标签：结构   expr   方向   targe   导致   资源   过滤   没有   单位   

网络地址是 100.0.0.16
广播地址是 100.0.0.31
可分配地址范围是 100.0.0.17–100.0.0.30

2. 使用man手册学习tcpdump的使用

tcpdump是用于转存网络上的数据流。
语法格式如下：
tcpdump [option…] [expression]
常用选项    含义
-c  接收指定数量数据包后退出
-i  指定监听的网卡接口
-l  标准输出
-n  不将数字格式转换名字
几种关键字   类型
host,port   指定类型的关键字
src,dst,src or dst  确定传输方向的关键字
tcp,udp,arp,ip  指定协议的关键字
gateway,broadcast   其他关键字
支持的运算符  含义
and (&&)    与运算
or (||)     或运算
not (!)     非运算
>   大于
<   小于
=   等于
>>  右移
<<  左移
proto[x:y]  过滤从x字节开始的y字节数
示例  用途
tcpdump -i eth1     监视eth1接口
tcpdump host 210.27.48.1    截获所有210.27.48.1 的主机收到的和发出的所有的数据包
tcpdump -i eth0 src host webserver  截获主机webserver发送的所有数据
tcpdump -i eth0 dst host webserver  监视所有发送到主机webserver的数据包
tcpdump tcp port 23 and host 210.27.48.1    获取主机210.27.48.1接收或发出的telnet包
tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap     
tcpdump -i eth1 ‘((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))’  抓取所有经过eth1，目的地址是192.168.1.254或192.168.1.200端口是80的TCP数
tcpdump -i eth1 ‘((icmp) and ((ether dst host 00:01:02:03:04:05)))’     抓取所有经过eth1，目标MAC地址是00:01:02:03:04:05的ICMP数据
tcpdump -i eth1 ‘((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))’  抓取所有经过eth1，目的网络是192.168，但目的主机不是192.168.1.200的TCP数据
tcpdump -i eth1 ‘ip[0] & 0x0f > 5’  同tcpdump -i eth1 ‘ip[0] & 15 > 5’
tcpdump -i eth1 ‘((ip[6:2] > 0) and (not ip[6] = 64))’  匹配分片和最后分片
tcpdump -i eth1 ‘tcp[tcpflags] = tcp-syn’   只抓SYN包
tcpdump -i eth1 ‘((port 25) and (tcp[(tcp[12]>>2):4] = 0x4d41494c))’    抓取数据区开始为"MAIL"的包，"MAIL"的十六进制为0x4d41494c。其中>>是右移运算符

3. 详细叙述僵尸进程产生的原因以及危害

僵死进程产生的原因是：父子进程关系中，子进程退出后不会马上消失，而是留下了包含PID等信息的数据结构，然后向父进程发送SIGCHILD信号通知父进程处理，但是父进程由于某种原因并没有处理，导致子进程一直处于僵死状态。
僵死进程的危害：僵死进程不能使用kill命令来终止，因为僵死进程被认为是已经结束的进程。由于僵死进程占用了PID等系统资源，过多的僵死进程将导致系统没有PID可用，进而系统无法再产生新的子进程。
僵死进程的解决办法：杀掉产生僵死进程的父进程。如果僵死进程的父进程是init进程，那只有重启系统才能解决。此方法能解决僵死进程是由于父进程被杀掉后，它下面的子进程就变成了孤儿进程，最后被init进程接收。
关于僵死进程和孤儿进程：僵死进程是子进程生命终结后，父进程把它遗忘掉了，没有替他收尸，于是就成了僵死。孤儿进程是父进程老来得子还没有等到给子进程收尸，自己就挂了，于是就产生了孤儿进程。

4. 详细说明vmstat输出结果的含义

vmstat
procs -----------memory---------- ---swap-- -----io---- -system-- ------cpu-----
r b swpd free buff cache si so bi bo in cs us sy id wa st
2 0 0 608648 2208 311776 0 0 10 3 33 34 0 0 100 0 0```

procs部分 含义
r 可运行进程的个数，与核心数有关
b 处于不可中断睡眠进程的个数（被阻塞队列的长度）
memory部分（单位KB） 含义
swpd 交换内存的使用总量
free 空闲物理内存总量
buffer 用于buffer的内存总量
cache 用于cache的内存总量
swap部分 含义
si 从磁盘交换进内存的数据速率（KB/s)
so 从内存交换至磁盘的数据速率（KB/s)
io部分 含义
bi 从块设备读入到系统的数据速率
bo 保存数据到块设备的速率
system部分 含义
in 中断速率，包括时钟
cs context switch 进程切换速率
cpu部分 含义
us 用户进程消耗的CPU时间百分比
sy 内核进程消耗的CPU时间百分比
id 空闲时间百分比 ，Linux 2.5.41前,包括IO-wait time.
wa IO等待消耗的CPU时间百分比
st 虚拟机消耗的CPU时间百分比 ，2.6.11前此项是unknown

linux知识总结（一）

标签：结构   expr   方向   targe   导致   资源   过滤   没有   单位   

原文地址：https://blog.51cto.com/14414023/2426510