首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

Linux应急响应(二):捕捉连接

0x00 前言 连接(short connnection)是相对于长连接而言的概念,指的是在数据传送过程中,只在需要发送数据时,才去建立一个连接,数据发送完成后,则断开此连接,...0x01 应急场景 某天,网络管理员在出口WAF检测到某台服务器不断向中国香港I发起请求 ,感觉很奇怪,登录服务器排查,想要找到发起连接的进程。...有时候一直刷这条命令好十几次才会出现,像这种的连接极难捕捉到对应的进程和源文件。 手动捕捉估计没戏,很难追踪,于是动手写了一段小脚本来捕捉连接对应的pid和源文件。...done break fi done echo "Total number of times: "${i} 运行结果如下: 跑了三次脚本,可以发现连接每次发起的进程...Pid一直在变,但已经捕捉到发起该异常连接的进程源文件为 /usr/lib/nfsiod 0x04 小结 本文简单介绍了连接以及捕捉连接源文件的技巧,站在安全管理员的角度,应加强对网络安全设备的管理

71240

Linux应急响应day2:捕捉连接

前言 连接是相对于长链接而言的概念,指的是数据在传送过程中,只在需要发送数据时,才去建立一个链接,数据发送完成之后,则断开连接,即每次连接只完成一项业务的发送,在系统维护中,一般很难去觉察,需要借助网络安全设备或者抓包分析...日志分析 登录服务器查看端口,进程,并未发现服务器异常,但是当多次刷新端口时,可以查看该连接。...有时候一直刷这条命令好几次才会发现,像这种的连接极其难以捕捉到对应的进程和源文件, 手动估计没戏,很暗追踪于是动手写了一小段脚本来捕捉连接对应的pid和源文件。 脚本文件如下: #!...kill -9 $pid ​ done ​ break fi done echo "Total number of times: "${i} 最终得到了运行结果,发现连接每次发起的进程...pid一直在变,但已经捕捉到发起异常连接的文件为: /usr/lib/nfsiod 处理了即可。

26620
您找到你想要的搜索结果了吗?
是的
没有找到

连接原理探索

于是乎就想到用到了连接 刚刚对连接的思路探索了一下,其实很简单,给大家就介绍下得了。...当我们在浏览器里输入 http://v1wev.cn/kzf4C 时 DNS首先解析获得http://v1wev.cn 的 IP 地址 (这步跟链无关是多余的废话,大家应该都知道域名到ip的dns解析吧...) 当 DNS 获得 IP 地址以后(比如:12.101.225.72),会向这个地址发送 HTTP GET 请求,- 查询码zf4C获取其对应的长链接 http://v1wev.cn务器会通过短码...zf4C 获取对应的长 URL,也就是我们简书的首页(关于长短连接的映射关系存储方式就太多了,用本地缓存或者redis或者mysql都ok的) 最后请求通过 HTTP 301 转到对应的长 URLhttps...地址一经生成就不会变化,所以用 301 是符合 http 语义的。同时对服务器压力也会有一定减少。 但是如果使用了 301,我们就无法统计到地址被点击的次数了。

1.4K20

HTTP 长连接连接

HTTP协议与TCP/IP协议的关系 HTTP的长连接连接本质上是TCP长连接连接。HTTP属于应用层协议,在传输层使用TCP协议,在网络层使用IP协议。...HTTP是一个无状态的面向连接的协议,无状态不代表HTTP不能保持TCP连接,更不能代表HTTP使用的是UDP协议(无连接)。 3. 什么是长连接连接? 在HTTP/1.0中,默认使用的是连接。...HTTP协议的长连接连接,实质上是TCP协议的长连接连接。...3.2 TCP连接 我们模拟一下TCP连接的情况,client向server发起连接请求,server接到请求,然后双方建立连接。...3.4 长连接连接操作过程 连接的操作步骤是: 建立连接——数据传输——关闭连接…建立连接——数据传输——关闭连接连接的操作步骤是: 建立连接——数据传输…(保持连接)…数据传输——关闭连接 4

