netstat显示没有pid的侦听端口,但lsof没有 Inode

最新推荐文章于 2024-09-07 18:53:45 发布

yuezhilangniao

最新推荐文章于 2024-09-07 18:53:45 发布

阅读量3.2k

点赞数

分类专栏： linux_shell_ansible 文章标签： linux

原文链接：https://www.jb51.cc/linux/402274.html

版权

linux_shell_ansible 专栏收录该内容

275 篇文章 7 订阅

订阅专栏

1 入门 lsof命令

原文链接：
https://www.jb51.cc/linux/402274.html

我的netstat显示TCP侦听端口和没有pid的UDP端口.当我搜索lsof的那些端口时,没有任何东西出现.

netstat -lntup

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:44231 0.0.0.0:* LISTEN -
udp 0 0 0.0.0.0:55234 0.0.0.0:* -
以下命令不显示任何内容：

lsof -i:44231

lsof | grep 44231
lsof | greo 55234
fuser -n tcp 44231
fuser -n udp 55234
重新启动后,除了新的端口号之外,那些“相同”的两个连接都在那里：

netstat -lntup

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:45082 0.0.0.0:* LISTEN -
udp 0 0 0.0.0.0:37398 0.0.0.0:* -
再次,lsof和fuser命令没有显示任何内容.

有什么想法吗？我应该关注他们吗？

解决方法
根据您提供的数据,我会说它与某些NFS挂载或使用RPC的内容有关.
您可以使用rpcinfo -p检查某些RPC相关服务可能使用的端口.

这是它在我的系统上的外观

 netstat -nlp | awk '{if ($NF == "-")print $0}'

tcp 0 0 0.0.0.0:55349 0.0.0.0:* LISTEN -
udp 0 0 0.0.0.0:18049 0.0.0.0:* -

rpcinfo -p

program vers proto port
100000 2 tcp 111 portmapper
100000 2 udp 111 portmapper
100024 1 udp 10249 status
100024 1 tcp 10249 status
100021 1 udp 18049 nlockmgr
100021 3 udp 18049 nlockmgr
100021 4 udp 18049 nlockmgr
100021 1 tcp 55349 nlockmgr
100021 3 tcp 55349 nlockmgr
100021 4 tcp 55349 nlockmgr

2 延伸： netstat 命令

netstat -ltpnae | awk 'NR==2 || /:10050/'
Proto Recv-Q Send-Q Local Address           Foreign Address         State       User       Inode      PID/Program name    
tcp        0      0 0.0.0.0:10050           0.0.0.0:*               LISTEN      997        23041      959/zabbix_agentd   
tcp6       0      0 :::10050                :::*                    LISTEN      997        23042      959/zabbix_agentd

netstat -ltpnae | awk 'NR==2 || /:10050/'

这是我的起始状况。 sudo netstat显示带有PID / Program的端口。 lsof -i什么也没有显示。

$ sudo netstat -ltpna | awk ‘NR==2 || /:8785/’ Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp6 0 0 :::8785 ::😗 LISTEN - tcp6 1 0 ::1:8785 ::1:45518 CLOSE_WAIT - $ sudo lsof -i :8785 $
现在我们去钓鱼吧。首先让我们通过将-e添加到我们的netstat调用来获取inode。

$ sudo netstat -ltpnae | awk ‘NR==2 || /:8785/’ Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name tcp6 0 0 :::8785 ::😗 LISTEN 199179 212698803 - tcp6 1 0 ::1:8785 ::1:45518 CLOSE_WAIT 0 0 -
接下来使用lsof来获得连接到该inode的进程。

$ sudo lsof | awk ‘NR==1 || /212698803/’ COMMAND PID TID USER FD TYPE DEVICE SIZE/OFF NODE NAME envelope_ 145661 145766 drees 15u IPv6 212698803 0t0 TCP *:8785 (LISTEN)
现在我们知道进程ID，所以我们可以看看进程。不幸的是，这是一个不成熟的过程。而且它的PPID是1，所以我们不能杀死它的父节点（请参阅如何杀死一个父进程为init的进程？）。理论上init可能最终清除它，但是我厌倦了等待并重新启动。

