首页/安全/应急响应速查/直读 /proc/net/tcp 内核连接表

直读 /proc/net/tcp 内核连接表

ss 与 netstat 都从 /proc/net/tcp 取数:工具被劫持时直接读内核表,地址与端口是十六进制小端序,需要转换。

应急响应速查安全更新于 2026-10-12
文件/proc/net/tcp(含 tcp6/udp)
地址格式十六进制小端:0100007F 即 127.0.0.1
端口十六进制:1F90 即 8080
状态0A=LISTEN 01=ESTABLISHED

读取并转换

读取并转换
cat /proc/net/tcp | head -n 20
awk 'NR>1{print $2, $3, $4}' /proc/net/tcp | head -n 20
printf '%d\n' 0x1F90   # 十六进制端口转十进制
地址字段是 8 位小端十六进制加冒号端口;状态 0A 为 LISTEN、01 为 ESTABLISHED。

易错点

  • 把十六进制地址当明文 IP:0100007F 不是 1.0.0.127
  • 忘记 tcp6 与 udp 文件:IPv6 与 UDP 外联漏看

数据来源与参考

  • Linux 内核 procfs 文档:/proc/net/tcp
  • man 5 proc

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