3.2K90

连接连接分析

TCP连接 我们模拟一下TCP连接的情况,client向server发起连接请求,server接到请求,然后双方建立连接。...解释1 所谓长连接指建立SOCKET连接后不管是否使用都保持连接,但安全性较差; 所谓连接指建立SOCKET连接后发送后接收完数据后马上断开连接,一般银行都使用连接 解释2 长连接就是指在基于tcp...HTTP协议之长、连接 一、长连接连接: 长连接:client方与server方先建立连接连接建立后不断开,然后再进行报文发送和接收。 这种方式下由于通讯连接一直存在。...二、长连接连接的操作过程: 连接的操作步骤是: 建立连接——数据传输——关闭连接...建立连接——数据传输——关闭连接连接的操作步骤是: 建立连接——数据传输......例如:数据库的连接用长连接,如果用连接频繁的通信会造成socket错误,频繁的socket创建也是对资源的浪费。 连接:web网站的http服务一般都用连接

3.2K90

连接连接详细解析

基于 socket 我们可以选择建立长连接或者连接,在实际运用中两者都有可能被用到。 长连接连接的区别 先带你来认识一下它俩的区别。...一般的默认定时间隔是 2 小时,你可以根据自己的需要在操作系统层面去调整这个间隔,不管是 Linux 还是 Windows 系统。...高频的原因我想你根据前面的内容也明白了,因为频次越高的话,使用连接带来的建立连接和关闭连接的总开销越大。...连接适用于:两个进程之间通信频率较低,或者属于无状态(可并行)的场景,否则并不是必选项。 其它情况就根据所需的侧重点来,比如侧重性能就长连接,侧重编码的便捷性就选择连接。...不知道大家对长连接连接的运用有什么样的经验和认识呢?欢迎在下方评论区留言,我们一起讨论。

9K31

连接连接的区别?

---- 什么是长连接? 指客户端和服务端建立连接后,不立即断开连接,并在此连接的基础上进行多次消息交互,直至连接的任意一方(客户端或服务端)主动断开连接。 什么是连接?...指客户端和服务端仅需要连接一次,通讯完后立即断开。 长链接与链接有什么区别?...对比名称 长连接 边接 连接次数 较少,建立一次连接后,开辟的连接可以多轮交互 较多,每次都需要重新建立连接 相关协议 http1.1、websockeet、tcp http1.0、udp 内存开销...较多,由于每次都占用着线程,所以会有一定的开销 较少,每次连接后快速断开,可以减少不必要的内存占用 长连接连接的应用场景有哪些?...的http访问等这些都是连接的应用。

2K20

linux epoll机制详解

linux 没有实现epoll事件驱动机制之前,我们一般选择用select或者poll等IO多路复用的方法来实现并发服务程序。在linux新的内核中,有了一种替换它的机制,就是epoll。...epoll的设计和实现与select完全不同。epoll通过在Linux内核中申请一个简易的文件系统(文件系统一般用什么数据结构实现?B+树)。...100万个连接的套接字 3)调用epoll_wait收集发生的事件的连接 如此一来,要实现上面说是的场景,只需要在进程启动时建立一个epoll对象,然后在需要的时候向这个epoll对象中添加或者删除连接...同时,epoll_wait的效率也非常高,因为调用epoll_wait时,并没有一股脑的向操作系统复制这100万个连接的句柄数据,内核也不需要去遍历全部的连接。...epoll实现机制 当某一进程调用epoll_create方法时,Linux内核会创建一个eventpoll结构体,这个结构体中有两个成员与epoll的使用方式密切相关。

