其主要使用方法和详细情况！
(netstat -na命令)，本文主要指Linux上的netstat工具，随后对各种网络连接状态进行详细说明。
netstat-NAT‘{ print $6}’’sort-uniq-c
1.netstat命令详细信息
其实我经常使用netstat-tnl|grep 443 (检查443端口是否被占用)。 如果目前有root用户，则喜欢使用netstat -pnl | grep 443 )。 也可以显示占用本机443端口的进程PID。
netstat
功能说明：显示网络的状态。
语法： netstat [-accefghilmnnoprstuvvwx ] [-a ] [-- IP ]
补充说明：使用netstat命令可以了解整个Linux系统的网络状况。
参数：
-a或-all显示所有连接的套接字。
-A或-列出与网络类型连接相关的地址。
-c或-continuous继续显示网络状态。
-C或-cache显示路由器配置的缓存信息。
-e或-extend显示有关网络的其他信息。
-F或-FIB显示fib。
-g或-groups显示多播功能组的成员列表。
-h或-help联机帮助。
在-i或-interfaces中显示网络接口信息表单。
-l或-listening显示正在监视的服务器的套接字。
-M或-masquerade显示伪装的网络连接。
-n或-numeric直接使用IP地址，而不是域名服务器。
-N或-netlink或-symbolic显示网络硬件外围设备的符号连接名称。
-o或-timers显示计时器。
-p或-programs显示使用套接字的进程标识符和进程名称。
在-r或-route中显示路由表。
在-s或-statistice中显示网络工作信息统计表。
-t或-tcp表示TCP传输协议的连接状态。
-u或-udp显示UDP传输协议的连接状态。
-v或-verbose指示命令的执行步骤。
版本信息显示在-V或-version中。
-w或-RAW显示raw传输协议的连接状态。
-x或-unix此参数的效果与“-A unix”参数相同。
-ip或-inet此参数的效果与指定“-A inet”参数相同。
2 .网络连接状态详细信息
总共可能有12种状态，前面的11种是根据TCP连接建立的3次握手和TCP连接断开的4次挥手的过程描述的。
1 )、LISTEN:首先需要服务端打开套接字进行监听，状态为listen./* thesocketislisteningforincomingconnections .监听来自远程TCP端口的连接请求
2 )，SYN_SENT:客户端从APP应用程序中调用connect进行活动打开。 因此，客户端tcp发送SYN请求建立连接。 然后，状态为syn _ sent./* thesocketisactivelyattemptingtoestabable
3 )、SYN_RECV:服务端发布ACK以确认客户端SYN，同时自己向客户端发送SYN。 然后，syn _ recv/* aconnectionrequesthasbeenreceivedfromthenetwork .接收一个并发送
4 )、ESTABLISHED:表示打开的连接，双方都能进行或已经在交换数据。/* thesockethasanestablishedconnection .表示打开的连接，允许将数据传递给用户。 *
5 )、FIN_WAIT1:主动关闭(active close )端的APP应用程序调用close，其TCP发出FIN请求主动关闭连接，然后进入FIN_WAIT1状态。 /* The socket is closed，andtheconnnection
6 )、CLOSE_WAIT:被动关闭侧的TCP接收到FIN后，发出ACK以响应FIN请求(其接收也作为文件结束符传递到上层APP应用程序)
7 )、FIN_WA
IT2:主动关闭端接到ACK后，就进入了 FIN-WAIT-2 ./* Connection is closed, and the socket is waiting for a shutdown from the remote end. 从远程TCP等待连接中断请求 */8)、LAST_ACK:被动关闭端一段时间后，接收到文件结束符的应用程序将调用CLOSE关闭连接。这导致它的TCP也发送一个 FIN,等待对方的ACK.就进入了LAST-ACK ./* The remote end has shut down, and the socket is closed. Waiting for acknowledgement. 等待原来发向远程TCP的连接中断请求的确认 */
9)、TIME_WAIT:在主动关闭端接收到FIN后，TCP 就发送ACK包，并进入TIME-WAIT状态。/* The socket is waiting after close to handle packets still in the network.等待足够的时间以确保远程TCP接收到连接中断请求的确认 */
10)、CLOSING: 比较少见./* Both sockets are shut down but we still don’t have all our data sent. 等待远程TCP对连接中断的确认 */
11)、CLOSED: 被动关闭端在接受到ACK包后，就进入了closed的状态。连接结束./* The socket is not being used. 没有任何连接状态 */
12)、UNKNOWN: 未知的Socket状态。/* The state of the socket is unknown. */
SYN: (同步序列编号,Synchronize Sequence Numbers)该标志仅在三次握手建立TCP连接时有效。表示一个新的TCP连接请求。
ACK: (确认编号,Acknowledgement Number)是对TCP请求的确认标志,同时提示对端系统已经成功接收所有数据。
FIN: (结束标志,FINish)用来结束一个TCP回话.但对应端口仍处于开放状态,准备接收后续数据。
PS：在windows下有个小工具挺好的，TCPView is a Windows program that will show you detailed listings of all TCP and UDP endpoints on your system, including the local and remote addresses and state of TCP connections.见 http://technet.microsoft.com/en-us/sysinternals/bb897437 ； 当然如果要详细分析数据包，可选用sniffer、Wireshark等更强大的工具。
参考资料：
http://linux.sheup.com/linux/4/31225.html
