30.监控io free ps 查看网络状态 抓包

最新推荐文章于 2022-08-08 14:51:25 发布
最新推荐文章于 2022-08-08 14:51:25 发布
阅读量406 收藏
点赞数
文章标签： 运维 awk 数据库
原文链接：https://my.oschina.net/u/3866192/blog/3099786
版权

10.6 监控io性能

10.7 free命令

10.8 ps命令

10.9 查看网络状态

扩展tcp三次握手四次挥手 http://www.doc88.com/p-9913773324388.html

三次握手要查看，面试会被问到

tshark几个用法：http://www.aminglinux.com/bbs/thread-995-1-1.html

10.10 linux下抓包

 

 

 

10.6 监控io性能：

 

如果我们cpu和内存明明还有剩余，但是系统就是负载很高。用vmstat的查看发现b列或者wa列比较大。那是不是说明我们磁盘有瓶颈，那我们就要更详细的查看磁盘的状态

 

我们在安装sysstat的时候，就会安装上iostat这个命令。instat和sar属于同一个包

 

我们直接敲iostat就可以查看，或者敲instat 1（iostat 1 10）来查看读写，跟sar -b的结果差不多

我们需要掌握的是：

~1. iostat -x 1

主要查看 %util。他首先是一个百分比。

&util这一列表示你的io 等待，总之就是你这个磁盘使用有多少时间，就是说占用cpu的。那么我们这个cpu有一部分是给进程处理的、计算的。那也有一部分时间是要等待io的，等待磁盘读写，要把这个数据读出来，数据的读写也要等待的吧。那么这个时间比是多少。就是我等待你的时间比是多少，就是%util

如果这个数字很大，比如50%或60%。那磁盘的io也就太差了，说明他非常的忙。那%util很大，那么相应的读和写这一列也就很大。但是如果，读和写并不大，而%util很大，那么说明磁盘可能出现问题，有故障

如果硬盘很慢，会影响系统的性能。即是cpu运行的再快，硬盘跟不上，也是存在很大的瓶颈

所以，我们iostat -x 就是关注%util

 

~2. iotop

yum install -y iotop

比如，我们发现磁盘很忙，很频繁。那到底是哪一个进程在频繁的读写呢？这时候我们就要获得是哪一个进程，那么就要使用iotop

他和top命令其实是很像的，也是动态显示。

intop

使用的话，直接敲iotop就可以。我们主要关注io这一列

WRITE是写，READ是读

 

实例：

1.

[root@afeilinux-01 ~]# iostat -x 1 我们主要关注%util这一列

Linux 3.10.0-957.21.3.el7.x86_64 (afeilinux-03) 	2019年08月29日 	_x86_64_	(1 CPU)

avg-cpu:  %user   %nice %system %iowait  %steal   %idle
           0.07    0.00    0.27    0.02    0.00   99.64

Device:         rrqm/s   wrqm/s     r/s     w/s    rkB/s    wkB/s avgrq-sz avgqu-sz   await r_await w_await  svctm  %util
sda               0.00     0.01    0.05    0.06     4.68     1.86   125.95     0.00   27.98   36.74   20.59   5.17   0.05
scd0              0.00     0.00    0.00    0.00     0.01     0.00   104.88     0.00    2.25    2.25    0.00   1.85   0.00

avg-cpu:  %user   %nice %system %iowait  %steal   %idle
           0.00    0.00    1.00    1.00    0.00   98.00

Device:         rrqm/s   wrqm/s     r/s     w/s    rkB/s    wkB/s avgrq-sz avgqu-sz   await r_await w_await  svctm  %util
sda               0.00     0.00    1.00    0.00     8.00     0.00    16.00     0.01   14.00   14.00    0.00  14.00   1.40
scd0              0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00

avg-cpu:  %user   %nice %system %iowait  %steal   %idle
           0.00    0.00    0.00    0.00    0.00  100.00

Device:         rrqm/s   wrqm/s     r/s     w/s    rkB/s    wkB/s avgrq-sz avgqu-sz   await r_await w_await  svctm  %util
sda               0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00
scd0              0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00

avg-cpu:  %user   %nice %system %iowait  %steal   %idle
           1.01    0.00    0.00    0.00    0.00   98.99

Device:         rrqm/s   wrqm/s     r/s     w/s    rkB/s    wkB/s avgrq-sz avgqu-sz   await r_await w_await  svctm  %util
sda               0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00
scd0              0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00

avg-cpu:  %user   %nice %system %iowait  %steal   %idle
           0.00    0.00    1.00    0.00    0.00   99.00

Device:         rrqm/s   wrqm/s     r/s     w/s    rkB/s    wkB/s avgrq-sz avgqu-sz   await r_await w_await  svctm  %util
sda               0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00
scd0              0.00     0.00    0.00    0.00     0.00     0.00     0.00     0.00    0.00    0.00    0.00   0.00   0.00

 

2.

