1、Netstat命令詳解Netstat用于顯示與IP、TCP、UDP和ICMP協(xié)議相關(guān)的統(tǒng)計數(shù)據(jù)，一般用于檢驗本機各端口的網(wǎng)絡(luò)連接情況。 如果你的計算機有時候接收到的數(shù)據(jù)報導致出錯數(shù)據(jù)或故障，你不必感到奇怪，TCP/IP可以容許這些類型的錯誤，并能夠自動重發(fā)數(shù)據(jù)報。但如果累計的出錯情況數(shù)目占到所接收的IP數(shù)據(jù)報相當大的百分比，或者它的數(shù)目正迅速增加，那么你就應(yīng)該使用Netstat查一查為什么會出現(xiàn)這些情況了。Netstat 詳細參數(shù)列表(winXP)C:netstat /?顯示協(xié)議統(tǒng)計信息和當前 TCP/IP 網(wǎng)絡(luò)連接。NETSTAT -a -b -e -n -o -p proto -r -s

2、-v interval-a 顯示所有連接和監(jiān)聽端口。-b 顯示包含于創(chuàng)建每個連接或監(jiān)聽端口的可執(zhí)行組件。在某些情況下已知可執(zhí)行組 件擁有多個獨立組件，并且在這些情況下包含于創(chuàng)建連接或監(jiān)聽端口的組件序列 被顯示。這種情況下，可執(zhí)行組件名在底部的 中，頂部是其調(diào)用的組件， 等等，直到 TCP/IP部分。注意此選項可能需要很長時間，如果沒有足夠權(quán)限 可能失敗。-e 顯示以太網(wǎng)統(tǒng)計信息。此選項可以與 -s選項組合使用。-n 以數(shù)字形式顯示地址和端口號。-o 顯示與每個連接相關(guān)的所屬進程 ID。-p proto 顯示 proto 指定的協(xié)議的連接；proto 可以是下列協(xié)議之一: TCP、UDP、 TC

3、Pv6 或 UDPv6。如果與 -s 選項一起使用以顯示按協(xié)議統(tǒng)計信息，proto 可以是下列協(xié)議之一:IP、IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 或 ()UDPv6。-r 顯示路由表。-s 顯示按協(xié)議統(tǒng)計信息。默認地，顯示 IP、 IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 和 UDPv6 的統(tǒng)計信息； -p 選項用于指定默認情況的子集。-v 與 -b 選項一起使用時將顯示包含于 為所有可執(zhí)行組件創(chuàng)建連接或監(jiān)聽端口的 組件。interval 重新顯示選定統(tǒng)計信息，每次顯示之間 暫停時間間隔(以秒計)。按 CTRL+C 停止重新 顯示統(tǒng)計信息。如果省略

4、，netstat 顯示當前 配置信息(只顯示一次)(win2000)C:netstat /?Displays protocol statistics and current TCP/IP network connections.NETSTAT -a -e -n -s -p proto -r interval-a Displays all connections and listening ports.-e Displays Ethernet statistics. This may be combined with the -s option.-n Displays addresses and

5、 port numbers in numerical form.-p proto Shows connections for the protocol specified by proto; proto may be TCP or UDP.If used with the -s option to display per-protocol statistics, proto may be TCP, UDP, or IP.-r Displays the routing table.-s Displays per-protocol statistics.By default, statistics

6、 are shown for TCP, UDP and IP; the -p option may be used to specify a subset of the erval Redisplays selected statistics, pausing interval seconds between each display.Press CTRL+C to stop redisplaying statistics.If omitted, netstat will print the current configuration information once.(

7、linux)john11john $ netstat /?usage: netstat -veenNcCF -r netstat -V|-version|-h|-help netstat -vnNcaeol . netstat -veenNac -i | -cnNe -M | -s delay -r, -route display routing table -i, -interfaces= display interface table -g, -groups display multicast group memberships -s, -statistics display networ

