| TCP 全量 | netstat -antp |
|---|---|
| 监听 | netstat -lntp |
| UDP | netstat -anup |
| 注意 | 新系统默认不再预装 net-tools |
常用组合
常用组合
netstat -antp | head -n 30
netstat -lntp
netstat -antp | awk '$6=="ESTABLISHED"' | head -n 20RHEL 9 / 新 Ubuntu 建议改用 ss：netstat 在连接数大时明显更慢。
本包目录（168 条）
应急流程与准备24 条
进程与连接排查25 条
- ps 查看进程快照
- ss 查看连接与监听端口
- top 快速定位高占用的挖矿进程
- lsof 按进程或端口反查网络
- 从 /proc/PID/exe 发现已删除仍运行的进程
- ps 与 /proc 对比发现隐藏进程
- tcpdump 抓包验证可疑外联
- Get-CimInstance 进程画像（含命令行）
- Get-NetTCPConnection 连接排查
- 终止进程前先完成进程画像
- 进程树与父子关系（pstree）
- 定位进程工作目录与根目录
- netstat -ano 与 tasklist 关联
- 通过 inode 反查占用端口的进程
- netstat 传统连接查看
- 检查进程内存映射中的可疑库
- 连接状态与端口分布统计
- tasklist 排查 Windows 进程
- 检查进程环境变量中的劫持与凭据
- 识别伪装成内核线程的木马
- 直读 /proc/net/tcp 内核连接表
- unhide 专查隐藏进程与端口
- 按进程统计连接数（找扫描与爆破源）
- 追踪 PPID=1 的孤儿与守护进程
- 高负载低 CPU：揪出 D 状态进程
netstat 传统连接查看
net-tools 时代的经典命令，老系统与部分精简发行版仍在用；理解它的输出才能与存量文档和老截图对齐。
易错点
- 在十万连接的机器上跑 netstat：卡住业务窗口还拿不到结果
- 按固定列号解析输出：加不加 -p 会改变列数
数据来源与参考
- man 8 netstat（net-tools）
- iproute2 项目 ss 迁移说明