[root@afeilinux-01 ~]# iotop

Total DISK READ : 0.00 B/s | Total DISK WRITE : 0.00 B/s

Actual DISK READ: 0.00 B/s | Actual DISK WRITE: 0.00 B/s

TID PRIO USER DISK READ DISK WRITE SWAPIN IO> COMMAND

512 be/4 chrony 0.00 B/s 0.00 B/s 0.00 % 0.00 % chronyd

1 be/4 root 0.00 B/s 0.00 B/s 0.00 % 0.00 % systemd --switched-root --system --deserialize 21

2 be/4 root 0.00 B/s 0.00 B/s 0.00 % 0.00 % [kthreadd]

3 be/4 root 0.00 B/s 0.00 B/s 0.00 % 0.00 % [ksoftirqd/0]

 

----------------------------------------------------------------------------------------------------------------------------------------------------

 

10.7 free命令：

~1. free 查看内存使用情况

以KB为单位显示

Mem代表内存，swap代表交换分区

total表示总共的大小、used表示使用了多少、free表示剩余多少、shared表示共享了多少

会发现使用的和剩余的相加不等于总共的。是因为linux会将内存预分配出来一部分给buff和cache

~2. free -m / -g / -h

-m 以MB显示

-g 以G为单位，用不到

-h后缀单位来显示，更直观

~3.buffer/cache 区别

buff是缓冲、cache是缓存

cache可这样理解：0000数据（磁盘）-->内存（cache) -->cpu

我们把0000这个数据从磁盘中取出来，让cpu去分析运算，因为磁盘很慢，所以我们先缓存到内存中。让cpu从 内存中去拿，这样就很快了。那这一部分，我们叫做cache（缓存）

buff可这样理解 ：cpu（oooo数据）-->内存（buffer）-->磁盘

接上面，cpu分析完了之后，要在返还给磁盘保存，因为磁盘很慢。cpu还要处理后面排队的进程，等不及，所以先缓冲到内存中。经有内存保存到磁盘中。那这一部分，我们叫做buffer（缓冲）

所以也解释了，为什么系统要预留出空间给cache和buffer

这就是数据的流向不一样。那么内存使用角色的名字也不一样

~4.公式：total=used+free+buff/cache

会发现使用的和剩余的相加不等于总共的。是因为linux会将内存预分配出来一部分给buff和cache

buff是缓冲、cache是缓存

~5. avaliable包含free和buffer/cache剩余部分

avaliable是系统预留给cache和buffer的空间，还没有用完的

所以，我们用free来查看内存的时候。真正关注的是avaliable，而不是free

~6. swap

平时也要注意

如果used跑慢了，free没剩余了，就要加swap了。当然加swap不是解决的方法，需要加内存。swap不够说明内存不够，或者说内存泄漏了。说明程序有bug要排查

 

实例：

[root@afeilinux-01 ~]# free 直接free，会以KB显示

              total        used        free      shared  buff/cache   available
Mem:         995892      556392       97084       48228      342416      193620
Swap:       4194300      388352     3805948

[root@afeilinux-01 ~]# free -h -h会自动加上单位

              total        used        free      shared  buff/cache   available
Mem:           972M        543M         94M         47M        334M        189M
Swap:          4.0G        379M        3.6G

[root@afeilinux-01 ~]# free -m -m以MB显示

              total        used        free      shared  buff/cache   available
Mem:            972         543          94          47         334         189
Swap:          4095         379        3716

[root@afeilinux-01 ~]# free -g -g

              total        used        free      shared  buff/cache   available
Mem:              0           0           0           0           0           0
Swap:             3           0           3

 

 

----------------------------------------------------------------------------------------------------------------------------------------------------

 

 

 

10.8 ps命令：

 

把当前的进程的快照给汇报一下

top也可以查看进程，ps和top的区别在于，top动态的具体的查看进程，查看使用cpu的，使用内存的，也可以做一个排行榜出来。而ps是静态的，一次性的，把当前的进程的使用状况列出来

 