8、king statistics (like SNMP) -M, -masquerade display masqueraded connections -v, -verbose be verbose -n, -numeric dont resolve names -numeric-hosts dont resolve host names -numeric-ports dont resolve port names -numeric-users dont resolve user names -N, -symbolic resolve hardware names -e, -extend di

9、splay other/more information -p, -programs display PID/Program name for sockets -c, -continuous continuous listing -l, -listening display listening server sockets -a, -all, -listening display all sockets (default: connected) -o, -timers display timers -F, -fib display Forwarding Information Base (de

10、fault) -C, -cache display routing cache instead of FIB: Name of interface to monitor/list.=-t|-tcp -u|-udp -w|-raw -x|-unix -ax25 -ipx -netrom=Use -A or -; default: inetList of possible address families (which support routing): inet (DARPA Internet) inet6 (IPv6) ax25 (AMPR AX.25) netrom (AMPR NET/RO

11、M) ipx (Novell IPX) ddp (Appletalk DDP) x25 (CCITT X.25)Netstat的一些常用選項 netstat -s本選項能夠按照各個協(xié)議分別顯示其統(tǒng)計數(shù)據(jù)。如果你的應(yīng)用程序（如Web瀏覽器）運行速度比較慢，或者不能顯示W(wǎng)eb頁之類的數(shù)據(jù)，那么你就可以用本選項來查看一下所顯示的信息。你需要仔細查看統(tǒng)計數(shù)據(jù)的各行，找到出錯的關(guān)鍵字，進而確定問題所在。 netstat -e本選項用于顯示關(guān)于以太網(wǎng)的統(tǒng)計數(shù)據(jù)。它列出的項目包括傳送的數(shù)據(jù)報的總字節(jié)數(shù)、錯誤數(shù)、刪除數(shù)、數(shù)據(jù)報的數(shù)量和廣播的數(shù)量。這些統(tǒng)計數(shù)據(jù)既有發(fā)送的數(shù)據(jù)報數(shù)量，也有接收的數(shù)據(jù)報數(shù)量。這個選項

12、可以用來統(tǒng)計一些基本的網(wǎng)絡(luò)流量。 netstat -r本選項可以顯示關(guān)于路由表的信息，類似于后面所講使用route print命令時看到的 信息。除了顯示有效路由外，還顯示當前有效的連接。 netstat -a本選項顯示一個所有的有效連接信息列表，包括已建立的連接（ESTABLISHED），也包括監(jiān)聽連接請求（LISTENING）的那些連接，斷開連接（CLOSE_WAIT）或者處于聯(lián)機等待狀態(tài)的（TIME_WAIT）等netstat -n顯示所有已建立的有效連接。netstat支持用于顯示活動或被動套接字的選項集。選項- t、- u、- w和-x分別表示TCP、UDP、RAW和UNIX套接字連

13、接。如果你另外還提供了一個-a標記，還會顯示出等待連接（也就是說處于監(jiān)聽模式）的套接字。這樣就可以得到一份服務(wù)器清單，當前所有運行于系統(tǒng)中的所有服務(wù)器都會列入其中。 調(diào)用netstat -ta時，輸出結(jié)果如下： rootmachine1 /$ netstat -ta Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 2 9:telnet 6:2873 ESTABLISHED

14、tcp 0 0 9:1165 4:netbios-ssn ESTABLISHED tcp 0 0 localhost.localdom:9001 localhost.localdom:1162 ESTABLISHED tcp 0 0 localhost.localdom:1162 localhost.localdom:9001 ESTABLISHED tcp 0 0 *:9001 *:* LISTEN tcp 0 0 *:6000 *:* LISTEN tcp 0 0 *:socks *:* LISTEN tcp 0 80 9:116

15、1 0:netbios-ssn CLOSE 上面的輸出表明部分服務(wù)器處于等待接入連接狀態(tài)。利用-a選項的話，netstat還會顯示出所有的套接字。注意根據(jù)端口號，可以判斷出一條連接是否是外出連接。對呼叫方主機來說，列出的端口號應(yīng)該一直是一個整數(shù)，而對眾所周知服務(wù)（well knownservice）端口正在使用中的被呼叫方來說，netstat采用的則是取自/etc/services文件的象征性服務(wù)名在隨- i標記一起調(diào)用時， netstat將顯示網(wǎng)絡(luò)接口的當前配置特性。除此以外，如果調(diào)用時還帶上-a選項，它還將輸出內(nèi)核中所有接口，并不只是當前配置的接口。netstat-i的

