/proc/net 与 socket inode 关联

/proc/net/tcp 等文件用十六进制表示地址与端口，并带 inode 列；把 inode 与进程 fd 关联，可还原 ss 之外的套接字归属。

取证与溯源速查安全更新于 2026-10-12

文件	/proc/net/tcp、/proc/net/udp、/proc/net/unix
要点	地址为小端十六进制，inode 在固定列

解码与关联

awk 'NR>1 {print $2, $3, $4, $10}' /proc/net/tcp | head
python3 -c "import socket,struct; print(socket.inet_ntoa(struct.pack('<I',int('0100007F',16))))"

0100007F:0019 解码后是 127.0.0.1:25，端口同样按十六进制转换。

易错点

不同内核版本的列顺序可能变化，先看表头再写解析脚本
TIME_WAIT 等状态残留条目多，聚合后再看异常

数据来源与参考

man 5 proc（/proc/net 说明）
Linux 内核文档 networking/proc_net_tcp.txt

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