Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате
Форум программистов > *NIX системы: Общие вопросы > увидеть открытые сокеты


Автор: SparF 2.2.2007, 16:09
Начну немного издалека)
Есть две машины:
ноутбук 192.168.0.80
сервер 192.168.0.81, на котором расшарен через samb'у каталог
на ноуте он примонтирован
Код

# mount
...
//192.168.0.81/share on /mnt/room8sh type smbfs (0)

сижу за ноутом, ковыряю систему, страдаю ерундой и т.д. играюсь с lsof, в xmms играет музыка из  этого примонтированного каталога (т.е. файлы реально находятся на другой машине)
запускаю lsof -i и что я вижу там ((
Код

# lsof -i
COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
inetd   2170 root    4u  IPv4   6406       TCP *:time (LISTEN)
inetd   2170 root    5u  IPv4   6407       UDP *:time
inetd   2170 root    6u  IPv4   6408       UDP *:biff
inetd   2170 root    7u  IPv4   6409       TCP *:auth (LISTEN)
sshd    2178 root    3u  IPv6   6432       TCP *:ssh (LISTEN)
X       2312 root    1u  IPv6   6762       TCP *:x11 (LISTEN)
X       2312 root    3u  IPv4   6763       TCP *:x11 (LISTEN)

в голове сразу мысли непонятные - музыка вроде играет, а сокета открытого нет ...накануне ничего не пил и не курил))
Код

# tcpdump -c 20 -n host 192.168.0.81
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
15:33:28.224677 IP 192.168.0.80.3143 > 192.168.0.81.445: P 1947009167:1947009294(127) ack 1064157142 win 11753 <nop,nop,timestamp 38953 13558868>
15:33:28.224870 IP 192.168.0.81.445 > 192.168.0.80.3143: P 1:165(164) ack 127 win 1662 <nop,nop,timestamp 13559144 38953>
15:33:28.224912 IP 192.168.0.80.3143 > 192.168.0.81.445: . ack 165 win 11753 <nop,nop,timestamp 38953 13559144>
15:33:28.972117 IP 192.168.0.80.3143 > 192.168.0.81.445: P 127:190(63) ack 165 win 11753 <nop,nop,timestamp 39140 13559144>
15:33:28.972812 IP 192.168.0.81.445 > 192.168.0.80.3143: . 165:1613(1448) ack 190 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.972864 IP 192.168.0.80.3143 > 192.168.0.81.445: . ack 1613 win 11753 <nop,nop,timestamp 39140 13559331>
15:33:28.972939 IP 192.168.0.81.445 > 192.168.0.80.3143: . 1613:3061(1448) ack 190 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.972950 IP 192.168.0.80.3143 > 192.168.0.81.445: . ack 3061 win 11753 <nop,nop,timestamp 39140 13559331>
15:33:28.973047 IP 192.168.0.81.445 > 192.168.0.80.3143: P 3061:4324(1263) ack 190 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.973064 IP 192.168.0.80.3143 > 192.168.0.81.445: . ack 4324 win 11654 <nop,nop,timestamp 39140 13559331>
15:33:28.973817 IP 192.168.0.80.3143 > 192.168.0.81.445: P 190:253(63) ack 4324 win 11753 <nop,nop,timestamp 39140 13559331>
15:33:28.974282 IP 192.168.0.81.445 > 192.168.0.80.3143: . 4324:5772(1448) ack 253 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.974413 IP 192.168.0.81.445 > 192.168.0.80.3143: . 5772:7220(1448) ack 253 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.974434 IP 192.168.0.80.3143 > 192.168.0.81.445: . ack 7220 win 11753 <nop,nop,timestamp 39140 13559331>
15:33:28.974519 IP 192.168.0.81.445 > 192.168.0.80.3143: P 7220:8483(1263) ack 253 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.975248 IP 192.168.0.80.3143 > 192.168.0.81.445: P 253:316(63) ack 8483 win 11753 <nop,nop,timestamp 39140 13559331>
15:33:28.975822 IP 192.168.0.81.445 > 192.168.0.80.3143: . 8483:9931(1448) ack 316 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.975828 IP 192.168.0.81.445 > 192.168.0.80.3143: . 9931:11379(1448) ack 316 win 1662 <nop,nop,timestamp 13559331 39140>
15:33:28.975879 IP 192.168.0.80.3143 > 192.168.0.81.445: . ack 11379 win 11753 <nop,nop,timestamp 39140 13559331>
15:33:28.975917 IP 192.168.0.81.445 > 192.168.0.80.3143: P 11379:12642(1263) ack 316 win 1662 <nop,nop,timestamp 13559331 39140>
20 packets captured
40 packets received by filter
0 packets dropped by kernel

говорит о том, что трафик идет (( а вот через что, и как это отследить.... как узнать, к примеру, кто именно открыл (временами отрывает) порт 3143?
заранее спасибо)

Добавлено @ 16:12 
упс....чего-то я ступил.....нашел в гугле про socklist
вопрос закрыт.....
(до этого сутки нета не было - голову полночи ломал......)

