netstat命令的疑问

由 gooddoog_2000 在 12-29-2002 19:12 发表:

netstat命令的疑问

请问netstat中的LOCAL ADDRESS有什么含义,如果它为0.0.0.0:25会有什么含义.

谢谢大虾

由 SickWorm 在 12-29-2002 23:20 发表:

可能是这样的

本机打开的端口，而0.0.0.0：25表示允许所有的ip连接25号端口。

由 gooddoog_2000 在 12-30-2002 12:03 发表:

问题是还有一个foreign address啊

问题是还有一个foreign address啊

由 SickWorm 在 12-30-2002 13:12 发表:

Re: 问题是还有一个foreign address啊

> quote: > > * * * > > 最初由 gooddoog_2000 发布
>
> 问题是还有一个foreign address啊 > > * * *

那是表示连接到你的机器上的别的机子的ip和端口号。

由 gooddoog_2000 在 12-30-2002 13:45 发表:

最大的问题在于,LOCAL ADDRESS设置成12

最大的问题在于,LOCAL ADDRESS设置成0.0.0.0

和192.168.0.1是什么区别,这是我想了解的

由北南南北在 12-30-2002 13:59 发表:

解析Linux网络分析的三大利器

作者：杨鹏本文选自：《开放系统世界》——赛迪网 2002年10月16日

随着Internet的迅猛发展，网络已无处不在，但是，它可能随时受到来自各方的攻击。了解哪些人正在访问资源、哪些人正在享受服务、哪些人正在发送大量垃圾等，对网络管理员来说是非常必要的。利用Linux中较常见的网络分析工具Tcpdump、Nmap和Netstat，可以使网络管理工作更加轻松。

Tcpdump主要是截获通过本机网络接口的数据，用以分析。Nmap是强大的端口扫描工具，可扫描任何主机或网络。Netstat可用来检查本机当前提供的服务及状态。这三者各有所长，结合起来，就可以比较透彻地了解网络状况。

Tcpdump

Tcpdump能够截获当前所有通过本机网卡的数据包。它拥有灵活的过滤机制，可以确保得到想要的数据。由于Tcpdump只能收集通过本机的数据，因此它的应用受到了一些限制，大多应用在网关或服务器自我检测上。例如，在作为网关的主机上，想知道本地网络中IP地址为192.168.0.5的主机现在与外界通信的情况，就可以使用如下命令：

tcpdump -i eth0 src host 192.168.0.5

在默认情况下，Tcpdump会将数据输出到屏幕。如果数据量太大，可能根本看不清具体的内容，这时我们可以把它重定向到文件再进行分析。如果眼神不错，就可以清楚地了解这位仁兄刚才的一举一动：

访问了新浪网主页

20:05:32.473388 192.168.0.5.1872 > www.sina.com.http:

