多功能的Netstat命令

朋友們常會(huì)問(wèn)著樣的問(wèn)題，怎樣查別人的IP？怎樣查自己的IP呢？我系統(tǒng)的哪些段口是開(kāi)的？我怎樣知道我的系統(tǒng)是否被安裝了木馬程序？

其實(shí)這些問(wèn)題（還有一些相似的問(wèn)題）有一個(gè)簡(jiǎn)單的答案：Netstat命令!

微軟公司故意將這個(gè)功能強(qiáng)大的命令隱藏起來(lái)是因?yàn)樗鼘?duì)於普通用戶來(lái)說(shuō)有些複雜。

Netstat可以在MSDOS命令窗口下打開(kāi)。

C:windows

C:>

大多數(shù)Windows用戶的默認(rèn)目錄是Windows目錄，如果不是，上面的命令將打開(kāi)Windows目錄。

好，在我們繼續(xù)之前，我們要先知道Netstat是到底用來(lái)做什麼的，它可以用來(lái)獲得你的系統(tǒng)網(wǎng)絡(luò)連接的信息（使用的端口，在使用的協(xié)議等 ），收到和發(fā)出的數(shù)據(jù)，被連接的遠(yuǎn)程系統(tǒng)的端口，Netstat在內(nèi)存中讀取所有的網(wǎng)絡(luò)信息。

在Internet RFC標(biāo)準(zhǔn)中，Netstat的定義是：

「Netstat是在內(nèi)核中訪問(wèn)網(wǎng)絡(luò)及相關(guān)信息的程序，它能提供TCP連接，TCP和UDP監(jiān)聽(tīng)，進(jìn)程內(nèi)存管理的相關(guān)報(bào)告」。

現(xiàn)在我們?cè)趯?duì)Netstat有了一定的瞭解之後就可以來(lái)使用它了，如果你打開(kāi)了DOS窗口，你可以用以下命令來(lái)獲取有關(guān)Netstat的幫助信息。

C:>netstat /?

-a Displays all connections and listening ports. (Server-side connections are normally not shown).

-e Displays Ethernet statistics. This may be combined with the -s option.

-n Displays addresses and port numbers in numerical form.

-p proto Shows connections for the protocol specified by proto; proto may be tcp or udp. If used with the -s option to display per-protocol statistics, proto may be tcp, udp, or ip.

-r Displays the contents of the routing table.

-s Displays per-protocol statistics. By default, statistics are shown for TCP, UDP and IP; the -p

option may be used to specify a subset of the default.interval Redisplays selected statistics, pausing interval seconds between each display. Press CTRL+C to stop redisplaying statistics. If omitted, netstat will print the current configuration information once.

以上的信息僅僅是個(gè)參考，對(duì)於好奇心很強(qiáng)的您來(lái)說(shuō)，是遠(yuǎn)遠(yuǎn)不夠的。

那好，讓我們?cè)囋嚸總€(gè)命令並查看結(jié)果，用來(lái)理解當(dāng)我們執(zhí)行命令後發(fā)生了什麼，顯示出的信息是什麼意思？


首先，我們使用Netstat的-a參數(shù)命令。

-a參數(shù)用來(lái)顯示在本地機(jī)器上的外部連接，它也顯示我們遠(yuǎn)程所連接的系統(tǒng)，本地和遠(yuǎn)程系統(tǒng)連接時(shí)使用的端口，和本地和遠(yuǎn)程系統(tǒng)連接的狀態(tài)。（type and state ）

例子：

我們有其中一行來(lái)講解：

協(xié)議（Proto）：TCP（是否用詳細(xì)講解，請(qǐng)來(lái)信）

本地機(jī)器名（Local Address）：ankit（這個(gè)是您在安裝系統(tǒng)時(shí)自設(shè)的，本地打開(kāi)並用於連接的端口：1031）