3.7K34

MySQL -- 连接 + 慢查询

连接 连接模式:连接到数据库后,执行很少的SQL后就断开,下次需要的时候再重连 在业务高峰期,会出现连接数突然暴涨的情况 MySQL建立连接的成本非常昂贵 成本:TCP/IP三次握手 + 登录权限判断...+ 获取连接的数据读写权限 max_connections max_connections:MySQL实例同时存在的连接数上限 当连接数超过max_connections,系统会拒绝接下来的连接请求,...返回:Too many connections 当连接被拒绝,从业务角度来看是数据库不可用 如果机器负载较高,处理现有请求的时间会变长,每个连接保持的时间也会变长 如果再有新建连接的话,很容易触发max_connections...CPU资源去执行业务SQL 清理Sleep状态的连接 KILL CONNECTION:主动踢除不需要保持的连接(与wait_timeout的效果一样) 时刻 sission A session B session...如果断开sission A的连接,会回滚事务 如果断开sission B的连接,没有任何影响 优先断开事务外空闲的连接 再考虑断开事务内空闲的连接 事务外空闲 ?

2.5K20

time_wait与长连接连接

先查看本机监听80端口的time_wait状态,可以看到不同客户端的ip端口,来连接我的服务端,并且是我服务端主动关闭连接,因此可以看到time_wait,这些对我们服务器没有影响.因为这是http的连接...,肯定是会请求过来就创建一个连接,请求结束就关闭连接....还有就是真正占用服务器端口的是,当需要连接数据库时,比如我需要连接数据库的3960端口,这个时候我的服务器会随机占用本机的端口,连接远程的3960端口.因为php连接数据库是使用的连接,每次请求都会在创建连接...那么如果php使用长连接连接数据库呢?...这个时候就是每一个fpm子进程创建一个连接,有多少个子进程就会有多少连接,并且连接是不会断掉的.当然如果子进程的数量特别多,会占用mysql的连接数,所以这里我们的项目里也是使用的连接. show variables

1.5K30

HTTP的连接、长连接管理

打开和保持连接影响网站和 Web 应用程序性能。在 HTTP/1.x 里有多种模型:连接, 长连接, 和 HTTP 流水线。...连接模型 HTTP 的传输协议主要依赖 TCP 提供从客户端到服务器端之间的连接。早期 HTTP 使用一个简单模型来处理这样的连接。...连接 HTTP 最早期的模型,也是 HTTP/1.0 的默认模型,是连接。...TCP 协议握手本身就耗费时间,所以 TCP 可以保持更多的热连接来适应负载。连接破坏了 TCP 具备的能力,新的冷连接降低了其性能。...长连接 连接有两个比较大的问题: 创建新连接耗费的时间尤为明显 TCP 连接的性能只有在该连接被使用一段时间后(热连接)才能得到改善 为了缓解这些问题,长连接便被设计,甚至在 HTTP/1.1 之前。

97010

MySQL 线程池&连接池&长连接&连接

4、当线程数过多时,如果大部分线程都处于活跃状态,会导致频繁的上下文切换,从而造成系统巨大的开销 5、线程的本质就是线程共用,多个连接之间共享线程 何时使用 1、在有大量查询的业务场景下 2、大量长查询的业务场景下不适合使用线程池...) 连接池 简介 1、连接池是一些网络代理服务或应用服务器的特性(如J2EE服务器) 2、实现了一个持久连接的“池”,允许其它程序,客户端来连接 3、连接池将被所有连接的客户端共享使用 4、连接池可以加速连接...,也可以减少数据库连接,降低数据库服务器的负载 连接 简介 1、程序和数据库通信时建立连接,执行操作后,连接关闭 2、基本步骤:连接->数据传输->关闭连接 3、慢速网络下使用连接连接的开销会很大...,则建立一个新的连接(“相同”指用相同的用户名和密码到相同主机的连接) 4、客户端角度,不用每次创建新连接,若客户端对服务器的连接请求很频繁,永久连接将更高效 5、对于高并发业务,若果可能会碰到连接的冲击时...长短连接都无法解决问题,应该进行合理的设计和优化来避免性能问题 持久连接连接池的区别 长连接是一些驱动、驱动框架,ORM工具的特性,由驱动来保持连接句柄的打开,以便后续的数据库操作可以重用连接,从而减少数据库的连接开销

