ช่วยให้เข้าใจถึงผลลัพธ์ของ“ netstat -b”

ฉันใช้ Windows 7 64-Bit แล้วจึงวิ่ง netstat -b และมันแสดงผลข้อมูลไปยังไฟล์ข้อความ คอลัมน์เหล่านี้มี 4 คอลัมน์“ Proto”“ Local Address,”“ Foreign Address,” และ“ State “ ที่อยู่ต่างประเทศ” ระบุชื่อคอมพิวเตอร์ของฉันและหมายเลขพอร์ต พวกเขามีอย่างน้อย 9 คนเช่นนี้เพียงแค่พอร์ตที่แตกต่างกันตามที่อยู่ในท้องถิ่นและที่อยู่ต่างประเทศ

ตัวอย่างเช่น:

Proto  Local Address          Foreign Address        State
TCP    127.0.0.1:2559         Someuser-PC:54735      TIME_WAIT

สิ่งนี้หมายความว่า? ฉันควรจะกังวลหรือไม่

หมายเหตุ: คำตอบนี้มีความหมายเพิ่มเติมจากคำตอบของ JakeGould เขาพูดถูก ฉันยังตอบเพราะฉันรู้สึกว่าฉันมีรายละเอียดเพิ่มเติมที่จะเพิ่ม ฉันปล่อยให้คำตอบนั้นพูดกับพอร์ต TCP 2559

เนื่องจากคุณเชื่อมต่อกับ 127.0.0.1 หมายความว่าโปรแกรมบนพีซีของคุณกำลังสื่อสารกับโปรแกรม (อาจเป็นโปรแกรมที่สอง) ในพีซีของคุณ

สำหรับการเชื่อมต่อที่ใช้งานมีโอกาสที่คุณจะมีรายการที่ตรงกัน ดังนั้นนอกจาก:
Proto Local Address Foreign Address State TCP Someuser-PC:54735 127.0.0.1:2559 ESTABLISHED คุณอาจมี: Proto Local Address Foreign Address State TCP 127.0.0.1:2559 Someuser-PC:54735 ESTABLISHED

ซึ่งอาจเป็นจริงได้น้อยกว่าสำหรับสถานะ TIME_WAIT ฉันคิดว่าฉันจะมองหามันหากฉันพยายามรวบรวมข้อมูลเพิ่มเติมซึ่งเป็นส่วนหนึ่งของกระบวนการแก้ไขปัญหา

Proto Local Address Foreign Address State TCP Someuser-PC:54735 127.0.0.1:2559 TIME_WAIT คุณอาจมี: Proto Local Address Foreign Address State TCP 127.0.0.1:2559 Someuser-PC:54735 TIME_WAIT

ฉันจะกำจัดชื่อระบบด้วย ฉันมักจะใช้ netstat -nab (ใน MicrosoftWindows เวอร์ชั่นปัจจุบัน) เพราะมันเร็วกว่าและชัดเจนกว่า ถ้าไม่มีเครื่องหมายยัติภังค์แล้ว netstat จะทำการค้นหาชื่อแบบย้อนกลับซึ่งเป็นสาเหตุที่ 127.0.0.1 ดูเหมือน Someuser-PC มันช้าลงและชัดเจนน้อยลงเพราะแพ็กเก็ต IP จริงใช้ที่อยู่ IP ที่เป็นตัวเลขไม่ใช่ชื่อข้อความ (ถ้าฉันต้องการทราบชื่อของ 127.0.0.1 ฉันสามารถทำการค้นหาชื่อแบบย้อนกลับได้ด้วยตัวเอง) หากมีผู้โจมตีที่ประสงค์ร้ายฉันไม่ต้องการให้ GoodGuy ค้นหาแบบชี้ไปที่ 192.0.2.10 และ จากนั้นค้นหาแบบย้อนกลับที่ 198.51.100.50 เพื่อแก้ไข GoodGuy จากนั้นฉันค้นหา GoodGuy ด้วยตนเองและเริ่มโทษ 192.0.2.10 อย่างไม่ถูกต้องเมื่อที่อยู่ที่โจมตีฉันเป็น 198.51.100.50 ฉันหลีกเลี่ยงการเข้าใจผิดนั้นด้วยการเกาะติดตัวเลขซึ่งเร็วกว่าอยู่ดี

คุณอาจต้องเรียกใช้ในฐานะผู้ดูแลระบบเพื่อรับชื่อกระบวนการที่ดีที่สุด (ฉันไม่ได้หมายถึงบัญชีในกลุ่มผู้ดูแลระบบเท่านั้นหากคุณมี UAC คุณอาจต้องแจ้งผู้ดูแลระบบให้ทราบเพื่อผ่านข้อ จำกัด ของ UAC)