~1. ps aux

把系统里所有的进程全部列出来

~2. ps aux | grep nginx

最常用的方法，加上管道符。将ps aux过滤出某个任务。比如，查看nginx有没有在运行，或查看mysql有没有在运行

~3. ps -elf

效果跟ps aux差不多。平常用ps aux就可以了

~4. kill pid

杀死一个进程，例如要杀死一个进程，就要看他的pid

写法为 kill 1346。

~5. STAT部分，这一列的说明

D 不能中断的进程

假如有一台服务器，D进程很多，相应的系统负载很高。但是他的cpu使用率不高，也是没有什么问题的

这是一种特例，不能中断的进程

R run状态的进程

正在跑的进程，并不是说他正在使用着cpu。而是说某个时间段在使用着cpu

S sleep状态的进程

这中进程，就是他在使用完cpu，运算完之后，就先休息一会，过一会就会再激活，然后在继续使用cpu

T 暂停的进程

比如我们，运行vmstat 1，因为这个命令一直在运行时动态的，我们ctrl +z一下，暂停一下。在ps aux | grep vmstat就会显示 T 状态。那我们不暂停，在另一个终端上，再过滤一下，会发现他是S状态。这是因为，我们只是用这个命令运行了一下，就抓这么一下，cpu就去忙别的事了，然后就sleep了，他基本上不会占用什么cpu资源，所以会显示S。这种情况需要注意

Z 僵尸进程

很少有。如果有太多的话，要想办法杀死

< 高优先级进程

优先级高，先给他用cpu

N 低优先级进程

L 内存中被锁了内存分页

理解就可以

s 主进程

父进程与子进程的区别。也就是由父进程延伸出来的。父进程通常为root，然后延伸给其他用户。父进程就是主进程

l 多线程进程

线程与进程是有区别的。线程是有一个大的进程组成的，一个进程里有多个线程。其中还涉及内存的，进程与进程之间是不共享内存的，线程与线程之间是可以共享内存的

多线程进程就是这个进程里有多个线程

+ 前台进程

都在我们这个前台的终端上，不在后台

比如我们ps aux | grep mysql，他是在前台执行的。我们在另一个tty，另一个终端ps aux的时候就会显示+，因为是在前台执行的

 

 

实例：

1.

2.

[root@afeilinux-01 ~]# ps aux

              total        used        free      shared  buff/cache   available
Mem:              0           0           0           0           0           0
Swap:             3           0           3
[root@afeilinux-01 ~]#  ps aux
USER        PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root          1  0.0  0.4 128144  4720 ?        Ss   8月22   0:35 /usr/lib/systemd/systemd --switched-root --system --deserialize 22
root          2  0.0  0.0      0     0 ?        S    8月22   0:00 [kthreadd]
root          3  0.0  0.0      0     0 ?        S    8月22   1:04 [ksoftirqd/0]
root          5  0.0  0.0      0     0 ?        S<   8月22   0:00 [kworker/0:0H]
root          7  0.0  0.0      0     0 ?        S    8月22   0:00 [migration/0]
root          8  0.0  0.0      0     0 ?        S    8月22   0:00 [rcu_bh]
root          9  0.0  0.0      0     0 ?        R    8月22   0:57 [rcu_sched]
root         10  0.0  0.0      0     0 ?        S<   8月22   0:00 [lru-add-drain]
root         11  0.0  0.0      0     0 ?        S    8月22   0:16 [watchdog/0]
root         13  0.0  0.0      0     0 ?        S    8月22   0:00 [kdevtmpfs]
root         14  0.0  0.0      0     0 ?        S<   8月22   0:00 [netns]
root         15  0.0  0.0      0     0 ?        S    8月22   0:00 [khungtaskd]
root         16  0.0  0.0      0     0 ?        S<   8月22   0:00 [writeback]
root         17  0.0  0.0      0     0 ?        S<   8月22   0:00 [kintegrityd]
root         18  0.0  0.0      0     0 ?        S<   8月22   0:00 [bioset]
root         19  0.0  0.0      0     0 ?        S<   8月22   0:00 [bioset]
root         20  0.0  0.0      0     0 ?        S<   8月22   0:00 [bioset]
root         21  0.0  0.0      0     0 ?        S<   8月22   0:00 [kblockd]
root         22  0.0  0.0      0     0 ?        S<   8月22   0:00 [md]
root         23  0.0  0.0      0     0 ?        S<   8月22   0:00 [edac-poller]
root         24  0.0  0.0      0     0 ?        S<   8月22   0:00 [watchdogd]
root         30  0.0  0.0      0     0 ?        S    8月22   0:06 [kswapd0]
root         31  0.0  0.0      0     0 ?        SN   8月22   0:00 [ksmd]
root         32  0.0  0.0      0     0 ?        SN   8月22   0:03 [khugepaged]

[root@afeilinux-01 ~]# ps aux | grep kthreadd

root          2  0.0  0.0      0     0 ?        S    8月22   0:00 [kthreadd]

 

5.