遠(yuǎn)程機(jī)器名（Foreign Address）：dwarfie.box.com

遠(yuǎn)程端口：ftp

狀態(tài)：ESTABLISHED

-a參數(shù)常用於獲得你的本地系統(tǒng)開(kāi)放的端口，用它您可以自己檢查你的系統(tǒng)上有沒(méi)有被安裝木馬（要說(shuō)一下：有很多好程序用來(lái)檢測(cè)木馬，但你的目的是想成為hacker，手工檢測(cè)要比只按一下「scan」按鈕好些----僅個(gè)人觀點(diǎn)）。如果您Netstat你自己的話，發(fā)現(xiàn)下面的信息：

Port 12345(TCP) Netbus

Port 31337(UDP) Back Orifice

祝賀!您中了最常見(jiàn)的木馬（我好想在廢話啊~）

如果你需要木馬列表的話，去國(guó)內(nèi)的H站找找，我也有的，您要？

*****************************************************************

#一些原理：也許你有這樣的問(wèn)題：「在機(jī)器名後的端口號(hào)代表什麼？」

例子：ankit:1052　

小於1024的端口通常運(yùn)行一些網(wǎng)絡(luò)服務(wù)，大於1024的端口用來(lái)與遠(yuǎn)程機(jī)器建立連接，比如，你的瀏覽器在建立一個(gè)與www.163.com的連接，這時(shí)你的機(jī)器將打開(kāi)一個(gè)隨意的但大於1024的端口用於連接163的伺服器。

*****************************************************************
　

繼續(xù)我們的探討，使用-n參數(shù)。（Netstat -n)

Netstat -n基本上是-a參數(shù)的數(shù)字形式：

C:>netstat -n

Active Connections

Proto Local Address Foreign Address State

TCP 203.xx.251.161:1031 195.1.150.227:21 ESTABLISHED

TCP 203.xx.251.161:1043 207.138.41.181:80 FIN_WAIT_2

TCP 203.xx.251.161:1053 203.94.243.71:110 TIME_WAIT

TCP 203.xx.251.161:1058 195.1.150.227:20 TIME_WAIT

TCP 203.xx.251.161:1069 203.94.243.71:110 TIME_WAIT

TCP 203.xx.251.161:1071 194.98.93.244:80 ESTABLISHED

TCP 203.xx.251.161:1078 203.94.243.71:110 TIME_WAIT

通過(guò)比較，發(fā)現(xiàn)有兩點(diǎn)不同。

1 -n參數(shù)命令用IP地址代替機(jī)器名。

2 我不確定，但經(jīng)過(guò)再三的測(cè)試，Netstat -n命令不顯示非TCP連接的數(shù)據(jù)。

-n參數(shù)通常用於查自己的IP時(shí)使用，也有些人使用他是因?yàn)樗麄兏矚g用數(shù)字的形式來(lái)顯示主機(jī)名。難道這就是「數(shù)字化生存」？　

得到IP等於得到一切，它是最容易使機(jī)器受到攻擊的東東，所以隱藏自己IP，獲得別人的IP對(duì)hacker來(lái)說(shuō)非常重要，現(xiàn)在隱藏IP技術(shù)很流行，但那些隱藏工具或服務(wù)真的讓你引身嗎？答案是：它們不能使你完全隱身。下面例子用來(lái)簡(jiǎn)單說(shuō)明如何獲得IP。

OICQ或ICQ是很流行的聊天軟件（很容易在MM身上浪費(fèi)時(shí)間），他們雖然不顯示用戶的IP，但都是「穿馬甲的IP地址」，用下面的方法得到其他用戶的IP。

1 看一個(gè)DOS窗口，打入Netstat -n獲得你系統(tǒng)已經(jīng)打開(kāi)的端口和遠(yuǎn)程連接列表。

2 然後打開(kāi)OICQ，給「受害者」發(fā)信息。

3 當(dāng)你們還在聊天的時(shí)候，返回DOS窗口，再打入Netstat -n命令，你將發(fā)現(xiàn)一個(gè)顯示新連接的IP地址，這個(gè)就應(yīng)該是「受害者」的IP。（也有其他的情況...)
　