16、輸出結(jié)果是這樣的： rootmachine1 /$ netstat -i Kernel Interface table Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg eth0 1500 0 787165 0 0 1 51655 0 0 0 BRU eth1 1500 0 520811 0 0 0 1986 0 0 0 BRU lo 3924 0 1943 0 0 0 43 0 0 0 LRU MTU和Met字段表示的是接口的MTU和度量值值；RX和TX這兩列表示的是已經(jīng)準確無誤地收發(fā)了多少數(shù)據(jù)包（

17、 RX - OK / TX -OK）、產(chǎn)生了多少錯誤（RX-ERR/TX-ERR）、丟棄了多少包（RX-DRP/TX-DRP），由于誤差而遺失了多少包（RX-OVR/TX-OVR）；最后一列展示的是為這個接口設(shè)置的標記，在利用ifconfig顯示接口配置時，這些標記都采用一個字母。它們的說明如下： B 已經(jīng)設(shè)置了一個廣播地址。 L 該接口是一個回送設(shè)備。 M 接收所有數(shù)據(jù)包（混亂模式）。 N 避免跟蹤。 O 在該接口上，禁用A R P。 P 這是一個點到點鏈接。 R 接口正在運行。 U 接口處于“活動”狀態(tài)。 顯示路由表 在隨- r標記一起調(diào)用n e t s t a t時，將顯示內(nèi)核路由表，就

18、像我們利用r o u t e命令一樣。產(chǎn)生的輸出如下： rootmachine1 /$ netstat -nr Kernel IP routing table Destination Gateway Genmask Flags MSS Window irtt Iface 28 U 0 0 0 eth0 U 0 0 0 eth1 U 0 0 0 lo UG

19、0 0 0 eth0 - n 選項令netstat以點分四段式的形式輸出IP地址，而不是象征性的主機名和網(wǎng)絡(luò)名。如果想避免通過網(wǎng)絡(luò)查找地址（比如避開DNS或NIS服務(wù)器），這一點是特別有用的。 netstat輸出結(jié)果中，第二列展示的是路由條目所指的網(wǎng)關(guān)，如果沒有使用網(wǎng)關(guān)，就會出現(xiàn)一個星號（*）或者；第三列展示路由的概述，在為具體的I P地址找出最恰當?shù)穆酚蓵r，內(nèi)核將查看路由表內(nèi)的所有條目，在對找到的路由與目標路由比較之前，將對IP地址和genmask進行按位“與”計算；第四列顯示了不同的標記，這些標記的說明如下： G 路由將采用網(wǎng)關(guān)。 U 準備使用的接口處于“活動”狀態(tài)。 H 通

20、過該路由，只能抵達一臺主機。 D 如果路由表的條目是由ICMP重定向消息生成的，就會設(shè)置這個標記。 M 如果路由表條目已被ICMP重定向消息修改，就會設(shè)置這個標記。 netstat輸出結(jié)果的Iface顯示該連接所用的物理網(wǎng)卡，如eth0表示用第一張，eth1表示用第二張。接下來我們來看一下，微軟是怎么說的？ 微軟公司故意將這個功能強大的命令隱藏起來是因為它對于普通用戶來說有些復(fù)雜。我們已經(jīng)知道：Netstat它可以用來獲得你的系統(tǒng)網(wǎng)絡(luò)連接的信息（使用的端口，在使用的協(xié)議等 ），收到和發(fā)出的數(shù)據(jù)，被連接的遠程系統(tǒng)的端口，Netstat在內(nèi)存中讀取所有的網(wǎng)絡(luò)信息。 在Internet RFC標準中