[root@afeilinux-01 ~]# ps aux

USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND

root 1 0.0 0.3 128208 6844 ? Ss 7月11 0:02 /usr/lib/systemd/systemd --switched-root --system --deserialize 21

root 2 0.0 0.0 0 0 ? S 7月11 0:00 [kthreadd]

root 3 0.0 0.0 0 0 ? S 7月11 0:00 [ksoftirqd/0]

root 5 0.0 0.0 0 0 ? S< 7月11 0:00 [kworker/0:0H]

root 9 0.0 0.0 0 0 ? R 7月11 0:01 [rcu_sched]

root 31 0.0 0.0 0 0 ? SN 7月11 0:00 [ksmd]

root 359 0.0 0.1 36872 2908 ? Ss 7月11 0:00 /usr/lib/systemd/systemd-journald

 

 

----------------------------------------------------------------------------------------------------------------------------------------------------

 

 

10.9 查看网络状态：

 

netstat这个命令是用来查看网络状态的，linux作为服务器上的操作系统。这个服务器上会有很多服务，服务往往是跟客户端相互通信的，所以意味着他要有监听端口，要有对外的通信端口。那netstat命令查看的就是tcp/ip对外的状态

相当于说，服务器想让别人访问或互联，就需要打开一个口，一个端口。通过这个端口，让外界访问。netstat就是查看这个口的

 

~1. netstat 查看网络状态

相当于说，服务器想让别人访问或互联，就需要打开一个口，一个端口。通过这个端口，让外界访问。netstat就是查看这个口的

~2. netstat -lnp 查看监听端口

详细见实例 2.

也可加t，netstat -ltnp，只查看tcp，我们需要重点查看的

还可以加u，netstat -ltunp，查看tcp和ucp。tcp和ucp都是我们需要经常查看的

~3. netstat -an 查看系统的网络连接状况

查看tcp/ip状态

大多数的状态（state）是 TIME_WAIT，客户端和服务端相互通信，通信完了之后，他们的链接还没有断开。处于一种等待的状态，等待下一次通信再一次的链接，传输数据。这个就是TIME_WAIT状态

ESTABLISHED（state）表示建立链接的，正在传输数据。如果这个数据很大，说明你的系统很忙。正常是在1000以内，服务器都是可以接受的

~4. netstat -lntp 只看出tcp的，不包含socket

~5. ss -an 和nestat 异曲同工

ss -an不会显示进程的名字和pid

~6. 分享一个小技巧

netstat -an | awk '/^tcp/{++sta[$NF]} END {for(key in sta) print key,"\t",sta[key]}'

可查看所有的链接的状态有多少的，配合awk使用的

 

实例：

2.

[root@afeilinux-01 ~]# netstat -lnp

主要查看这些端口

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 881/sshd

这个sshd就是我们之前远程连接的端口，就22端口

tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1115/master

tcp6 0 0 :::22 :::* LISTEN 881/sshd

tcp6 0 0 ::1:25 :::* LISTEN 1115/master

udp 0 0 127.0.0.1:323 0.0.0.0:* 512/chronyd

udp6 0 0 ::1:323 :::* 512/chronyd

unix 2 [ ACC ] STREAM LISTENING 13742 1/systemd /var/run/dbus/system_bus_socket

netstat也可以监听socket文件

unix 2 [ ACC ] STREAM LISTENING 17910 1115/master public/flush

unix 2 [ ACC ] STREAM LISTENING 17925 1115/master public/showq

unix 2 [ ACC ] STREAM LISTENING 14313 504/VGAuthService /var/run/vmware/guestServicePipe