到目前為止，我們討論了『-a』和『-n』及一些應(yīng)用，並發(fā)現(xiàn)在屏幕上返回和顯示的連接不是一個(gè)詳盡的協(xié)議。這意味著它顯示了TCP連接，UDP等，假如你想看到那個(gè)連接屬於UDP連接，你需要用-p參數(shù)。

通常的Netstat的-p參數(shù)格式如下：

Netstat -p xxx

xxx可以是UDP或TCP，我們用顯示TCP連接的例子來(lái)理解如何使用-p參數(shù)。

C:>netstat -p tcp

Active Connections

Proto Local Address Foreign Address State

TCP ankit:1031 dwarfie.box.com:ftp ESTABLISHED

TCP ankit:1043 banners.egroups.com:80 FIN_WAIT_2

TCP ankit:1069 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1078 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1080 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1081 www.burstnet.com:80 FIN_WAIT_2

TCP ankit:1083 zztop.box.com:80 TIME_WAIT

這是個(gè)與-a，-n參數(shù)基本一樣的變種。讓我們繼續(xù)看-e參數(shù)。

C:>netstat -e

Interface Statistics　

Received Sent

Bytes 135121 123418

Unicast packets 419 476

Non-unicast packets 40 40

Discards 0 0

Errors 0 0

Unknown protocols 0

有些質(zhì)量不好的modems不顯示輸出或接受的數(shù)據(jù)包，用這個(gè)命令可以解決這個(gè)問(wèn)題，你也可以用它查看你的機(jī)器在處理TCP/IP過(guò)程中的錯(cuò)誤。

我要講解最後一個(gè)參數(shù)-r，這個(gè)命令有點(diǎn)難理解，而且涉及到其他方面的知識(shí)，我將在其他的教程中詳細(xì)的講解。下面我僅給出例子來(lái)理解-r參數(shù)。（在電腦方面，只要我們想做，我們就會(huì)有收穫）

C:>netstat -r

Route Table　

Active Routes:　

Network Address Netmask Gateway Address Interface Metric

0.0.0.0 0.0.0.0 203.94.251.161 203.94.251.161 1

127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1

203.94.251.0 255.255.255.0 203.94.251.161 203.94.251.161 1

203.94.251.161 255.255.255.255 127.0.0.1 127.0.0.1 1

203.94.251.255 255.255.255.255 203.94.251.161 203.94.251.161 1

224.0.0.0 224.0.0.0 203.94.251.161 203.94.251.161 1

255.255.255.255 255.255.255.255 203.94.251.161 203.94.251.161 1

Network Address Netmask Gateway Address Interface Metric

0.0.0.0 0.0.0.0 203.94.251.161 203.94.251.161 1

127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1

203.94.251.0 255.255.255.0 203.94.251.161 203.94.251.161 1

203.94.251.161 255.255.255.255 127.0.0.1 127.0.0.1 1

203.94.251.255 255.255.255.255 203.94.251.161 203.94.251.161 1

224.0.0.0 224.0.0.0 203.94.251.161 203.94.251.161 1

255.255.255.255 255.255.255.255 203.94.251.161 203.94.251.161 1


Active Connections
　

Proto Local Address Foreign Address State

TCP ankit:1031 dwarfie.box.com:ftp ESTABLISHED

TCP ankit:1043 banners.egroups.com:80 FIN_WAIT_2

TCP ankit:1081 www.burstnet.com:80 FIN_WAIT_2

TCP ankit:1093 zztop.box.com:80 TIME_WAIT

TCP ankit:1094 zztop.box.com:80 TIME_WAIT

TCP ankit:1095 mail2.mtnl.net.in:pop3 TIME_WAIT

TCP ankit:1096 zztop.box.com:80 TIME_WAIT

TCP ankit:1097 zztop.box.com:80 TIME_WAIT

TCP ankit:1098 colo88.acedsl.com:80 ESTABLISHED

TCP ankit:1099 mail2.mtnl.net.in:pop3 TIME_WAIT

這篇教程終於完成了，希望大家喜歡

BY catsun

catsun@cners.com(我將盡快回答所有的郵件)
figoee@hotmail.com
www.cners.com

快樂(lè)!