S 1372301404:1372301404(0) win 64240

  1<mss 1460,nop,nop,sackok=""> (DF)   
  2  
  3……   
  4  
  5进行了netbios广播进行名字查询   
  6  
  720:05:33.823388 192.168.0.5.netbios-dgm &gt;   
  8  
  9192.168.0.255.netbios-dgm: NBT UDP PACKET(138)   
 10  
 11……   
 12  
 13到新华网POP3服务器收信   
 14  
 1520:05:41.953388 192.168.0.5.1878 &gt; pop.xinhuanet.com.pop3: S   
 16  
 171374956462:1374956462(0) win 64240 <mss 1460,nop,nop,sackok=""> (DF)   
 18  
 19……   
 20  
 21到深圳963收信   
 22  
 2320:05:45.633388 192.168.0.5.1881 &gt; szptt154.szptt.net.cn.pop3:   
 24  
 25P 34:40(6) ack 146 win 64095 (DF)   
 26  
 27……   
 28  
 29  
 30  
 31  
 32  
 33例如，上面这条信息表明了在20:05:45的时候，192.168.0.5通过1881源端口连接到963电子邮局的POP3端口。对于普通的网络分析，这些信息已经足够了。这就是Tcpdump的基本功能，其它高级功能都是在这一基础上的细化和增强。   
 34  
 35  
 36  
 37例如，我只想知道192.168.0.5当前正在访问哪些Web站点，可以用下面这条命令：   
 38  
 39  
 40  
 41tcpdump -i eth0 src host 192.168.0.5 and dst port 80   
 42  
 43  
 44  
 45  
 46  
 47该命令的目的是截获所有由eth0进入、源地址(src)为192.168.0.5的主机(host)，并且(and)目标(dst)端口(port)为80的数据包。得到的数据如下：   
 48  
 49  
 50  
 5120:05:32.473388 192.168.0.5.1872 &gt; www.sina.com.http:   
 52  
 53S 1372301404:1372301404(0) win 64240 <mss 1460,nop,nop,sackok=""> (DF)   
 54  
 55……   
 56  
 5720:06:33.42344 192.168.0.5.1873 &gt; www.sohu.com.http:   
 58  
 59S 1374301404:1374301404(0) win 64245 <mss 1460,nop,nop,sackok=""> (DF)   
 60  
 61……   
 62  
 6320:07:31.343248 192.168.0.5.1874 &gt; www.21cn.com.http:   
 64  
 65S 1377301404:1377301404(0) win 64241 <mss 1460,nop,nop,sackok=""> (DF)   
 66  
 67……   
 68  
 69  
 70  
 71  
 72  
 73显然，通过and或者not这些逻辑组合，就可以得到特定的数据。Tcpdump还可以监听不同的数据类型（如TCP、UDP），以用不同的网络范围（如Host主机、Net网络），甚至用Ether直接指定物理地址。   
 74  
 75  
 76  
 77用Tcpdump在网络中获取信息如此清晰，是不是有一种一览无余的感觉。正是因为Tcpdump功能过于强大，连个人隐私和敏感数据的保护都成了问题，所以通常只有root用户能够使用这一工具。   
 78  
 79  
 80  
 81  
 82  
 83Nmap   
 84  
 85  
 86  
 87  
 88  
 89Nmap设计的初衷是系统管理员可以方便地了解自己的网络运行情况，例如有多少台主机在运行、分别提供什么样的服务。因此，它扫描的速度非常快，尤其适合大型网络。在对网络进行扫描时，Nmap主要利用ICMP echo探测主机是否开启。凡是了解TCP/IP协议的都知道，对于一个TCP端口，无论是否使用防火墙进行过滤，该主机都会对该端口发出的请求做出一定响应。所以即使配置了严格的防火墙规则，nmap照样可以找到这些主机。例如，在一台IP地址为192.168.0.1的Linux主机上执行下列命令：   
 90  
 91  
 92  
 93echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_all   
 94  
 95  
 96  
 97  
 98  
 99它的作用就是对所有ICMP echo不予理睬，也就是让通常用来测试网络的Ping命令失效。这样至少可以抵挡POD(Ping of Death)的攻击。在任何一台机器上Ping这台主机，得到的都会是请求超时，如：   
100  
101  
102  
103Pinging 192.168.0.1 with 32 bytes of data:   
104  
105Request timed out.   
106  
107Request timed out.Request timed out.Request timed out.   
108  
109Ping statistics for 192.168.0.1:   
110  
111Packets: Sent = 4, Received = 0, Lost = 4 (100% loss)   
112  
113  
114  
115  
116  
117这台主机是否下线了？用Nmap探测试试看：   
118  
119  
120  
121nmap -sP 192.168.0.1   
122  
123Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )   
124  
125Host gw.somewhere.net (192.168.0.1) appears to be up.   
126  
127  
128  
129  
130  
131探测结果好像该主机还开着呢！这里，-sP指定使用Ping echo 进行扫描(Scan)。   
132  
133  
134  
135利用这一特点，可以很快知道目的网络究竟有多少主机处于运行状态：   
136  
137  
138  
139nmap -sP 192.168.0.0/24 //24表明目标是一个网络而非单个主机   
140  
141Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )   
142  
143Host (192.168.0.2) appears to be up.   
144  
145Host www.somesite.net (192.168.0.5) appears to be up.   
146  
147Host (192.168.0.8) appears to be up.   
148  
149……   
150  
151Host (192.168.0.253) appears to be up.   