unix 2 [ ACC ] STREAM LISTENING 8429 1/systemd /run/systemd/journal/stdout

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:51653           0.0.0.0:*               LISTEN      1034/rpc.statd      
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      1/systemd           
tcp        0      0 0.0.0.0:20048           0.0.0.0:*               LISTEN      1036/rpc.mountd     
tcp        0      0 0.0.0.0:34357           0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1018/sshd           
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      1343/master         
tcp        0      0 0.0.0.0:2049            0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:10050           0.0.0.0:*               LISTEN      21684/zabbix_agentd 
tcp        0      0 0.0.0.0:10051           0.0.0.0:*               LISTEN      28214/zabbix_server 
tcp6       0      0 :::35879                :::*                    LISTEN      -                   
tcp6       0      0 :::3306                 :::*                    LISTEN      1301/mysqld         
tcp6       0      0 :::111                  :::*                    LISTEN      1/systemd           
tcp6       0      0 :::80                   :::*                    LISTEN      2151/httpd          
tcp6       0      0 :::20048                :::*                    LISTEN      1036/rpc.mountd     
tcp6       0      0 :::22                   :::*                    LISTEN      1018/sshd           
tcp6       0      0 ::1:25                  :::*                    LISTEN      1343/master         
tcp6       0      0 :::2049                 :::*                    LISTEN      -                   
tcp6       0      0 :::10050                :::*                    LISTEN      21684/zabbix_agentd 
tcp6       0      0 :::10051                :::*                    LISTEN      28214/zabbix_server 
tcp6       0      0 :::51268                :::*                    LISTEN      1034/rpc.statd      
udp        0      0 0.0.0.0:2049            0.0.0.0:*                           -                   
udp        0      0 0.0.0.0:20048           0.0.0.0:*                           1036/rpc.mountd     
udp        0      0 0.0.0.0:33390           0.0.0.0:*                           -                   
udp        0      0 0.0.0.0:111             0.0.0.0:*                           1/systemd           
udp        0      0 0.0.0.0:740             0.0.0.0:*                           567/rpcbind         
udp        0      0 127.0.0.1:786           0.0.0.0:*                           1034/rpc.statd

[root@afeilinux-01 ~]# netstat -ltnp

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 881/sshd

tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1115/master

tcp6 0 0 :::22 :::* LISTEN 881/sshd

tcp6 0 0 ::1:25 :::* LISTEN 1115/master

[root@axinlinux-01 ~]# netstat -ltunp

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 881/sshd

tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1115/master

tcp6 0 0 :::22 :::* LISTEN 881/sshd

tcp6 0 0 ::1:25 :::* LISTEN 1115/master

udp 0 0 127.0.0.1:323 0.0.0.0:* 512/chronyd

udp6 0 0 ::1:323 :::* 512/chronyd

 

6.

[root@afeilinux-01 ~]# netstat -an | awk '/^tcp/{++sta[$NF]} END {for(key in sta) print key,"\t",sta[key]}'

LISTEN 4

ESTABLISHED 1

 

----------------------------------------------------------------------------------------------------------------------------------------------------

 

10.10 linux下抓包：

 

例如我们会遇到攻击，进入的包会超过1万。就要知道有哪些数据包进来，那么就可以用tcpdump这个命令查看

 

yum -install -y tcpdump

 

~1. 抓包工具 tcpdump

~2. 用法：tcpdump -nn

基本用法

第一个n表示你的ip以数字的形式显示出来，如果不加会显示成主机名，而且端口会显示成.ssh，不会显示数字（具体哪个端口，会比较麻烦。所以还是加上-nn

因为没有连接服务器，所有的都是从22端口出去的

~3. tcpdump -nn -i ens33

-i给他指定网卡的名字，ifconfig看一下，就是ens33

我们最主要关注的就是 源IP与源端口到哪个IP与端口去（详细见实例3.）

还有就是看length（长度）

常见的包是tcp的，但是又有udp的包，很有可能是被攻击了

有一种攻击是DDOS udp flood洪水攻击，300个G的攻击。只能找专业的防攻击系统，比如创宇。了解一下

~4. tcpdump -nn port 80

指定端口，例如80

因为抓包的时候回抓到很多，可以指定他的端口

~5. tcpdump -nn not port 22 and host 192.168.0.100

在指定抓包的同时还可以加 and 指定他的源IP，也就是指定他从哪个IP出去的

~6. tcpdump -nn -c 100 -w 1.cap

[root@afeilinux-03 ~]# tcpdump -nn -i ens33 -c 10 -w  1.cap

10 packets captured
13 packets received by filter
0 packets dropped by kernel

[root@afeilinux-03 ~]# file 1.cap

1.cap: tcpdump capture file (little-endian) - version 2.4 (Ethernet, capture length 262144)

[root@afeilinux-03 ~]# cat 1.cap

Ճ²¡½h]·aˊPV
          )fGE¼c@@y?(ʑ,Z֟~P쾈p	=)&^ɛƼ¢dK½¬ӄ«^Q?T̷ոIJʗD ըࣈY¶z[,¬փ?|?7
ˢ%ػw»h!㟨i*bh·+Ȼ§UNK#曏虎?<䤐c}ۜ?
¼Pu+ᘵs½h]c<<
            )fG¨E(R¹@@*=((ʑۗ_~-TP?h]֗ººPV
                                      )fGE¬\р@((þΦe	̖ጐ?,h	$£)ܯtǶ᝱´e©8N2Tŵ?ew{ց 
                                                                                    ÿĎK?´ 
H{ɖº34?)Ѧyl?©x½h]?<                                                                      1²bX"2nlM高?A©:®1-&«Ͻ!H
                   )fG¨E(Rº@@*<((þΖ̖ዦe
Pv½h]±<<ÿÿÿÿÿP((½h]ɼ<ÿÿÿÿÿP((½h]H®<<ÿÿÿÿÿP((½h]D®<<ÿÿÿÿÿP((½h]¦z
                                                                JJ
                                                                  )fG¨
                                                                      )E<®ɀ@͒((뤧B? r´ 
(½h]ź
     JJ
       ) 
         ?fGE<@@|](('B릏,x? q ¾´

