概述

本文介紹了在Linux系統(tǒng)的實例中通過netstat命令查看系統(tǒng)端口信息的使用。

詳細信息

• 如果您對實例或數(shù)據(jù)有修改、變更等風險操作，務必注意實例的容災、容錯能力，確保數(shù)據(jù)安全。
• 如果您對實例（包括但不限于ECS、RDS）等進行配置與數(shù)據(jù)修改，建議提前創(chuàng)建快照或開啟RDS日志備份等功能。
• 如果您在阿里云平臺授權或者提交過登錄賬號、密碼等安全信息，建議您及時修改。

netstat命令使用介紹

netstat命令通常是用來監(jiān)控TCP/IP網(wǎng)絡的工具，可以顯示路由表、實際的網(wǎng)絡連接以及每一個網(wǎng)絡接口設備的狀態(tài)信息。如果需要了解當前系統(tǒng)開放了哪些端口，及這些端口的關聯(lián)進程和用戶，可以通過netstat命令進行查詢。此處介紹了netstat命令的語法和參數(shù)，步驟如下。

使用語法

netstat [$Parameter]

注：[$Parameter]為netstat命令參數(shù)。

命令參數(shù)

參數(shù)說明如下。

• -a或--all：顯示所有連接中的Socket。
• -A：列出該網(wǎng)絡類型連接中的相關地址。
•  -c或--continuous：持續(xù)列出網(wǎng)絡狀態(tài)。
• -C或--cache：顯示路由器配置的緩存信息。
• -e或--extend：顯示額外的網(wǎng)絡相關信息。
• -t：僅顯示TCP端口。
• -u：僅顯示UDP端口。
• -l：僅顯示監(jiān)聽套接字。
• -p：顯示進程標識符和程序名稱，每一個套接字或端口都屬于一個程序。
• -n：不進行DNS輪顯示IP，可以加速操作。
• --help：命令用法幫助。

netstat命令常用的命令組合

通常結合grep、wc或sort等命令來分析系統(tǒng)連接情況和連接數(shù)狀態(tài)，可以判斷服務器是否被攻擊，命令組合使用介紹參考如下。

• 執(zhí)行如下命令，顯示所有活動的網(wǎng)絡連接。
  
  netstat -na

• 執(zhí)行如下命令，顯示所有指定端口的網(wǎng)絡連接并排序。如果該指定端口被Web服務進程監(jiān)聽，就可以通過查看該指定端口監(jiān)控Web服務。如果看到同一個IP有大量連接，則判定該IP疑似存在單點流量攻擊行為。
  
  netstat -an | grep :[$Port] | sort

  注：[$Port]為Linux系統(tǒng)指定的端口號。

• 執(zhí)行如下命令，統(tǒng)計當前服務器有多少個活動的指定服務連接數(shù)。正常來說這會很小，一般小于5。在遭受DDoS攻擊時，會造成該值會很高，但是該值并不能用來判斷是否遭受DDoS攻擊，因為在高并發(fā)服務器上，該值也會很高。

  netstat -n -p|grep [$Server] | wc -l

  注：[$Server]指需要查看的服務名或進程名。

• 執(zhí)行如下命令，列出所有與指定服務連接點連接過的IP地址。
  
  netstat -n -p | grep [$Server] | sort -u

• 執(zhí)行如下命令，列出所有發(fā)送指定服務連接點的IP地址。
  netstat -n -p | grep [$Server] | awk '{print $5}' | awk -F: '{print $1}'

• 執(zhí)行如下命令，統(tǒng)計所有連接到本機的IP地址。
  netstat -ntu | awk '{print $5}' | cut -d: -f1 |
  sort | uniq -c |
  sort -n

• 執(zhí)行如下命令，統(tǒng)計所有TCP和UDP連接到本機的IP和連接次數(shù)。
  netstat -anp | egrep 'tcp|udp' | awk '{print $5}' | cut -d: -f1 |
  sort | uniq -c |
  sort -n

• 執(zhí)行如下命令，檢查ESTABLISHED連接并且統(tǒng)計出每個IP地址的連接次數(shù)。
  netstat -ntu | grep ESTAB | awk '{print $5}' | cut -d: -f1 |
  sort | uniq -c |
  sort -nr

• 執(zhí)行如下命令，統(tǒng)計出連接到指定端口的IP地址連接次數(shù)，并列出排名前10的IP地址信息和該IP地址的連接次數(shù)。如果有單個IP地址存在大量連接，則判斷為該IP地址是單點流量攻擊行為。
  netstat -antp |awk '$4 ~ /:80$/ {print $4" "$5}'|awk '{print $2}'|awk -F : {'print $1'}|uniq -c|sort -nr|head -n 10

netstat命令處理端口占用

1. 執(zhí)行如下命令，根據(jù)對應的端口號，查找出對應端口號占用的進程信息。
   
   netstat -antp | grep [$Port]

2. 執(zhí)行如下命令，根據(jù)以上步驟獲取的進程ID號，結束指定進程，解決端口占用問題。
   
   kill -9 [$PID]

   注：[$PID]為上一步獲取到的指定端口PID進程號。

 如果您有其他問題，可以聯(lián)系北京優(yōu)勝智連阿里云代理商，為您提供一對一專業(yè)全面的技術服務，同時新老阿里云會員，均可享受我公司代理商價格，歡迎咨詢！