21、，Netstat的定義是： Netstat是在內(nèi)核中訪問網(wǎng)絡(luò)及相關(guān)信息的程序，它能提供TCP連接，TCP和UDP監(jiān)聽，進程內(nèi)存管理的相關(guān)報告。 對于好奇心極強的人來說，緊緊有上面的理論是遠遠不夠的，接下來我們來詳細的解釋一下各個參數(shù)的使用，看看執(zhí)行之后會發(fā)生什么，顯示的信息又是什么意思，好了，廢話不說了，讓我們一起來實踐一下吧：）C:netstat -aActive ConnectionsProtoLocal Address Foreign Address StateTCP Eagle:ftp Eagle:0 LISTENINGTCP Eagle:telnet Eagle:0 LISTENIN

22、GTCP Eagle:smtp Eagle:0 LISTENINGTCP Eagle:http Eagle:0 LISTENINGTCP Eagle:epmap Eagle:0 LISTENINGTCP Eagle:https Eagle:0 LISTENINGTCP Eagle:microsoft-ds Eagle:0 LISTENINGTCP Eagle:1030 Eagle:0 LISTENINGTCP Eagle:6059 Eagle:0 LISTENINGTCP Eagle:8001 Eagle:0 LISTENINGTCP Eagle:8005 Eagle:0 LISTENINGT

23、CP Eagle:8065 Eagle:0 LISTENINGTCP Eagle:microsoft-ds localhost:1031 ESTABLISHEDTCP Eagle:1031 localhost:microsoft-dsESTABLISHEDTCP Eagle:1040 Eagle:0 LISTENINGTCP Eagle:netbios-ssn Eagle:0 LISTENINGTCP Eagle:1213 5:9002 CLOSE_WAITTCP Eagle:2416 42:https CLOSE_WAITTCP Eagle:2

24、443 42:https CLOSE_WAITTCP Eagle:2907 01:2774 CLOSE_WAITTCP Eagle:2916 01:telnet ESTABLISHEDTCP Eagle:2927 0:4899 TIME_WAITTCP Eagle:2928 0:4899 TIME_WAITTCP Eagle:2929 0:4899 ESTABLISHEDTCP Eagle:3455 5:9002 ESTABL

25、ISHEDTCP Eagle:netbios-ssn Eagle:0 LISTENINGUDP Eagle:microsoft-ds *:*UDP Eagle:1046 *:*UDP Eagle:1050 *:*UDP Eagle:1073 *:*UDP Eagle:1938 *:*UDP Eagle:2314 *:*UDP Eagle:2399 *:*UDP Eagle:2413 *:*UDP Eagle:2904 *:*UDP Eagle:2908 *:*UDP Eagle:3456 *:*UDP Eagle:4000 *:*UDP Eagle:4001 *:*UDP Eagle:6000

26、 *:*UDP Eagle:6001 *:*UDP Eagle:6002 *:*UDP Eagle:6003 *:*UDP Eagle:6004 *:*UDP Eagle:6005 *:*UDP Eagle:6006 *:*UDP Eagle:6007 *:*UDP Eagle:6008 *:*UDP Eagle:6009 *:*UDP Eagle:6010 *:*UDP Eagle:6011 *:*UDP Eagle:1045 *:*UDP Eagle:1051 *:*UDP Eagle:netbios-ns *:*UDP Eagle:netbios-dgm *:*UDP Eagle:net

27、bios-ns *:*UDP Eagle:netbios-dgm *:*我們拿其中一行來解釋吧：ProtoLocal Address Foreign Address StateTCP Eagle:2929 0:4899 ESTABLISHED協(xié)議（Proto）：TCP，指是傳輸層通訊協(xié)議（什么？不懂？請用baidu搜索TCP，OSI七層和TCP/IP四層可是基礎(chǔ)_）本地機器名（LocalAddress）：Eagle，俗稱計算機名了，安裝系統(tǒng)時設(shè)置的，可以在“我的電腦”屬性中修改，本地打開并用于連接的端口：2929） 遠程機器名（ForeignAddress）：219.