[root@afeilinux-03 ~]# tcpdump -r 1.cap

reading from file 1.cap, link-type EN10MB (Ethernet)
14:06:58.156087 IP www.wangxin.com.ssh > 192.168.30.1.51665: Flags [P.], seq 295251136:295251284, ack 3671547774, win 2028, length 148
14:06:58.156563 IP 192.168.30.1.51665 > www.wangxin.com.ssh: Flags [.], ack 148, win 251, length 0
14:06:58.251861 IP www.wangxin.com.ssh > 192.168.30.1.65232: Flags [P.], seq 644155792:644155924, ack 3432440205, win 252, length 132
14:06:58.446708 IP 192.168.30.1.65232 > www.wangxin.com.ssh: Flags [.], ack 132, win 256, length 0
14:06:59.045468 ARP, Request who-has gateway tell 192.168.30.1, length 46
14:07:00.510738 ARP, Request who-has gateway tell 192.168.30.1, length 46
14:07:01.044616 ARP, Request who-has gateway tell 192.168.30.1, length 46
14:07:02.044612 ARP, Request who-has gateway tell 192.168.30.1, length 46
14:07:02.817830 IP 192.168.30.134.60518 > www.wangxin.com.zabbix-agent: Flags [S], seq 4158601821, win 29200, options [mss 1460,sackOK,TS val 680236183 ecr 0,nop,wscale 7], length 0
14:07:02.817862 IP www.wangxin.com.zabbix-agent > 192.168.30.134.60518: Flags [S.], seq 2402056323, ack 4158601822, win 28960, options [mss 1460,sackOK,TS val 594592446 ecr 680236183,nop,wscale 7], length 0

[root@afeilinux-03 ~]# tshark -n -t a -R http.request -T fields -e "frame.time" -e"ip.src" -e "http.host" -e "http.request.method" -e "http.request.uri"

tshark: -R without -2 is deprecated. For single-pass filtering use -Y.
Running as user "root" and group "root". This could be dangerous.
Capturing on 'nflog'

-c只抓100个

-w把他存到哪个文件里去

如果暂定不动了，是因为我们在这个终端不去产生一些数据流的话，就不会产生那么多的数据包让我们抓

这个.cap文件是不能直接解析不能直接看的，只能file查看他的基本信息。因为抓取的就是网卡里面的原始数据，一个真真正正通信的数据

如果想看，可以用tcpdump -r 1.cap，但是查看的也是你抓到的一些数据流向，

~7. tshark -n -t a -R http.request -T fields -e "frame.time" -e"ip.src" -e "http.host" -e "http.request.method" -e "http.request.uri"

指定网卡80端口的一个web访问的情况。类似于web的访问日志。可以很清晰的发现在这个网卡上有什么IP来访问我的网站，访问网站的说明链接

~8. yum install -y wireshark

扩展

https://blog.csdn.net/kevinsingapore/article/details/88989227 centos7下wireshark抓包示例

 

实例：

3.

[root@afeilinux-01 ~]# tcpdump -nn -i ens33 

09:29:37.494124 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7228476, win 254, length 0
09:29:37.494132 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7228476:7228752, ack 1093, win 2028, length 276
09:29:37.494231 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7228752:7229028, ack 1093, win 2028, length 276
09:29:37.494326 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7229028, win 252, length 0
09:29:37.494334 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7229028:7229208, ack 1093, win 2028, length 180
09:29:37.494431 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7229208:7229484, ack 1093, win 2028, length 276
09:29:37.494528 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7229484, win 255, length 0
09:29:37.494535 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7229484:7229664, ack 1093, win 2028, length 180
09:29:37.494632 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7229664:7229940, ack 1093, win 2028, length 276
09:29:37.494726 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7229940, win 254, length 0
09:29:37.494733 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7229940:7230120, ack 1093, win 2028, length 180
09:29:37.494829 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7230120:7230396, ack 1093, win 2028, length 276
09:29:37.494924 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7230396, win 252, length 0
09:29:37.494931 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7230396:7230576, ack 1093, win 2028, length 180
09:29:37.495027 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7230576:7230852, ack 1093, win 2028, length 276
09:29:37.495121 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7230852, win 250, length 0
09:29:37.495128 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7230852:7231032, ack 1093, win 2028, length 180
09:29:37.495223 IP 192.168.30.136.22 > 192.168.30.1.51665: Flags [P.], seq 7231032:7231308, ack 1093, win 2028, length 276
09:29:37.495316 IP 192.168.30.1.51665 > 192.168.30.136.22: Flags [.], ack 7231308, win 255, length 0

