netstat的用法与说明――实例

 [非原创]
netstat的用法与说明――实例
一

netstat命令的功能是显示网络连接、路由表和网络接口信息，可以让用户得知目前都有哪些网络连接正在运作。

该命令的一般格式为：

netstat [选项]

命令中各选项的含义如下：

-a 显示所有socket，包括正在监听的。

-c 每隔1秒就重新显示一遍，直到用户中断它。

-i 显示所有网络接口的信息，格式同“ifconfig -e”。

-n 以网络IP地址代替名称，显示出网络连接情形。

-r 显示核心路由表，格式同“route -e”。

-t 显示TCP协议的连接情况。

-u 显示UDP协议的连接情况。

-v 显示正在进行的工作。

[例]在本地机上使用netstat命令。

$ netstat

Active Internet connections （w/o servers）

Proto Recv-Q Send-Q Local Address Foreign Address State

Active UNIX domain sockets （w/o servers）

Proto RefCnt Flags Type State I-Node Path

unix 1 [ ] STREAM CONNECTED 270 @00000008

unix 1 [ ] STREAM CONNECTED 150 @00000002

unix 1 [ ] STREAM CONNECTED 104 @00000001

unix 1 [ ] STREAM CONNECTED 222 @00000004

unix 1 [ ] STREAM CONNECTED 171 @00000003

unix 1 [ ] STREAM CONNECTED 271 /dev/log

unix 1 [ ] STREAM CONNECTED 225 /dev/log

unix 1 [ ] STREAM CONNECTED 223 /dev/log

unix 1 [ ] STREAM CONNECTED 203 /dev/log

unix 1 [ ] STREAM CONNECTED 105 /dev/log

……

二

netstat命令是一个监控TCP/IP网络的非常有用的工具，它可以显示路由表、实际的网络连接以及每一个网络接口设备的状态信息，在我的计算机上执行netstat后，其输出结果为：

Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 2 210.34.6.89:telnet 210.34.6.96:2873 ESTABLISHED
tcp 296 0 210.34.6.89:1165 210.34.6.84:netbios-ssn ESTABLISHED
tcp 0 0 localhost.localdom:9001 localhost.localdom:1162 ESTABLISHED
tcp 0 0 localhost.localdom:1162 localhost.localdom:9001 ESTABLISHED
tcp 0 80 210.34.6.89:1161 210.34.6.10:netbios-ssn CLOSE

Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags Type State I-Node Path
unix 1 [ ] STREAM CONNECTED 16178 @000000dd
unix 1 [ ] STREAM CONNECTED 16176 @000000dc
unix 9 [ ] DGRAM 5292 /dev/log
unix 1 [ ] STREAM CONNECTED 16182 @000000df

从整体上看，netstat的输出结果可以分为两个部分，一个是Active Internet connections，称为有源TCP连接，另一个是Active UNIX domain sockets，称为有源Unix域套接口。在上面的输出结果中，第一部分有5个输出结果，显示有源TCP连接的情况，而第二部分的输出结果显示的是Unix域套接口的连接情况。Proto显示连接使用的协议；RefCnt表示连接到本套接口上的进程号；Types显示套接口的类型；State显示套接口当前的状态；Path表示连接到套接口的其它进程使用的路径名。
事实上，netstat是若干个工具的汇总。

◆ 显示路由表
在随- r标记一起调用n e t s t a t时，将显示内核路由表，就像我们利用r o u t e命令一样。产生的输出如下：

[root@machine1 /]$ netstat -nr
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
210.34.6.0 0.0.0.0 255.255.255.128 U 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo
0.0.0.0 210.34.6.2 0.0.0.0 UG 0 0 0 eth0

