netstat 명령어 옵션 및 사용법

netstat란?

- 네트워크 접속, 라우팅 테이블, 네트워크 인터페이스의 통계 정보를 보여주는 도구이다.

리눅스 환경과 윈도우 cmd 모두에서 사용할 수 있다.

 

사용 방법:

netstat [옵션] | [포트번호 or 서비스 명]

 

netstat 옵션

-l (listen)	연결 가능한 상태
-n (number port)	포트 넘버
-t (tcp)	tcp
-u (udp)	udp
-p (PID)	프로그램 이름 / PID 번호
-a (all)	모두
-i	이더넷 카드별 정상/에러/드랍 송수신 패킷 수 확인
-r (routing table)	라우팅 테이블
-s	네트워크 통계이다. 프로토콜별로 통계를 표시한다. 기본값으로 IP, ICMP, TCP, UDP 이다.
-b	각 연결 또는 수신 대기 포트를 만드는데 관련된 실행프로그램을 표시한다. 잘 알려진 실행 프로그램에서 여러 독립 구성 요소를 호스팅하는 경우에는 연결 또는 수신 대기 포트를 만드는데 관련된 구성 요소의 시퀀스가 표시된다. 이런 경우에는 실행 프로그램 이름이 아래쪽 대괄호 안에 표시되고 위에는 TCP/IP에 도달할 때까지 호출된 구성 요소가 표시되어있다. 이 옵션은 시간이 오래걸리며 권한이 없으면 실패한다.
-e	이더넷 통계를 표시한다. 이 옵션은 s와 같이 사용될 수 있다.
-v	-b 옵션과 함께 사용하면 모든 실행 프로그램에 대한 연결또는 수신 대기 포트를 만드는데 관련된 구성 요소의 시퀀스를 표시한다.

 

자주 사용하는 옵션 예시

 

netstat -nap : 연결을 기다리는 목록과 프로그램을 보여준다.

netstat -an | grep 포트번호 : 특정 포트가 사용 중인지 확인한다.

netstat -nlpt : TCP listening 상태의 포트와 프로그램을 보여준다.

netstat -anb : 자세한 라이브러리까지 보여주어 유용성이 커 보이지만 결과를 호출하는 시간이 오래걸린다.

netstat -ano : -anb 대용으로 사용되어서 PID를 표시한다.

 

netstat 명령어 뒤에 숫자를 붙이면 ex) 5  5초에 한 번씩 명령어를 친 결과가 출력된다.

 

netstat 상태 값 분석

CLOSED	완전히 연결이 종료된 상태
CLOSING	흔하지 않으나 주로 확인 메세지가 전송 도중 유실된 상태
CLOSE_WAIT	TCP연결이 상위 응용프로그램 레벨로부터 연결 종료를 기다리는 상태
ESTABLISHED	서버와 클라이언트 간에 세션 연결이 성립되어 통신이 이루어지고 있는 상태 (클라이언트가 서버의 SYN을 받아서 세션이 연결된 상태)
FIN_WAIT1	클라이언트가 서버에게 연결을 끊고자 요청하는 상태 (FIN을 보낸 상태)
FIN_WAIT2	서버가 클라이언트로부터 연결 종료 응답을 기다리는 상태 (서버가 클라이언트로부터 FIN 받은 후, 클라이언트에게 ACK 보냈을 때)
LAST_ACK	호스트가 원격지 호스트의 연결 종료 요구 승인을 기다리는 상태 (서버가 클라이언트에게 FIN을 보냈을 때)
LISTEN	서버의 데몬이 떠 있어서 클라이언트의 접속 요청을 기다리고 있는 상태
SYN_SENT	클라이언트가 서버에게 연결을 요청한 상태
SYN_RECEIVED	서버가 클라이언트로부터 접속 요구(SYN)를 받아 클라이언트에게 응답 (SYN/ACK)하였지만, 아직 클라이언트에게 확인 메세지 (ACK)는 받지 못한 상태
TIME_WAIT	연결은 종료되었지만 당분간 소켓을 열어놓은 상태, 약 1분정도이며 시간이 지나면 사라짐
UNKNOWN	소켓의 상태는 알 수 없음

 

SYN_RECEIVED를 이용한 공격도 가능하다. 웹서버에 요청을 하고 연결을 끊어버리는 공격을 지속적으로 수행하면,

웹 서버는 대기 상태로 남아있게 되는데, 서버의 자원은 한정적이기에 자원 부족으로 기타 서비스들까지 hang 상태로

빠지게 된다.