1.6K20

TCPIP,http,RPC、SOA、长连接连接

http的长连接连接,本质上是tcp层的长连接连接: http 1.0 默认使用连接, http 1.1 默认使用长连接,在使用的http协议,在响应头会加上 Connection:keep-alive...TCP连接 TCP连接,client向server发起连接请求,server接到请求,然后双方建立连接。...例如:数据库的连接用长连接,如果用连接频繁的通信会造成socket错误,频繁的socket创建也是对资源的浪费。 连接:web网站的http服务一般都用连接。...因为长连接对于服务器来说要耗费一定的资源。像web网站这么频繁的成千上万甚至上亿客户端的连接连接更省一些资源。...及时通信与游戏的长短连接 实际场合究竟需要使用连接还是长连接,主要看实时性要求、数据流向和并发量这三个问题。

2.7K20

RabbitMQ——连接惹的祸

于是大胆猜测生产者采用了"连接"的方式,也就是每次发送消息时都新创建一条TCP连接,或者同一TCP连接上新打开一个通道,发送完消息后,关闭了连接或通道,并不断进行重复。...为了验证猜测,反推找到队列对应生产者的连接,在WEB界面上看到了该生产者连接的通道信息在不断变化,一会有1000多个通道,一会一个也没有了。...同样,tcpdump抓包也进一步确认了生产者对应的连接上在不断重复的打开通道,发送消息,关闭通道。 至此,断定就是生产者采用了连接的方式进行消息的发送导致了本次问题。...与对应的开发人员沟通,改成了长连接的方式后,问题得以解决。 【原理分析】 问题虽然是解决了,但仍旧有疑惑:例如队列进程中大量的credit_to记录与buffer的堆积有什么关联?...因此,就存在这么一种情况,生产者使用"连接"的方式持续发送大量消息,队列收到这些消息并且在处理的过程中生产者通道关闭了,那么通道DOWN的消息会因为优先级较高而被插入到了buffer的头部。

82120

linux源码看epoll

前言 在linux的高性能网络编程中,绕不开的就是epoll。和select、poll等系统调用相比,epoll在需要监视大量文件描述符并且其中只有少数活跃的时候,表现出无可比拟的优势。...本文就是笔者在探究epoll源码过程中,对kernel将就绪描述符添加到epoll并唤醒对应进程的一次源码分析(基于linux-2.6.32内核版本)。...,(struct sockaddr *)&client_addr,&client_len))); // 将连接描述符注册到对应的worker里面 epoll_ctl(reactor->client_fd...fd中 int client_fd = accept(listen_fd,(struct sockaddr *)&client_addr,&client_len))); // 将连接描述符注册到对应的...总结 epoll作为linux下非常优秀的事件触发机制得到了广泛的运用。其源码还是比较复杂的,本文只是阐述了epoll读写事件的触发机制,探究linux kernel源码的过程非常快乐_。

2.2K20

Linux epoll 源码分析 3

在上一篇文章 Linux epoll 源码分析 2 中,我们分析了 epoll_ctl 的 ep_insert 方法,在这里我们继续看下 ep_remove 和 ep_modify 方法。...return 0; } 再看下ep_modify 方法 static int ep_modify(struct eventpoll *ep, struct epitem *epi, struct epoll_event...return 0; } 该方法的逻辑和ep_insert方法里的逻辑比较像,它先覆盖epitem中epoll_event的旧值,然后检查该文件当前已经就绪的事件,如果这些事件中有我们感兴趣的事件,则把epitem...放到eventpoll的rdllist队列中,最后通知因调用epoll_wait堵塞的线程,它们可以继续执行了。...至此,epoll的所有逻辑都已讲完。 有关tcp在何种情况下,会通知给epoll何种事件,我们会在其他文章中详细讲解。

1.7K30
领券