http://hi.baidu.com/mqbest_come_on/blog/item/18526dcef73d791a00e928e5.html
http://www.daxigua.com/archives/1355
系统连接状态篇：
1.查看TCP连接状态
netstat -nat |awk ‘{print $6}’|sort|uniq -c|sort -rn
netstat -n | awk ‘/^tcp/ {++S[$NF]};END {for(a in S) print a, S[a]}’ 或
netstat -n | awk ‘/^tcp/ {++state[$NF]}; END {for(key in state) print key,”t”,state[key]}’
netstat -n | awk ‘/^tcp/ {++arr[$NF]};END {for(k in arr) print k,”t”,arr[k]}’
netstat -n |awk ‘/^tcp/ {print $NF}’|sort|uniq -c|sort -rn
netstat -ant | awk ‘{print $NF}’ | grep -v ‘[a-z]‘ | sort | uniq -c
2.查找请求数请20个IP(常用于查找攻来源)：
netstat -anlp|grep 80|grep tcp|awk ‘{print $5}’|awk -F: ‘{print $1}’|sort|uniq -c|sort -nr|head -n20
netstat -ant |awk ‘/:80/{split($5,ip,”:”);++A[ip[1]]}END{for(i in A) print A[i],i}’ |sort -rn|head -n20
3.用tcpdump嗅探80端口的访问看看谁最高
tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F”.” ‘{print $1″.”$2″.”$3″.”$4}’ | sort | uniq -c | sort -nr |head -20
4.查找较多time_wait连接
netstat -n|grep TIME_WAIT|awk ‘{print $5}’|sort|uniq -c|sort -rn|head -n20
5.找查较多的SYN连接
netstat -an | grep SYN | awk ‘{print $5}’ | awk -F: ‘{print $1}’ | sort | uniq -c | sort -nr | more
6.根据端口列进程
netstat -ntlp | grep 80 | awk ‘{print $7}’ | cut -d/ -f1
网站日志分析篇1(Apache)：
1.获得访问前10位的ip地址
cat access.log|awk ‘{print $1}’|sort|uniq -c|sort -nr|head -10
cat access.log|awk ‘{counts[$(11)]+=1}; END {for(url in counts) print counts[url], url}’
2.访问次数最多的文件或页面,取前20
cat access.log|awk ‘{print $11}’|sort|uniq -c|sort -nr|head -20
3.列出传输最大的几个exe文件(分析下载站的时候常用)
cat access.log |awk ‘($7~/.exe/){print $10 ” ” $1 ” ” $4 ” ” $7}’|sort -nr|head -20
4.列出输出大于200000byte(约200kb)的exe文件以及对应文件发生次数
cat access.log |awk ‘($10 > 200000 && $7~/.exe/){print $7}’|sort -n|uniq -c|sort -nr|head -100
5.如果日志最后一列记录的是页面文件传输时间，则有列出到客户端最耗时的页面
cat access.log |awk ‘($7~/.php/){print $NF ” ” $1 ” ” $4 ” ” $7}’|sort -nr|head -100
6.列出最最耗时的页面(超过60秒的)的以及对应页面发生次数
cat access.log |awk ‘($NF > 60 && $7~/.php/){print $7}’|sort -n|uniq -c|sort -nr|head -100
7.列出传输时间超过 30 秒的文件
cat access.log |awk ‘($NF > 30){print $7}’|sort -n|uniq -c|sort -nr|head -20
8.统计网站流量(G)
cat access.log |awk ‘{sum+=$10} END {print sum/1024/1024/1024}’
9.统计404的连接
awk ‘($9 ~/404/)’ access.log | awk ‘{print $9,$7}’ | sort
10. 统计http status.
cat access.log |awk ‘{counts[$(9)]+=1}; END {for(code in counts) print code, counts[code]}'
cat access.log |awk '{print $9}'|sort|uniq -c|sort -rn
10.蜘蛛分析
查看是哪些蜘蛛在抓取内容。
/usr/sbin/tcpdump -i eth0 -l -s 0 -w - dst port 80 | strings | grep -i user-agent | grep -i -E 'bot|crawler|slurp|spider'
网站日分析2(Squid篇)
2.按域统计流量
zcat squid_access.log.tar.gz| awk '{print $10,$7}' |awk 'BEGIN{FS="[ /]"}{trfc[$4]+=$1}END{for(domain in trfc){printf "%st%dn",domain,trfc[domain]}}'
效率更高的perl版本请到此下载:http://docs.linuxtone.org/soft/tools/tr.pl
数据库篇
1.查看数据库执行的sql
/usr/sbin/tcpdump -i eth0 -s 0 -l -w - dst port 3306 | strings | egrep -i 'SELECT|UPDATE|DELETE|INSERT|SET|COMMIT|ROLLBACK|CREATE|DROP|ALTER|CALL'
系统Debug分析篇
1.调试命令
strace -p pid
2.跟踪指定进程的PID
gdb -p pid
更多Netstat命令详解 相关文章请关注PHP中文网！
本文原创发布php中文网，转载请注明出处，感谢您的尊重！