Conexões desconhecidas para hosts estrangeiros

Question

Quando eu executo netstat -a, muitas conexões para hosts estrangeiros aparecem. Ele está conectado a uma sub-rede inteira, isto é, 123.123.123.x à porta 80. Como posso ver o que realmente está acontecendo? Meu servidor não parece comprometido. Está executando o ArchLinux.

    

Answer 1

netstat tem uma opção -p que mostra qual programa está fazendo a conexão

$ wget http://serverfault.com &
$ netstat -ap
...
Proto Recv-Q Send-Q Local Address           Foreign Address         State       ID/Program
tcp        0      0 rgb.example.com:1034    stackoverflow.com:http  ESTABLISHED 2578/wget

Você pode usar ps para descobrir qual usuário está executando esse processo, qual é o processo pai e outras informações úteis.

Você pode usar tcpdump dst net 123.123.123 para ver quais dados estão sendo enviados e recebidos.