พอร์ต 54735 อาจเป็นการเชื่อมต่อขาออกเนื่องจากอยู่ในช่วงพอร์ตชั่วคราวของ IANA โดยทั่วไปสิ่งที่หมายถึงคือหมายเลขถูกสงวนไว้ / มีไว้สำหรับการเชื่อมต่อขาออก (ช่วงสามารถปรับแต่งได้ดังนั้นฉันจึงอ้างอิงความคิดเห็นนี้เป็นค่าเริ่มต้นคำว่าพอร์ต "ชั่วคราว" เป็นคำมาตรฐานที่สามารถใช้เพื่อค้นหารายละเอียดเพิ่มเติม)

โดยทั่วไปเพื่อจุดประสงค์ด้านความปลอดภัยการเชื่อมต่อ TCP มีความกังวลหากมีการตั้งค่าหรือรับฟัง (เนื่องจากการรับฟังสามารถเปลี่ยนเป็นการเชื่อมต่อที่ถูกสร้างขึ้น) TIME_WAIT ควรหายไปเองหลังจากผ่านไประยะเวลาหนึ่ง ฉันจะไม่กังวลเกี่ยวกับเรื่องนี้จนกว่าคุณจะมีมาก (บางครั้งเว็บเซิร์ฟเวอร์จะสร้างการเชื่อมต่อจำนวนมาก TIME_WAIT เพราะพวกเขากำลังสร้างการเชื่อมต่อจำนวนมากและไม่ได้ปิดอย่างถูกต้องเช่นฉันเชื่อว่าหลายสิบหรือหลายร้อย) Offhand ฉันเชื่อว่าสถานะนี้บ่งบอกถึงสิ่งที่เหมือนการเชื่อมต่อ และกำลังรอให้ปลายทางระยะไกลยอมรับว่าการเชื่อมต่อ thte ถูกปิด อาจเป็นได้ว่า netstat ไม่แสดงโปรแกรมที่เกี่ยวข้องเนื่องจากโปรแกรมพิจารณาว่าการเชื่อมต่อถูกปิดและได้หยุดให้ความสนใจกับการเชื่อมต่อ

เกี่ยวกับคำถามของคุณเกี่ยวกับว่าจะต้องกังวลคำตอบของฉันในสั้นคือ: ไม่ หมายความว่าส่วนหนึ่งของคอมพิวเตอร์กำลังคุยกับอีกส่วนหนึ่งของคอมพิวเตอร์ หากโปรแกรมบน 127.0.0.1 ก่อให้เกิดปัญหาแสดงว่าปัญหาของคุณคือติดตั้งโปรแกรมที่เป็นอันตรายลงในคอมพิวเตอร์ นั่นอาจเป็นสาเหตุของความกังวล อย่างไรก็ตามความจริงที่ว่าโปรแกรมกำลังสื่อสารจากและไปยัง 127.0.0.1 โดยทั่วไปแล้วไม่ได้เป็นสาเหตุของความกังวล การเชื่อมต่อเครือข่ายดังกล่าวเป็นพฤติกรรมปกติ ดังนั้นการเชื่อมต่อ 9 TIME_WAIT ของคุณจาก / ถึง 127.0.0.1 จึงไม่ต้องกังวล

ครั้งแรก netstat เป็นเครื่องมือที่ง่ายมาก มันพิมพ์ข้อมูลเกี่ยวกับการเชื่อมต่อเครือข่ายตารางเส้นทางสถิติอินเตอร์เฟสการเชื่อมต่อปลอมแปลงและการเป็นสมาชิกมัลติคาสต์ โดยพื้นฐานแล้วเป็นเพียงข้อมูลเครือข่ายโดยรวม ดังนั้นคุณพูดสิ่งนี้:

สิ่งนี้หมายความว่า? ฉันควรจะกังวลหรือไม่

แท้จริงแล้วนี่คือสิ่งที่ฉันกำลังอ่าน:

Proto  Local Address          Foreign Address        State
TCP    127.0.0.1:2559         Someuser-PC:54735      TIME_WAIT