Автор: bilbobagginz 2.2.2007, 16:21
smile если у вас параноя, то это не значит, что они за вами не следят....

Автор: SparF 2.2.2007, 16:28
в данном конкретном случае
Код

# socklist
type  port      inode     uid    pid   fd  name
tcp     37       6406       0   2170    4  inetd
tcp   6000       6763       0   2312    3  X
tcp    113       6409       0   2170    7  inetd
tcp   3143       6381       0      0    0
udp    512       6408       0   2170    6  inetd
udp     37       6407       0   2170    5  inetd

а узнать куда идут соединения с порта/на порт можно через tcpdump...
оппаньки  - а результаты-то не совпадают......
Код

# socklist
type  port      inode     uid    pid   fd  name
tcp     37       6406       0   2170    4  inetd
tcp   6000       6763       0   2312    3  X
tcp    113       6409       0   2170    7  inetd
tcp   3143       6381       0      0    0
udp    512       6408       0   2170    6  inetd
udp     37       6407       0   2170    5  inetd
# lsof -i
COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
inetd   2170 root    4u  IPv4   6406       TCP *:time (LISTEN)
inetd   2170 root    5u  IPv4   6407       UDP *:time
inetd   2170 root    6u  IPv4   6408       UDP *:biff
inetd   2170 root    7u  IPv4   6409       TCP *:auth (LISTEN)
sshd    2178 root    3u  IPv6   6432       TCP *:ssh (LISTEN)
X       2312 root    1u  IPv6   6762       TCP *:x11 (LISTEN)
X       2312 root    3u  IPv4   6763       TCP *:x11 (LISTEN)
# socklist
type  port      inode     uid    pid   fd  name
tcp     37       6406       0   2170    4  inetd
tcp   6000       6763       0   2312    3  X
tcp    113       6409       0   2170    7  inetd
tcp   3143       6381       0      0    0
udp    512       6408       0   2170    6  inetd
udp     37       6407       0   2170    5  inetd
# lsof -i
COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
inetd   2170 root    4u  IPv4   6406       TCP *:time (LISTEN)
inetd   2170 root    5u  IPv4   6407       UDP *:time
inetd   2170 root    6u  IPv4   6408       UDP *:biff
inetd   2170 root    7u  IPv4   6409       TCP *:auth (LISTEN)
sshd    2178 root    3u  IPv6   6432       TCP *:ssh (LISTEN)
X       2312 root    1u  IPv6   6762       TCP *:x11 (LISTEN)
X       2312 root    3u  IPv4   6763       TCP *:x11 (LISTEN)

помогите понять....

Автор: bilbobagginz 2.2.2007, 16:31
убей inetd/xinetd.
Цитата

а узнать куда идут соединения с порта/на порт можно через tcpdump...

всё просто:
sockstat тебе показывает "открытые", т.е. те сокеты, которые сделали listen().
tcpdump - это сниффер, он показывает все сообщения всех протоколов, которые знает - т.е. и те, которые сделали connect() и вообще всякие другие - разные низкоуровневые протоколы.
Короче, tcpdump показывает другую информацию чем sockstat.

пока.

Автор: SparF 2.2.2007, 16:39
Искал sockstat, оказалось, что это "бсдевое"...у мене Линух - совсем забыл сказать (sorry)
а последний вопрос, собственно, возник из-за того, что результаты socklist и lsof -i  отличаются  - вот это понять вообще не могу (

# uname -a
Linux unknown 2.6.17.13 #1 Sat Sep 9 01:11:49 CDT 2006 i686 pentium4 i386 GNU/Linux

Автор: SparF 3.2.2007, 02:14
Собственно вопрос вот в чем: 
и та и другая утилита показывают список сокетов, но по какому принципу они их отбирают, и можно ли положиться хоть на одну окончательно?
Если socklist  показывает вообще все открытые сокеты, то что выдает lsof -i
учитывая то, что
Код

 tcp   3143       6381       0      0    0

присутствует в выводе socklist и отсутствует в выводе  lsof -i
и наоборот:
Код

sshd    2178 root    3u  IPv6   6432       TCP *:ssh (LISTEN)

есть в  lsof -i и нет в socklist
Сейчас проверил на работе (самбу, правда не включал)
все, что встречается в socklist обязательно присутствует в  lsof -i
дистриб: и там и там - слака 11.
 smile 
начинаю рыть сырцы.......

Автор: MAKCim 3.2.2007, 11:16
SparF, 
посмотри netstat

Powered by Invision Power Board (http://www.invisionboard.com)
© Invision Power Services (http://www.invisionpower.com)