$ ps -lf -p 145661 FS UID PID PPID C PRI NI ADDR SZ WCHAN STIME TTY TIME CMD 0 Z drees 145661 1 2 80 0 - 0 exit May01 ? 00:40:10 [envelope]
是否有任何stream量来自或从这个端口，使用tcpdump -vv -xs 1500 port 37398 -w trace.out保存您的捕获在文件trace.out中，然后可以打开它与wireshark，或tcpdump -vv port 37398并看看直接发生了什么。

尝试远程login到该端口使用netcat的udp套接字，也许你会得到某种帮助的横幅。

获取rkhunter并检查你的系统后门。

比较lsof / netstat的md5哈希与安装介质的md5哈希，假设文件不是updatet。

3 理解 Inode

https://www.cnblogs.com/llife/p/11470668.html
操作系统的文件数据除了实际内容之外，通常含有非常多的属性，例如Linux操作系统的文件权限与文件属性。文件系统通常会将这两部分内容分别存放在inode和block中。
元信息 → inode
数据 → block

4 mount.nfs: Stale file handle的问题解决办法 lsof复习

https://blog.csdn.net/hill_night/article/details/83011007

lsof | grep vda
lsof: WARNING: can't stat() nfs4 file system /var/lib/kubelet/pods/0cbac63c-463d-4d88-bbd1-50ede7832d8d/volumes/kubernetes.io~csi/ncgic-logs-pv/mount
      Output information may be incomplete.

5 netstat命令基础和系统内核文章

netstat的输出结果可以分为两个部分

1、Active Internet connections 有源TCP连接，其中"Recv-Q"和"Send-Q"指接收队列和发送队列。这些数字一般都应该是0。如果不是则表示软件包正在队列中堆积。这种情况只能在非常少的情况见到。

2、Active UNIX domain sockets 有源Unix域套接口(和网络套接字一样，但是只能用于本机通信，性能可以提高一倍)。

列名解释：

Proto：显示连接使用的协议。

RefCnt：表示连接到本套接口上的进程号。

Types：显示套接口的类型。

State：显示套接口当前的状态。

Path：表示连接到套接口的其它进程使用的路径名。

三、netstat常见参数

-a (all) 显示所有选项，默认不显示LISTEN相关。
-t (tcp) 仅显示tcp相关选项。
-u (udp) 仅显示udp相关选项。
-n 拒绝显示别名，能显示数字的全部转化成数字。
-l 仅列出有在 Listen (监听) 的服务状态。

-p 显示建立相关链接的程序名
-r 显示路由信息，路由表
-e 显示扩展信息，例如uid等
-s 按各个协议进行统计
-c 每隔一个固定时间，执行该netstat命令。

LISTEN和LISTENING的状态只有用-a或者-l才能看到。

四、netstat网络状态详解

一个正常的TCP连接，都会有三个阶段:1、TCP三次握手;2、数据传送;3、TCP四次挥手

如图：

SYN：(同步序列编号,Synchronize Sequence Numbers)该标志仅在三次握手建立TCP连接时有效。表示一个新的TCP连接请求。

ACK：(确认编号,Acknowledgement Number)是对TCP请求的确认标志,同时提示对端系统已经成功接收所有数据。

FIN：(结束标志,FINish)用来结束一个TCP回话.但对应端口仍处于开放状态,准备接收后续数据。

LISTEN：首先服务端需要打开一个socket进行监听，状态为LISTEN， The socket is listening for incoming connections. 侦听来自远方TCP端口的连接请求。

SYN_SENT：客户端通过应用程序调用connect进行active open.于是客户端tcp发送一个SYN以请求建立一个连接，之后状态置为SYN_SENT，The socket is actively attempting to establish a connection. 在发送连接请求后等待匹配的连接请求。

SYN_RECV：服务端应发出ACK确认客户端的SYN，同时自己向客户端发送一个SYN，之后状态置为SYN_RECV ，

A connection request has been received from the network. 在收到和发送一个连接请求后等待对连接请求的确认。