28、137.227.10遠程端口：4899狀態(tài)：ESTABLISHED狀態(tài)列表LISTEN：在監(jiān)聽狀態(tài)中。 ESTABLISHED：已建立聯(lián)機的聯(lián)機情況。 TIME_WAIT：該聯(lián)機在目前已經(jīng)是等待的狀態(tài)。 -a 參數(shù)常用于獲得你的本地系統(tǒng)開放的端口，用它您可以自己檢查你的系統(tǒng)上有沒有被安裝木馬（ps：有很多好程序用來檢測木馬，但你的目的是想成為真正的hacker，手工檢測要比只按一下“scan”按鈕好些-僅個人觀點）。如果您Netstat你自己的話，發(fā)現(xiàn)下面的信息： Port 12345(TCP) Netbus Port 31337(UDP) Back Orifice 祝賀!您中了最常見的木馬（

29、_，上面4899是我連別人的，而且這個radmin是商業(yè)軟件，目前我最喜歡的遠程控制軟件） 如果你需要木馬及其端口列表的話，去國內(nèi)的H站找找，或者baidu，google吧 * #一些原理：也許你有這樣的問題：“在機器名后的端口號代表什么？ 例子：Eagle:2929小于1024的端口通常運行一些網(wǎng)絡(luò)服務(wù)，大于1024的端口用來與遠程機器建立連接。*繼續(xù)我們的探討，使用-n參數(shù)。（Netstat -n) Netstat -n基本上是-a參數(shù)的數(shù)字形式：C:netstat -nActive ConnectionsProtoLocal Address Foreign Address StateTC

30、P :445 :1031 ESTABLISHEDTCP :1031 :445 ESTABLISHEDTCP 80:1213 5:9002 CLOSE_WAITTCP 80:2416 42:443 CLOSE_WAITTCP 80:2443 42:443 CLOSE_WAITTCP 80:2907 01:2774 CLOSE_WAITTCP 19

31、80:2916 01:23 ESTABLISHEDTCP 80:2929 0:4899 ESTABLISHEDTCP 80:3048 :8004 SYN_SENTTCP 80:3455 5:9002 ESTABLISHED-a 和 n 是最常用的兩個，據(jù)我不完全測試得出以下結(jié)果：1. -n 顯示用數(shù)字化主機名，即IP地址，而不是compute_name【eagle】2. -n 只顯示TCP連接（沒有在哪里見過微軟的相關(guān)

32、文檔，有哪個朋友見到的話，記得告訴我喔_） 得到IP等于得到一切，它是最容易使機器受到攻擊的東東，所以隱藏自己IP，獲得別人的IP對hacker來說非常重要，現(xiàn)在隱藏IP技術(shù)很流行，但那些隱藏工具或服務(wù)真的讓你隱身嗎？我看不見得，呵呵，代理，跳板不屬于今天討論，一個獲取對方IP的簡單例子請參考我前面的文章【用DOS命令查QQ好友IP地址】-a 和 -n 是最常用的命令，如果要顯示一些協(xié)議的更詳細信息，就要用-p這個參數(shù)了，它其實是-a 和 -n的一個變種，我們來看一個實例，你就明白了：【netstat -p 其中為TCP或者UDP】C:netstat -p tcpActive Connecti

33、onsProtoLocal Address Foreign Address StateTCP Eagle:microsoft-ds localhost:1031 ESTABLISHEDTCP Eagle:1031 localhost:microsoft-dsESTABLISHEDTCP Eagle:1213 5:9002 CLOSE_WAITTCP Eagle:2416 42:https CLOSE_WAITTCP Eagle:2443 42:https CLOSE_WAITTCP Eagle:2907 192.168.1

