主页 / server / 问题 / 992050
Accepted
Vignesh SP
Asked: 2019-11-16 14:02:43 +0800 CST

某些程序正在连接到未知子网，但找不到启动连接的进程

  • 772

我们有一台服务器正在与特定子网建立大量出站连接，我无法找出正在建立它的进程。

我可以看到 tcdump 中的连接 -

[root@something ~]# tcpdump -i ens192 -v | grep 26379
tcpdump: listening on ens192, link-type EN10MB (Ethernet), capture size 262144 bytes
    hosname.sometohing.43494 > 172.31.20.63.26379: Flags [S], cksum 0xe734 (incorrect -> 0xe6c9), seq 258461406, win 26720, options [mss 1336,sackOK,TS val 1947447040 ecr 0,nop,wscale 7], length 0
    hosname.sometohing.43494 > 172.31.20.63.26379: Flags [S], cksum 0xe734 (incorrect -> 0xe2dd), seq 258461406, win 26720, options [mss 1336,sackOK,TS val 1947448044 ecr 0,nop,wscale 7], length 0
    hosname.sometohing.37346 > 172.31.42.22.26379: Flags [S], cksum 0xfd0b (incorrect -> 0x5843), seq 1954738294, win 26720, options [mss 1336,sackOK,TS val 1947449600 ecr 0,nop,wscale 7], length 0
    hosname.sometohing.37454 > 172.31.42.22.26379: Flags [S], cksum 0xfd0b (incorrect -> 0xe93e), seq 1610576711, win 26720, options [mss 1336,sackOK,TS val 1947449675 ecr 0,nop,wscale 7], length 0
    hosname.sometohing.43494 > 172.31.20.63.26379: Flags [S], cksum 0xe734 (incorrect -> 0xdb09), seq 258461406, win 26720, options [mss 1336,sackOK,TS val 1947450048 ecr 0,nop,wscale 7], length 0

我正在尝试 lsof 以查看是否找到了某些东西，但 2 分钟内什么也没有，但是 tcpdump 不断打印该主机正在发送流量。

while true; do lsof -i | grep 172.31;done

然后 netstat 与所有可能的开关。antp, vunp, vutp, e,o以及我能想到的一切。我没有看到任何输出。

我将非常感谢您的帮助。

linux

2 个回答

  1. Best Answer

    安装bpf-tools 并运行tcpconnect。每一个 connect() 都会被追踪以获取它的 PID 和 COMM，与数据包捕获相比，这实际上是轻量级的。

    还进行数据包捕获，通过 Wireshark 运行它，并查看解析器显示了哪些协议。

    • 2

  2. 我以前没有遇到过这个问题，但我希望 netstat 会为您提供帮助。尝试运行

      netstat -tup

    这将显示一个 tcp 和 udp 连接列表。最后一列有望向您显示 PID / 程序名称，以便您识别关联的进程。

    • 0

相关问题