Linux 系统如何通过 netstat 命令查看连接数判断攻击

很多时候我们会遇到服务器遭受 cc 或 syn 等攻击，如果发现自己的网站访问异常缓慢且流量异常。可以使用系统内置 netstat 命令 简单判断一下服务器是否被攻击。常用的 netstat 命令

该命令将显示所有活动的网络连接。

查看同时连接到哪个服务器 IP 比较多，cc 攻击用。使用双网卡或多网卡可用。

查看哪些 IP 连接到服务器连接多，可以查看连接异常 IP。

显示所有 80 端口的网络连接并排序。这里的 80 端口是 http 端口，所以可以用来监控 web 服务。如果看到同一个 IP 有大量连接的话就可以判定单点流量攻击了。

这个命令可以查找出当前服务器有多少个活动的 SYNC_REC 连接。正常来说这个值很小，最好小于 5。 当有 Dos 攻击或的时候，这个值相当的高。但是有些并发很高的服务器，这个值确实是很高，因此很高并不能说明一定被攻击。

列出所有连接过的 IP 地址。

列出所有发送 SYN_REC 连接节点的 IP 地址。

使用 netstat 命令计算每个主机连接到本机的连接数。

列出所有连接到本机的 UDP 或者 TCP 连接的 IP 数量。

检查 ESTABLISHED 连接并且列出每个 IP 地址的连接数量。

列出所有连接到本机 80 端口的 IP 地址和其连接数。80 端口一般是用来处理 HTTP 网页请求。

显示连接 80 端口前 10 的 ip，并显示每个 IP 的连接数。这里的 80 端口是 http 端口，所以可以用来监控 web 服务。如果看到同一个 IP 有大量连接的话就可以判定单点流量攻击了。

翻译自：

How to Test Port[TCP/UDP] Connectivity from a Linux Server (文档 ID 2212626.1)

适用于：

Linux OS - Version Oracle Linux 5.0 to Oracle Linux 6.8 [Release OL5 to OL6U8]

Information in this document applies to any platform.

目标：

在Linux服务器上检查TCP/UDP端口的连通性。

解决方案：

telnet和nc 是用来测试端口连通性的一般工具。

telnet可以测试tcp端口的连通性。

nc可以测试tcp和udp端口的连通性。

请确保telnet和nc工具已经安装

在CODE上查看代码片派生到我的代码片

# yum install nc

# yum install telnet

测试tcp端口的连通性：

语法如下：

在CODE上查看代码片派生到我的代码片

telnet <hostname/IP address><port number>

如下是连通成功的例子：

在CODE上查看代码片派生到我的代码片

# telnet 192.118.20.95 22

Trying 192.118.20.95...

Connected to 192.118.20.95.

Escape character is '^]'.

SSH-2.0-OpenSSH_6.6.1

Protocol mismatch.

Connection closed by foreign host.

如下是连通不成功的例子：

在CODE上查看代码片派生到我的代码片

# telnet 192.118.20.95 22

Trying 192.118.20.95...

telnet: connect to address 192.118.20.95: No route to host

使用nc命令来测试tcp端口的连通性：

语法：

在CODE上查看代码片派生到我的代码片

nc -z -v <hostname/IP address><port number>

如下是连通成功的例子：

在CODE上查看代码片派生到我的代码片

# nc -z -v 192.118.20.95 22

Connection to 192.118.20.95 22 port [tcp/ssh] succeeded!

如下是连通不成功的例子：

在CODE上查看代码片派生到我的代码片

# nc -z -v 192.118.20.95 22

nc: connect to 192.118.20.95 port 22 (tcp) failed: No route to host

使用nc命令来测试udp端口的连通性：

语法：

在CODE上查看代码片派生到我的代码片

nc -z -v -u <hostname/IP address><port number>

在CODE上查看代码片派生到我的代码片

# nc -z -v -u 192.118.20.95 123

Connection to 192.118.20.95 123 port [udp/ntp] succeeded!

nc检测端口的用法

nc -z -w 10 %IP%%PORT%

-z表示检测或者扫描端口

-w表示超时时间

-u表示使用UDP协议

---