ESTABLISHED：代表一个打开的连接，双方可以进行或已经在数据交互了， The socket has an established connection. 代表一个打开的连接，数据可以传送给用户。

FIN_WAIT1：主动关闭(active close)端应用程序调用close，于是其TCP发出FIN请求主动关闭连接，之后进入FIN_WAIT1状态。 The socket is closed, and the connection is shutting down. 等待远程TCP的连接中断请求，或先前的连接中断请求的确认。

CLOSE_WAIT：被动关闭(passive close)端TCP接到FIN后，就发出ACK以回应FIN请求(它的接收也作为文件结束符传递给上层应用程序),并进入CLOSE_WAIT， The remote end has shut down, waiting for the socket to close. 等待从本地用户发来的连接中断请求。

FIN_WAIT2：主动关闭端接到ACK后，就进入了FIN-WAIT-2 ， Connection is closed, and the socket is waiting for a shutdown from the remote end. 从远程TCP等待连接中断请求。

LAST_ACK：被动关闭端一段时间后，接收到文件结束符的应用程序将调用CLOSE关闭连接。这导致它的TCP也发送一个 FIN,等待对方的ACK.就进入了LAST-ACK ， The remote end has shut down, and the socket is closed. Waiting for acknowledgement. 等待原来发向远程TCP的连接中断请求的确认。

TIME_WAIT：在主动关闭端接收到FIN后，TCP就发送ACK包，并进入TIME-WAIT状态。 The socket is waiting after close to handle packets still in the network.等待足够的时间以确保远程TCP接收到连接中断请求的确认。

CLOSING：比较少见， Both sockets are shut down but we still don’t have all our data sent. 等待远程TCP对连接中断的确认。

CLOSED：被动关闭端在接受到ACK包后，就进入了closed的状态。连接结束， The socket is not being used. 没有任何连接状态。

TIME_WAIT状态的形成只发生在主动关闭连接的一方。
主动关闭方在接收到被动关闭方的FIN请求后，发送成功给对方一个ACK后,将自己的状态由FIN_WAIT2修改为TIME_WAIT，而必须再等2倍的MSL(Maximum Segment Lifetime,MSL是一个数据报在internetwork中能存在的时间)时间之后双方才能把状态都改为CLOSED以关闭连接。目前RHEL里保持TIME_WAIT状态的时间为60秒。

Linux的相关keepalive参数

1、tcp_keepalive_time – INTEGER

How often TCP sends out keepalive messages when keepalive is enabled.（Default: 2hours）

一个连接需要TCP开始发送keepalive探测数据包之前的空闲时间，以秒为单位。

2、tcp_keepalive_probes – INTEGER

How many keepalive probes TCP sends out, until it decides that the connection is broken. （Default value: 9）

发送TCP keepalive探测数据包的最大数量，默认是9.如果发送9个keepalive探测包后对端仍然没有响应，就关掉这个连接。

3、tcp_keepalive_intvl – INTEGER

How frequently the probes are send out. Multiplied by tcp_keepalive_probes it is time to kill not responding connection,
after probes started. Default value: 75sec i.e. connection will be aborted after ~11 minutes of retries.

发送两个TCP keepalive探测数据包的间隔时间，默认是75秒。

五、常用netstat相关命令

1、列出所有端口 #netstat -a

2、列出所有 tcp 端口 #netstat -at

3、列出所有 udp 端口 #netstat -au

4、只显示监听端口 #netstat -l

5、只列出所有监听 tcp 端口 #netstat -lt

6、只列出所有监听 udp 端口 #netstat -lu

7、列出所有监听 UNIX 端口 #netstat -lx

8、显示所有端口的统计信息 #netstat -s

9、显示 TCP 或 UDP 端口的统计信息 #netstat -st 或 -su

10、输出中显示 PID 和进程名称 #netstat -p

11、netstat 输出中不显示主机，端口和用户名 (host, port or user)