- n 选项令netstat以点分四段式的形式输出IP地址，而不是象征性的主机名和网络名。如果想避免通过网络查找地址（比如避开DNS或NIS服务器），这一点是特别有用的。
netstat输出结果中，第二列展示的是路由条目所指的网关，如果没有使用网关，就会出现一个星号（*）或者0.0.0.0；第三列展示路由的概述，在为具体的I P地址找出最恰当的路由时，内核将查看路由表内的所有条目，在对找到的路由与目标路由比较之前，将对I P地址和genmask进行按位“与”计算；第四列显示了不同的标记，这些标记的说明如下：

■ G 路由将采用网关。
■ U 准备使用的接口处于“活动”状态。
■ H 通过该路由，只能抵达一台主机。
■ D 如果路由表的条目是由ICMP重定向消息生成的，就会设置这个标记。
■ M 如果路由表条目已被ICMP重定向消息修改，就会设置这个标记。

netstat输出结果的Iface显示该连接所用的物理网卡，如eth0表示用第一张，eth1表示用第二张。

◆ 显示接口特性

在随- i标记一起调用时， netstat将显示网络接口的当前配置特性。除此以外，如果调用时还带上-a选项，它还将输出内核中所有接口，并不只是当前配置的接口。netstat-i的输出结果是这样的：

[root@machine1 /]$ netstat -i
Kernel Interface table
Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0 1500 0 787165 0 0 1 51655 0 0 0 BRU
eth1 1500 0 520811 0 0 0 1986 0 0 0 BRU
lo 3924 0 1943 0 0 0 43 0 0 0 LRU

MTU和Met字段表示的是接口的MTU和度量值值；RX和TX这两列表示的是已经准确无误地收发了多少数据包（ RX - OK / TX - OK）、产生了多少错误（ RX-ERR/TX-ERR）、丢弃了多少包（RX-DRP/TX-DRP），由于误差而遗失了多少包（RX-OVR/TX-OVR）；最后一列展示的是为这个接口设置的标记，在利用ifconfig显示接口配置时，这些标记都采用一个字母。它们的说明如下：

■ B 已经设置了一个广播地址。
■ L 该接口是一个回送设备。
■ M 接收所有数据包（混乱模式）。
■ N 避免跟踪。
■ O 在该接口上，禁用A R P。
■ P 这是一个点到点链接。
■ R 接口正在运行。
■ U 接口处于“活动”状态。

◆ 显示链接
netstat支持用于显示活动或被动套接字的选项集。选项- t、- u、- w和- x分别表示TCP、UDP、RAW和UNIX套接字连接。如果你另外还提供了一个- a标记，还会显示出等待连接（也就是说处于监听模式）的套接字。这样就可以得到一份服务器清单，当前所有运行于系统中的所有服务器都会列入其中。

调用netstat -ta时，输出结果如下：

[root@machine1 /]$ netstat -ta
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 2 210.34.6.89:telnet 210.34.6.96:2873 ESTABLISHED
tcp 0 0 210.34.6.89:1165 210.34.6.84:netbios-ssn ESTABLISHED
tcp 0 0 localhost.localdom:9001 localhost.localdom:1162 ESTABLISHED
tcp 0 0 localhost.localdom:1162 localhost.localdom:9001 ESTABLISHED
tcp 0 0 *:9001 *:* LISTEN
tcp 0 0 *:6000 *:* LISTEN
tcp 0 0 *:socks *:* LISTEN
tcp 0 80 210.34.6.89:1161 210.34.6.10:netbios-ssn CLOSE

上面的输出表明部分服务器处于等待接入连接状态。利用- a选项的话，netstat还会显示出所有的套接字。注意根据端口号，可以判断出一条连接是否是外出连接。对呼叫方主机来说，列出的端口号应该一直是一个整数，而对众所周知服务（well known service）端口正在使用中的被呼叫方来说，netstat采用的则是取自/etc/services文件的象征性服务名三

Netstat可以在MSDOS命令窗口下打开。

C:/cd windows

C:/windows"gt;