34、.101:2774 CLOSE_WAITTCP Eagle:2916 01:telnet ESTABLISHEDTCP Eagle:2929 0:4899 ESTABLISHEDTCP Eagle:3455 5:9002 ESTABLISHED繼續(xù)我們的參數(shù)講解 -e 含義：本選項用于顯示關(guān)于以太網(wǎng)的統(tǒng)計數(shù)據(jù)。它列出的項目包括傳送的數(shù)據(jù)報的總字節(jié)數(shù)、錯誤數(shù)、刪除數(shù)、數(shù)據(jù)報的數(shù)量和廣播的數(shù)量。這些統(tǒng)計數(shù)據(jù)既有發(fā)送的數(shù)據(jù)報數(shù)量，也有接收的數(shù)據(jù)報數(shù)量。這個選項可以用來統(tǒng)計一些基本的網(wǎng)絡(luò)流量。C:netstat -eInterfa

35、ce Statistics Received SentBytes 143090206 44998789Unicast packets 691805 363603Non-unicast packets 886526 2386Discards 0 0Errors 0 0Unknown protocols 4449 若接收錯和發(fā)送錯接近為零或全為零，網(wǎng)絡(luò)的接口無問題。但當這兩個字段有100個以上的出錯分組時就可以認為是高出錯率了。高的發(fā)送錯表示本地網(wǎng)絡(luò)飽和或在主機與網(wǎng)絡(luò)之間有不良的物理連接;高的接收錯表示整體網(wǎng)絡(luò)飽和、本地主機過載或物理連接有問題，可以用Ping命令統(tǒng)計誤碼率，進一步確定故障的程度。

36、netstat -e 和ping結(jié)合使用能解決一大部分網(wǎng)絡(luò)故障。 接下來我們開始講解兩個比較復(fù)雜的參數(shù) -r 和 -s ，也正因為如此，筆者把他放到最后講解，這里面可能會涉及到其他方面的知識，以后在我的博客中將會繼續(xù)寫出來，呵呵，最近比較忙 -r是用來顯示路由表信息，我們來看例子：C:netstat -rRoute Table（路由表）=Interface List（網(wǎng)絡(luò)接口列表）0x1 . MS TCP Loopback interface0x10003 .00 0c f1 02 76 81 . Intel(R) PRO/Wireless LAN 2100 3B Mini PCIdapter

37、0x10004 .00 02 3f 00 05 cb . Realtek RTL8139/810x Family Fast EthernetC=Active Routes:（動態(tài)路由）Network Destination Netmask Gateway InterfaceMetric 54 81 30 54 80 20 1 255.255.

38、255.0 80 80 20 81 81 30 8055 20 8155 30 5555 80 80 20 5555 81

39、 81 30 80 80 20 81 81 305555 80 80 15555 81 81 1Default Gateway: 54（默認網(wǎng)關(guān)）=Persistent Routes:（靜態(tài)路由）

40、NoneC:-s 參數(shù)的作用前面有詳細的說明，來看例子C:netstat -sIPv4 Statistics （IP統(tǒng)計結(jié)果） Packets Received = 369492（接收包數(shù)）Received Header Errors = 0（接收頭錯誤數(shù)）Received Address Errors = 2（接收地址錯誤數(shù)）Datagrams Forwarded = 0（數(shù)據(jù)報遞送數(shù)）Unknown Protocols Received = 0（未知協(xié)議接收數(shù)）Received Packets Discarded = 4203（接收后丟棄的包數(shù)）Received Packets Deliv

41、ered = 365287（接收后轉(zhuǎn)交的包數(shù)）Output Requests = 369066（請求數(shù)）Routing Discards = 0（路由丟棄數(shù) ）Discarded Output Packets = 2172（包丟棄數(shù)）Output Packet No Route = 0（不路由的請求包）Reassembly Required = 0（重組的請求數(shù)）Reassembly Successful = 0（重組成功數(shù)）Reassembly Failures = 0（重組失敗數(shù)）Datagrams Successfully Fragmented= 0（分片成功的數(shù)據(jù)報數(shù)）Datagrams Failing Fragmentation = 0（分片失敗的數(shù)據(jù)報數(shù)）Fragments Created = 0（分片建立數(shù)）ICMPv4 Statistics （ICMP統(tǒng)計結(jié)果）包括Received和Sent兩種狀態(tài) Received SentMessages 285 784（消息數(shù)