时间 源IP与源端口 >到哪里去 到这个IP去与端口 后面的是数据包的信息

主要关注的

options [nop,nop,TS val 13524436 ecr 1422241], length 372

01:35:04.466196 IP 192.168.159.1.50111 > 192.168.159.128.22: Flags [.], ack 311408, win 236, options [nop,nop,TS val 1422241 ecr 13524435], length 0

其实这两个是一对，从22端口到50111端口去。然后50111在返回到22端口去

 

7.

转载于:https://my.oschina.net/u/3866192/blog/3099786

chym2015
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
2018年org.apache.commons.io jar包
01-20
项目中需要 org.apache.commons.io.IOUtils的可以下载此包，fileupload组件依赖的commons-io组件
http/https镜像流量的解析问题
weixin_33989780的博客
06-06 3178
场景 由于业务需要，客户提供http/https的流量镜像，让我们分析是否有异常行为。由于我们的系统的输入源只能是日志，故最快捷的办法是把http/https流量转换成http日志已满足异常分析的需求。 流量镜像或者复制方式 端口镜像 通过交换机或路由器上的端口镜像功能，将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听，指定端口称之为“镜像端口”或“目的端口”，在不严重影响源端口...
tshark存储数据到mysql_网络分析利器wireshark命令版(2)：tshark使用示例
weixin_39830906的博客
02-07 525
tshark是wireshark网络分析工具下的一个分支，主要用于命令行环境进行抓包、分析，尤其对协议深层解析时，tcpdump难以胜任的场景中。本系列文章将整理介绍tshark相关内容。基本用法常用命令查看tshark版本tshark -v列出当前存在的网络接口tshark -D网卡描述依据OS有不同的编号方式，在不了解网络设备及编号情况下，一般先用“tshark -D”查看网络接口的编号以供-...
Linux系统管理工具-iostat、free、ps、netstat、tcpdump
weixin_33860528的博客
07-11 296
2019独角兽企业重金招聘Python工程师标准>>> ...
20190924笔记 监控系统状态
qq_42720896的博客
09-24 426
iostst - x 主要是-x选项 注意一个非常重要的指标 %util 表示io的等待比例 %util 越大rkB/s、wkB/s 磁盘读写也会变大否则磁盘可能存在问题 如果%util接近100%，说明产生的I/O请求太多，I/O系统已经满负荷，该磁盘可能存在瓶颈。 iostat相关参数说明——await：平均每次...
org.apache.hadoop.io.nativeio
09-06
必须将此jar包放在org.apache.hadoop.io包下，否则无法正常覆盖使用
org.apache.commons.io 包
10-31
`org.apache.commons.io`是这个库的核心包，包含了许多与文件、流、过滤器、读写操作相关的类和工具。 1. **文件操作**: `FileUtils` 类提供了大量的静态方法，用于执行文件和目录的操作，如复制、移动、删除、创建...
org.apache.commons.io 的jar包大全
09-22
在标题"org.apache.commons.io的jar包大全"中，我们可以理解这是一个包含Apache Commons IO所有版本或核心功能的jar包集合，可能包括不同版本的更新和修复。 在描述中提到"少了啥欢迎补充"，这表明该压缩包可能是...
draw.io画图工具和一些模板。
06-13
无论是制作流程图、思维导图、网络拓扑图还是UML模型，draw.io都能满足需求。 ### draw.io的特点 1. **免费开源**：draw.io是完全免费的，并且其源代码开放，这意味着开发者可以自由地修改和扩展该工具的功能。 2...
tcpdump抓包命令_tcpdump实战
weixin_39737317的博客
12-10 831
之前发了一篇网络排查问题的文章，反响不错，今天就常用的网络排查命令tcpdump 抓取tcp通信过程给大家展示一下https://www.tcpdump.org/manpages/tcpdump.1.htmltcpdump官网的一段描述:The general format of a TCP protocol line is:src > dst: Flags [tcpflags], seq ...
Packetdrill 配置与使用
It’s All Uphill From Here
06-09 1092