大多数Windows用户的默认目录是Windows目录，如果不是，上面的命令将打开Windows目录。
好，在我们继续之前，我们要先知道Netstat是到底用来做什么的，它可以用来获得你的系统网络连接的信息（使用的端口，在使用的协议等 ），收到和发出的数据，被连接的远程系统的端口，Netstat在内存中读取所有的网络信息。
在Internet RFC标准中，Netstat的定义是：
“Netstat是在内核中访问网络及相关信息的程序，它能提供TCP连接，TCP和UDP监听，进程内存管理的相关报告”。

现在我们在对Netstat有了一定的了解之后就可以来使用它了，如果你打开了DOS窗口，你可以用以下命令来获取有关Netstat的帮助信息。

C:/WINDOWS"gt;netstat /?

-a Displays all connections and listening ports. (Server-side connections are normally not shown).

-e Displays Ethernet statistics. This may be combined with the -s option.

-n Displays addresses and port numbers in numerical form.

-p proto Shows connections for the protocol specified by proto; proto may be tcp or udp. If used with the -s option to display per-protocol statistics, proto may be tcp, udp, or ip.

-r Displays the contents of the routing table.

-s Displays per-protocol statistics. By default, statistics are shown for TCP, UDP and IP; the -p

option may be used to specify a subset of the default.interval Redisplays selected statistics, pausing interval seconds between each display. Press CTRL C to stop redisplaying statistics. If omitted, netstat will print the current configuration information once.

以上的信息仅仅是个参考，对于好奇心很强的您来说，是远远不够的。
那好，让我们试试每个命令并查看结果，用来理解当我们执行命令后发生了什么，显示出的信息是什么意思？

首先，我们使用Netstat的-a参数命令。
-a参数用来显示在本地机器上的外部连接，它也显示我们远程所连接的系统，本地和远程系统连接时使用的端口，和本地和远程系统连接的状态。（type and state ）

例子：

C:/windows"gt;netstat -a

Active Connections

Proto Local Address Foreign Address State

TCP ankit:1031 dwarfie.box.com:ftp ESTABLISHED

TCP ankit:1036 dwarfie.box.com:ftp-data TIME_WAIT

TCP ankit:1043 banners.egroups.com:80 FIN_WAIT_2

TCP ankit:1045 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1052 zztop.box.com:80 ESTABLISHED

TCP ankit:1053 mail2.mtnl.net.in:pop3 TIME_WAIT

UDP ankit:1025 *:*

UDP ankit:nbdatagram *:*

我们有其中一行来讲解：

Proto Local Address Foreign Address State

TCP ankit:1031 dwarfie.box.com:ftp ESTABLISHED

协议（Proto）：TCP（是否用详细讲解，请来信）
本地机器名（Local Address）：ankit（这个是您在安装系统时自设的，本地打开并用于连接的端口：1031）
远程机器名（Foreign Address）：dwarfie.box.com
远程端口：ftp
状态：ESTABLISHED

-a参数常用于获得你的本地系统开放的端口，用它您可以自己检查你的系统上有没有被安装木马（要说一下：有很多好程序用来检测木马，但你的目的是想成为hacker，手工检测要比只按一下“scan”按钮好些----仅个人观点）。如果您Netstat你自己的话，发现下面的信息：

Port 12345(TCP) Netbus
Port 31337(UDP) Back Orifice

祝贺!您中了最常见的木马（我好想在废话啊~）
如果你需要木马列表的话，去国内的H站找找，我也有的，您要？

*****************************************************************


例子：ankit:1052

小于1024的端口通常运行一些网络服务，大于1024的端口用来与远程机器建立连接，比如，你的浏览器在建立一个与www.163.com的连接，这时你的机器?... 于连接163的服务器。

