求后等待对方对连接请求的确认（如有大量此状态，估计被flood攻击了）
ESTABLISHED：代表一个打开的连接
FIN-WAIT-1：等待远程TCP连接中断请求，或先前的连接中断请求的确认
FIN-WAIT-2：从远程TCP等待连接中断请求
CLOSE-WAIT：等待从本地用户发来的连接中断请求
CLOSING：等待远程TCP对连接中断的确认
LAST-ACK：等待原来的发向远程TCP的连接中断请求的确认（不是什么好东西，此项出现，检查是否被攻击）
TIME-WAIT：等待足够的时间以确保远程TCP接收到连接中断请求的确认
CLOSED：没有任何连接状态使用示例：
(1)显示所有tcp连接，并包括pid和程序名
netstat -atnp
(2)统计所有tcp状态的数量并排序netstat -atn | awk '{print $6}' | sort | uniq -c | sort -rn
(3)每隔1s显示网络信息(-c参数)netstat -ctn | grep "ESTABLISHED"(4)列出所有处于连接状态的ip并按数量排序
netstat -an | grep ESTABLISHED | awk '/^tcp/ {print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr