当前位置：首页 > Linux > 正文

linux 如何查看进程端口号

admin
Linux
2025-08-16
2

使用 netstat -tulnp 或 ss -tulnp 查看进程与端口映射；也可用 `lsof -i :[端口号]

在 Linux 系统中，查看进程与端口号的映射关系是系统管理和故障排查的核心技能之一，以下将从 核心命令详解、多维度查询方案、实战场景演示 三个层面展开深度解析,并提供完整操作指南。

核心命令全解析

`netstat` 经典方案

# 查看所有监听中的TCP/UDP端口及其关联进程
netstat -tulnp | grep :[0-9]   # 仅显示数字端口（排除Unix域套接字）

关键参数释义：
| 参数 | 作用 |
|——|——|
| -t | 显示TCP端口 |
| -u | 显示UDP端口 |
| -l | 仅显示Listening状态的端口 |
| -n | 以数字形式显示地址和端口（不解析主机名） |
| -p | 显示进程PID及程序名称 |

️ 注意：若提示Permission denied，需添加sudo执行，此时会显示完整的进程树,包括非当前用户拥有的进程。

`ss` 现代化替代方案

# 实时监控TCP/UDP端口及进程映射
ss -tulnp

优势对比：
| 特性 | netstat | ss |
|——|——–|—-|
| 响应速度 | 较慢（依赖内核模块） | 极快（原生支持eBPF） |
| 状态显示 | 基础文本 | 彩色高亮+详细状态码 |
| 过滤能力 | 有限 | 支持复杂表达式过滤 |
| 资源消耗 | 较高 | 极低 |

`lsof` 全能型工具

# 按端口号反向查找进程
lsof -i :8080       # 查找指定端口的进程
lsof -i tcp@:     # 列出所有TCP监听端口
lsof -i udp@:     # 列出所有UDP监听端口

技巧：-a参数可叠加额外条件，如lsof -i :8080 -a user=root可定位root用户占用的8080端口。

`/proc` 文件系统直读法

# 通过进程ID获取打开的文件描述符（含网络连接）
cat /proc/${PID}/fdinfo/${FD}/socket | head -n 1
# 示例：查看Nginx主进程的网络连接
PID=$(pgrep nginx); cat /proc/$PID/fdinfo// | grep socket

此方法适合脚本化处理,可直接获取原始套接字信息。

典型应用场景实践

场景1：快速定位未知进程占用的端口

# 三步定位法：
# 1. 发现异常端口（假设发现本地3306被未知进程占用）
netstat -tulnp | grep 3306
# 2. 获取PID后查看进程详情
ps aux | grep $(pidof <进程名>)
# 3. 验证进程完整性（防止反面伪装）
readlink -f $(which <进程名>)

案例：若发现mysqld进程实际指向/tmp/malicious,则表明存在进程劫持。

场景2：批量导出端口-进程映射表

# 生成CSV格式报告（便于后续分析）
ss -tulnp | awk '{print $5","$6","$7}' > port_mapping.csv
# 使用jq美化JSON输出（需安装jq）
ss -tulnp | jq -Rn 'split(" ") | {port: .[4], pid: .[6], program: .[7]}'

示例输出片段：
| Protocol | Local Address | Foreign Address | State | PID | Program |
|———-|—————|—————–|——-|—–|————-|
| TCP | 0.0.0.0:80 | | LISTEN| 1234| nginx: master|
| TCP | 192.168.1.1:22| 10.0.0.5:54321 | ESTABLISHED| 5678| sshd |

场景3：动态追踪端口变化

# 实时监控新增端口（每秒刷新一次）
watch -n 1 "ss -tulnp | head -n 10"
# 结合日志分析（推荐配合journalctl）
journalctl -fu network | grep CHANGE | tail -f

高级技巧与注意事项

跨协议综合查询

# 同时显示TCP/UDP/SCTP/UNIX域套接字
ss --all --processes
# 过滤特定用户进程
ss -tulnp | awk '/^UID=1000/ {print $0}'  # 显示普通用户进程

安全审计要点

危险信号识别：
- 非标准服务监听高端口（>1024）
- 同一端口被多个进程绑定
- 特权进程开放公共端口
️ 加固建议：
- 使用apparmor/selinux限制进程能力
- 配置防火墙规则（ufw/firewalld）
- 定期执行auditd日志审查

性能优化考量

方法	适用场景	缺点
`netstat`	兼容性最佳	已弃用，未来可能移除
`ss`	高性能需求	部分旧系统未预装
`lsof`	深度分析	输出冗余信息较多
`/proc`	自动化脚本	解析复杂度高

常见问题解答（FAQ）

Q1: 为什么我看不到某个正在运行的服务端口？

A: 可能原因及解决方案：

linux 如何查看进程端口号第1张

未处于监听状态：服务可能仅主动发起连接（客户端模式），使用ss -tp查看已建立连接。
命名空间隔离：容器/虚拟机内的进程需进入对应命名空间查看。
权限不足：尝试sudo执行命令，或检查capabilities设置。
临时端口漂移：部分应用采用随机可用端口，可通过pgrep定位进程后查看其实际端口。

Q2: 如何终止占用特定端口的进程？

A: 安全终止流程：

# 步骤1：定位进程信息
lsof -ti :8080  # 获取PID
# 步骤2：发送终止信号（优先使用TERM）
kill -TERM <PID>
# 步骤3：强制终止（若未响应）
kill -KILL <PID>
# 替代方案：使用skill命令批量处理
skill -TERM `lsof -ti :8080`

️ 警告：直接kill -9可能导致数据丢失,建议优先尝试优雅终止。