*****************************************************************


继续我们的探讨，使用-n参数。（Netstat -n)
Netstat -n基本上是-a参数的数字形式：

C:/"gt;netstat -n

Active Connections

Proto Local Address Foreign Address State

TCP 203.xx.251.161:1031 195.1.150.227:21 ESTABLISHED

TCP 203.xx.251.161:1043 207.138.41.181:80 FIN_WAIT_2

TCP 203.xx.251.161:1053 203.94.243.71:110 TIME_WAIT

TCP 203.xx.251.161:1058 195.1.150.227:20 TIME_WAIT

TCP 203.xx.251.161:1069 203.94.243.71:110 TIME_WAIT

TCP 203.xx.251.161:1071 194.98.93.244:80 ESTABLISHED

TCP 203.xx.251.161:1078 203.94.243.71:110 TIME_WAIT

通过比较，发现有两点不同。


-n参数通常用于查自己的IP时使用，也有些人使用他是因为他们更喜欢用数字的形式来显示主机名。难道这就是“数字化生存”？

得到IP等于得到一切，它是最容易使机器受到攻击的东东，所以隐藏自己IP，获得别人的IP对hacker来说非常重要，现在隐藏IP技术很流行，但那些隐藏工具或服务真的让你引身吗？答案是：它们不能使你完全隐身。下面例子用来简单说明如何获得IP。

OICQ或ICQ是很流行的聊天软件（很容易在MM身上浪费时间），他们虽然不显示用户的IP，但都是“穿马甲的IP地址”，用下面的方法得到其他用户的IP。



到目前为止，我们讨论了‘-a’和‘-n’及一些应用，并发现在屏幕上返回和显示的连接不是一个详尽的协议。这意味着它显示了TCP连接，UDP等，假如你想看到那个连接属于UDP连接，你需要用-p参数。

通常的Netstat的-p参数格式如下：

Netstat Cp xxx

xxx可以是UDP或TCP，我们用显示TCP连接的例子来理解如何使用-p参数。

C:/"gt;netstat -p tcp

Active Connections

Proto Local Address Foreign Address State

TCP ankit:1031 dwarfie.box.com:ftp ESTABLISHED

TCP ankit:1043 banners.egroups.com:80 FIN_WAIT_2

TCP ankit:1069 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1078 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1080 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1081 www.burstnet.com:80 FIN_WAIT_2

TCP ankit:1083 zztop.box.com:80 TIME_WAIT

这是个与-a，-n参数基本一样的变种。让我们继续看-e参数。

C:/"gt;netstat -e

Interface Statistics



Received Sent

Bytes 135121 123418

Unicast packets 419 476

Non-unicast packets 40 40

Discards 0 0

Errors 0 0

Unknown protocols 0

有些质量不好的modems不显示输出或接受的数据包，用这个命令可以解决这个问题，你也可以用它查看你的机器在处理TCP/IP过程中的错误。


我要讲解最后一个参数-r，这个命令有点难理解，而且涉及到其他方面的知识，我将在其他的教程中详细的讲解。下面我仅给出例子来理解-r参数。（在电脑方面，只要我们想做，我们就会有收获）

C:/windows"gt;netstat -r

Route Table



Active Routes:

Network Address Netmask Gateway Address Interface Metric

Network Address Netmask Gateway Address Interface Metric
Active Connections
Proto Local Address Foreign Address State

TCP ankit:1031 dwarfie.box.com:ftp ESTABLISHED

TCP ankit:1043 banners.egroups.com:80 FIN_WAIT_2

TCP ankit:1081 www.burstnet.com:80 FIN_WAIT_2

TCP ankit:1093 zztop.box.com:80 TIME_WAIT

TCP ankit:1094 zztop.box.com:80 TIME_WAIT

TCP ankit:1095 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1096 zztop.box.com:80 TIME_WAIT

TCP ankit:1097 zztop.box.com:80 TIME_WAIT

TCP ankit:1098 colo88.acedsl.com:80 ESTABLISHED

TCP ankit:1099 mail2.mtnl.net.in:pop3 TIME_WAIT