แท้จริงแล้วมันหมายถึงเครื่องท้องถิ่นของคุณที่อยู่ IP ของ 127.0.0.1 ใช้พอร์ต 2559 กำลังทำการเชื่อมต่อ TCP กับเครื่องรีโมตชื่อ Someuser-PC บนพอร์ต 54735 และรัฐคือ TIME_WAIT ซึ่งโดยทั่วไปหมายถึงการเชื่อมต่อถูกปิดในขณะนี้ แต่การเชื่อมต่อจะถูกเก็บไว้บนเครื่องของคุณในกรณีที่มีแพ็คเก็ตหลงทาง / พลัดหลงรอ / ต้องการการเชื่อมต่อนั้น

ตอนนี้ ทำไม การเชื่อมต่อที่ทำในบางจุด? กำกวม พอร์ตที่อยู่ในท้องถิ่นของ 2559 ดูเหมือนว่าจะเชื่อมต่อกับ โครงการ Linux Terminal Server (LSTP) ซึ่งอธิบายว่า:

โครงการ Linux Terminal Server เพิ่มการสนับสนุนไคลเอ็นต์แบบบางให้กับ Linux   เซิร์ฟเวอร์ LTSP เป็นโซลูชันที่ยืดหยุ่นและคุ้มค่า   เพิ่มขีดความสามารถของโรงเรียนธุรกิจและองค์กรต่างๆทั่วโลก   เพื่อติดตั้งและปรับใช้ไคลเอ็นต์แบบ thin ได้อย่างง่ายดาย

พอร์ตที่อยู่ต่างประเทศของ 54735 อยู่ในช่วงสูงของพอร์ตโดยทั่วไปถือว่า "ไดนามิก" หรือ "ส่วนตัว" แต่โดยทั่วไปมีความหมายว่า "ไม่มีแอปพลิเคชันมาตรฐานที่สำรอง / อ้างสิทธิ์พอร์ตนี้ในวิธีที่รู้จักดังนั้นพอร์ตเหล่านี้จะใช้สำหรับการสุ่ม / idiosyncratic การเชื่อมต่อ“.

ฉันไม่มีประสบการณ์อย่างลึกซึ้งกับ LSTP หรือฉันรู้หรือเข้าใจ - เฉพาะของการตั้งค่าของคุณ แต่เผินๆสิ่งนี้ดูเหมือนจะเป็นการเชื่อมต่อที่ถูกต้องและถูกต้องตามกฎหมาย โปรโตคอลจำนวนมากใช้พอร์ตที่รู้จักสำหรับไคลเอนต์จากนั้นพอร์ต "ส่วนตัว" แบบสุ่มบนเซิร์ฟเวอร์ปลายทาง ดังนั้นสิ่งนี้ดูเผินๆเหมือนพฤติกรรมปกติสำหรับฉัน แม้ว่าจะมีหลายสิบรายการที่ถูกแสดงโดย netstat เพราะโดยสุจริตบนพีซีที่มีระบบปฏิบัติการใด ๆ ที่ทำงานโดยทั่วไป netstat คำสั่งแบบนั้นโดยไม่ต้องกรองจะเพิ่งทิ้งกองรายการบนหน้าจอ การรับส่งข้อมูลเครือข่ายอาจมีเสียงดังในวันที่ดีและในระบบที่สะอาด

ตอนนี้ถ้าคุณบอกว่า Someuser-PC เป็นพีซีในเครื่องของคุณและมีการเชื่อมต่อจากโลคอล localback on ของคุณ 127.0.0.1จากนั้นทั้งหมดนี้สามารถเชื่อมต่อกับวิธีที่แอปพลิเคชันบางอย่างในเครื่องท้องถิ่นของคุณทำงานได้ ความหมายสำหรับทุกสิ่งที่คุณรู้ว่าคุณกำลังใช้งานซอฟต์แวร์บางตัวที่ทำการจำลองเทอร์มินัล LSTP ที่มีน้ำหนักเบาและรหัสหลักใช้แพ็กเก็ต TCP เพื่อสื่อสารกับแอปพลิเคชัน "เซิร์ฟเวอร์" ของผู้ปกครอง

แต่โดยความจริงแล้วด้วยข้อมูลที่น้อยที่สุดที่คำถามของคุณให้มามันยากที่จะพูดเป็นอย่างอื่นไม่ว่าจะเป็นเรื่องไม่ดีหรือดีก็ตาม ลำไส้ของฉันบอกฉันว่าคุณเพิ่งติดตั้งซอฟต์แวร์บางอย่างบนพีซีของคุณที่เรียบง่าย - และไม่ประสงค์ร้าย - โดยใช้การจำลองเทอร์มินัล LSTP เพื่อทำงาน ไม่มีอะไรมากและไม่มีอะไรน้อย