152  
153Host fake.somesite.net (192.168.0.254) appears to be up.   
154  
155Nmap run completed -- 256 IP addresses (19 hosts up) scanned in 6 seconds   
156  
157  
158  
159  
160  
161既然已经知道了哪些主机还开着，就可以进一步探测这些主机的信息，如开启的端口、提供的服务及操作系统类型等。从上面扫描的结果可以知道，192.168.0.5这台机器正在运行。想要了解该主机的详细信息，可以执行：   
162  
163  
164  
165nmap 192.168.0.5   
166  
167  
168  
169  
170  
171稍后会显示如下内容：   
172  
173  
174  
175Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )   
176  
177Interesting ports on www.somewhere.net (192.168.0.5):   
178  
179(The 1537 ports scanned but not shown below are in state: closed)   
180  
181Port State Service   
182  
18380/tcp open http   
184  
185135/tcp open loc-srv   
186  
187139/tcp open netbios-ssn   
188  
189443/tcp open https   
190  
1911031/tcp open iad2   
192  
1931433/tcp open ms-sql-s   
194  
195Nmap run completed -- 1 IP address (1 host up) scanned in 0 seconds   
196  
197  
198  
199  
200  
201由上可以断定，这是一台运行Windows操作系统的主机，因为它开启了MS SQL Server的专用端口1433，还提供了HTTP服务等。这些信息如果被不怀好意的人得到，就可以采用对应的攻击办法。其实，强大的Nmap本身就可以依据TCP/IP的指纹特征猜测对方使用的操作系统。我们可以用-O来开启这一选项：   
202  
203  
204  
205nmap -O 192.168.0.5   
206  
207  
208  
209  
210  
211得到的结果是：   
212  
213  
214  
215Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )   
216  
217Interesting ports on www.somewhere.net (192.168.0.5):   
218  
219(The 1536 ports scanned but not shown below are in state: closed)   
220  
221Port State Service   
222  
22380/tcp open http   
224  
225135/tcp open loc-srv   
226  
227139/tcp open netbios-ssn   
228  
229443/tcp open https   
230  
2311032/tcp open iad3   
232  
2331433/tcp open ms-sql-s   
234  
235Remote operating system guess: Microsoft NT 4.0 Server SP5 + 2047 Hotfixes   
236  
237Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds   
238  
239  
240  
241  
242  
243它猜测的远程主机类型是Microsoft NT 4.0 Server SP5 + 2047 Hotfixes，并且相当准确和详尽。   
244  
245  
246  
247  
248  
249Netstat   
250  
251  
252  
253  
254  
255Netstat主要用于Linux/Unix主机察看自身的网络状况，如开启的端口、在为哪些用户服务以及服务的状态等等。此外，它还显示系统路由表、网络接口状态等。可以说，它是一个综合性的网络状态察看工具，不过中规中举。   
256  
257  
258  
259例如在一台普通Linux服务器上运行Netstat，显示可能像这样：   
260  
261  
262  
263Active Internet connections (w/o servers)   
264  
265Proto Recv-Q Send-Q Local Address Foreign Address State   
266  
267tcp 0 0 xxx.net.http-alt xxx.net:1209 ESTABLISHED   
268  
269tcp 0 0 xxx.net.http-alt xxx.net:1509 ESTABLISHED   
270  
271tcp 0 0 xxx.net.ssh whoami.net:1867 ESTABLISHED   
272  
273tcp 0 0 xxx.net:1209 xxx.net.http-alt ESTABLISHED   
274  
275tcp 0 0 xxx.net:1509 xxx.net.http-alt ESTABLISHED   
276  
277  
278  
279Active UNIX domain sockets (w/o servers)   
280  
281Proto RefCnt Flags Type State I-Node Path   
282  
283unix 8 [ ] DGRAM 858 /dev/log   
284  
285unix 2 [ ] DGRAM 190986   
286  
287unix 2 [ ] DGRAM 190051   
288  
289unix 2 [ ] DGRAM 1252   
290  
291unix 2 [ ] DGRAM 1233   
292  
293unix 2 [ ] DGRAM 1049   
294  
295unix 2 [ ] DGRAM 867   
296  
297unix 2 [ ] STREAM CONNECTED 507   
298  
299  
300  
301  
302  
303下半部分被称作Unix域套接口，通常不必在意。有用的是上半部被称为有源TCP连接的部分，它显示了当前所有已建立的连接。由此不难看出，当前这台服务器与主机myself.net有一些处于半关闭状态的HTTP连接，还与主机whoami.net有一个SSH连接。   
304  
305  
306  
307在默认情况下，Netstat只显示已建立连接的端口。要显示处于监听状态的所有端口，使用-a参数即可：   
308  
309  
310  
311Active Internet connections (w/o servers)   
312  
313Pr</mss></mss></mss></mss></mss>