源码编译修改源码内容：修改文件 gtests/net/packetdrill/netdev.c ，注释掉 set_device_offload_flags 函数以及调用它的地方修改文件 gtests/net/packetdrill/Makefile，去掉最后的 -static ./configure && make test.pkt为按Packetdrill语法编写的测试脚本。成功：无输出，表示脚本正确，一切都符合预期。失败：指出脚本的错误地方，以及原因。 [注解：如果执行pa
tcpdump使用过滤条件抓包(进阶篇)
热门推荐
BruceLeeNumberOne的博客
11-08 1万+
引言 这是有关网络协议的第四篇博客。 上一篇博客分享了tcpdump使用过滤条件抓包的一些用法，如果没有特殊的要求，基本能够满足一般的抓包要求，这篇博客如何在抓包的过程中将过滤条件更加具体化。 如果对tcpdump常用的命令行选项不了解，请查看上一篇博客或者查看tcpdump官网。 常用选项介绍 -s0 : Snap length, is the size of the packet to cap...
TCP连接三次握手协议，释放连接四次挥手，以及使用 awl伪造mac地址进行多线程syn洪泛攻击。...
weixin_30861459的博客
07-07 180
这个TCP连接就是一次追女生-谈恋爱-分手，追求比分手简单，但是分手比追求复杂。哥，谈了半年的女朋友，在就快要成功了的时候分了，原因是因为有人在后面该老子背后搞SYN洪泛攻击，最后女朋友丢失了。学会TCP,教你追回你的前女友。不再为爱迷茫，是我的就是我的，别人怎么也拿不走。 Tcp 是传输层协议非常复杂的协议 1） TCP是面向连接的运输层协议，也就是说应用程序在使用TCP协议之前...
超详细的网络抓包神器 tcpdump 使用指南
因上努力，果上随缘。但行好事，莫问前程。
08-08 5179
本文主要介绍了 tcpdump 的基本语法和使用方法，并通过一些示例来展示它强大的过滤功能。将 tcpdump 与 wireshark 进行组合可以发挥更强大的功效，本文也展示了如何优雅顺滑地结合 tcpdump 和 wireshark。如果你想了解更多的细节，可以查看 tcpdump 的 man 手册。...
linux跑到命令行是到了哪里,在Linux命令行中使用tcpdump「超详细」
weixin_39775029的博客
04-28 234
原标题：在Linux命令行中使用tcpdump「超详细」 灵活，强大的命令行工具有助于减轻网络问题排查的痛苦。根据我作为系统管理员的经验，我经常发现网络连接问题难以排除故障。 对于那些情况，tcpdump是一个伟大的朋友。Tcpdump是一个命令行实用程序，允许捕获和分析通过系统的网络流量。它通常用于帮助解决网络问题，以及安全工具。tcpdump是一个功能强大且功能多样的工具，包含许多选项和过滤器...
Linux核心网络管理命令2
紅桃10
08-08 1218
网络管理命令ip:网络配置工具netstat：查看网络状态ss : 查看网络状态ping ： 测试主机之间的网络连通性nmap：网络探测工具和安全/端口扫描器tcpdump：监听网络流量 ip:网络配置工具 ip命令是iproute软件包中的一个强大的网络配置工具，用于显示或管理Linux系统的路由，网络设备，策略路由和隧道 选项说明： 参数选项 解释说明（带@的为重点） -s 输出更详细的信息，...
（四）深入浅出TCPIP之TCP三次握手和四次挥手（下）的抓包分析
网易搬砖选手
10-30 896
目录 1. 通过netstat来分析服务器和客户端的TCP状态 2.通过tcpdump抓包分析服务器和客户端的TCP状态 2.1 语法 2.2 抓包返回格式 2.3 抓包的FLags标记 2.4 分析三次握手,数据收发，四次挥手的状态 2.4.1三次握手 2.4.2数据发送 2.4.3 四次挥手 我们在第二章和第三章讲了三次握手和四次挥手，那么这一章节我将带领读者来通过tcpdump工具来抓包分析这两个过程。 按照我第一章文章里初识TCP，理解TCP报文格式和交互流程（一）提供的客户.
日常运维管理 常用命令（2）
weixin_30338481的博客
03-25 135
[root@tyzz ~]# w 23:13:58 up 11 days, 9:15, 1 user, load average: 0.00, 0.01, 0.05 USER TTY LOGIN@ IDLE JCPU PCPU WHAT root pts/0 23:03 6.00s 0.02s 0.00s...
io vivado 怎么查看ps_Vivado关于ILA Free running clock的问题
最新发布
05-27
要查看PS和PL之间的Free running clock的问题，可以使用Vivado中的Integrated Logic Analyzer (ILA)。 以下是一些步骤： 1. 打开Vivado并打开你的工程。 2. 在“Flow Navigator”中选择“Open Elaborated ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值