【From】 部分摘录如下
https://blog.51cto.com/soarwilldo/1350111
https://cloud.tencent.com/developer/article/1090661
https://blog.csdn.net/qq_31278903/article/details/83146031
https://blog.csdn.net/shooke/article/details/79975114
https://www.cnblogs.com/youxin/p/8837771.html (strace)
网络
查看TCP连接状态
netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn netstat -n | awk '/^tcp/ {++S[$NF]};END {for(a in S) print a, S[a]}' netstat -n | awk '/^tcp/ {++state[$NF]} END {for(key in state) print key,state[key]}' /^tcp/ 滤出tcp开头的记录，屏蔽udp, socket等无关记录。 state[] 相当于定义了一个名叫state的数组 NF 表示记录的字段数，如上所示的记录，NF等于6 $NF 表示某个字段的值，如上所示的记录，$NF也就是$6，表示第6个字段的值，也就是TIME_WAIT state[$NF] 表示数组元素的值，如上所示的记录，就是state[TIME_WAIT]状态的连接数 ++state[$NF] 表示把某个数加一，如上所示的记录，就是把state[TIME_WAIT]状态的连接数加一 END 表示在最后阶段要执行的命令 for(key in state) 遍历数组 print key,"/t",state[key] 打印数组的键和值，中间用/t制表符分割，美化一下。 netstat -n | awk '/^tcp/ {++state[$NF]}; END {for(key in state) print key,"/t",state[key]}' netstat -n | awk '/^tcp/ {++arr[$NF]};END {for(k in arr) print k,"/t",arr[k]}' netstat -n |awk '/^tcp/ {print $NF}'|sort|uniq -c|sort -rn netstat -ant | awk '{print $NF}'| grep -v '[a-z]'| sort | uniq -c netstat -ant|awk '/ip:80/{split($5,ip,":");++S[ip[1]]}END{for (a in S) print S[a],a}'|sort -n netstat -ant|awk '/:80/{split($5,ip,":");++S[ip[1]]}END{for (a in S) print S[a],a}'|sort -rn|head -n 10 awk 'BEGIN{printf ("http_code/tcount_num/n")}{COUNT[$10]++}END{for (a in COUNT) printf a"/t/t"COUNT[a]"/n"}'
查找请求数请20个IP（常用于查找攻来源）：
netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F:'{print $1}'|sort|uniq -c|sort -nr|head -n20
netstat -ant |awk '/:80/{split($5,ip,":");++A[ip[1]]}END{for(i in A) print A[i],i}'|sort -rn|head -n20
用tcpdump嗅探80端口的访问看看谁最高
tcpdump -i eth0 -tnn dst port 80-c 1000| awk -F"."'{print $1"."$2"."$3"."$4}'| sort | uniq -c | sort -nr |head -20
查找较多time_wait连接
netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20
找查较多的SYN连接
netstat -an | grep SYN | awk '{print $5}'| awk -F:'{print $1}'| sort | uniq -c | sort -nr | more
根据端口列进程
netstat -ntlp | grep 80| awk '{print $7}'| cut -d/-f1
网络工具
ping：通过ICMP回应/回复报文来检查远端主机的端到端连接性（RTT延时，抖动，丢包）。用来检查系统状态和可连接性很不错。 phping：网络扫描和检测工具，可以产生ICMP/TCP/UDP ping数据包。常常用于高级端口扫描，防火墙测试，手动MTU路径发现和碎片测试。 traceroute：通过TTL限定的ICMP/UDP/TCP侦测包来发现从本地主机到远端目标主机之间的第三层转发路径。用来调试网络连接性和路由问题。 mtr：traceroute的一个变种，能根据运行时统计数据整理出每一跳的包丢失/抖动。用来评估路由路径延时很不错。 netcat/socat：TCP/IP网络里的瑞士军刀，可以读/写 TCP/UDP 协议字节流。用来调试防火墙策略和服务可用性很不错。 dig：DNS调试工具，可以生成正向查询，反向查询，搜索域名服务器，检查CNAME，MX和其他DNS记录。可以在侦错的时候查询特定的DNS服务器。 nslookup：另外一个DNS检查/调试工具。支持所有DNS查询和记录。可以查询特定DNS服务器。 dnsyo：一个DNS测试工具，通过对全世界1500个不同网络中的大量开放解析器执行DNS查询来测试DNS传输。 lsof：显示进程打开的文件信息（例如，普通文件，管道或套接字）。用来监视网络连接很不错。 iftop：一个基于ncurses的命令行界面应用，可以实时监视各个网络物理接口上的网络连接和带宽占用。用来记录霸占带宽的应用、用户、目的地和端口等很不错。 netstat：一个网络统计工具，可以显示状态以及统计信息，当前网络连接（TCP/UDP端口，IP地址）、路由表、TX/RX traffic以及网络协议。用来做网络相关诊断和性能调试很不错。 tcpdump：一个常用的基于libpcap抓包库的包侦测工具。可以按伯克利包过滤器格式定义抓包条件。 tshark：另一个命令行抓包工具，和它的GUI版本Wireshark完全兼容。支持1000种协议而且这个列表还在增加。用来调试、分析和保存实时网络封包信息很不错。 ip：一个多功能的命令行网络工具，是iproute2包的一部分。可以检查和修改路由表、网络设备状态以及IP隧道设置。用来查看路由表、增加/删除静态路由、配置网络接口、以及调试路由问题很有用。 ifup/ifdown：用来激活和关闭特定的网络接口。经常用于重启整个网络服务。 autossh：一个能建立SSH连接并在断线后自动重新连接的程序。用来创建长时间保持的穿越严格企业网络的SSH隧道很有用。 iperf：一个网络测试工具，通过在发送自定义TCP/UDP数据流来衡量主机间双向最大吞吐量。 elinks/lynx：为基于命令行的服务器环境下使用的基于文字的网页浏览器。
安全工具
iptables：一个用户空间下的命令行工具，用于配置Linux内核防火墙。可以创建和修改Linux内核空间的网络包接收、转发和发送规则。 nmap：一个常用的为了安全审查目的的端口扫描和网络发现工具。用来在本地网络中找出哪些主机开机并运行起来了以及某台特定主机打开了哪些端口很有用。 TCP Wrappers：一个主机端的网络访问控制列表工具，可以过滤进入/出去的网络请求/回复。经常配合iptables一起使用，作为额外一层安全保护。 getfacl/setfacl：查看和定制文件和目录的访问控制列表，作为传统文件权限的扩展。 cryptsetup：用于创建和管理LUKS加密磁盘分区。 lynis：一个命令行的漏洞扫描工具。可以扫描整个Linux系统，并汇报潜在的漏洞以及相关可能解决方案。 maldet：一个恶意软件扫描命令行工具，可以检测和隔离潜在的感染文件。可以在后台运行长期监视。 rkhunter/chkrootkit：一个命令行工具，可以扫描本地系统里的潜在木马、隐藏后门和可疑利用，并禁用它们。
存储工具
fdisk：一个磁盘分区编辑工具。用于查看、创建和修改本地磁盘或可移动磁盘的分区。 sfdisk：fdisk的一个变种，能用一种非交互的方式访问或更新磁盘分区表。用来自动化备份和恢复过程中的磁盘分区很有用。 parted：另一个磁盘分区编辑器，支持超过2TB的磁盘的GPT（GUID分区表）格式。gparted是parted的一个前端GTK+图形界面。 df：用来查看不同分区或文件路径的已用/可用存储空间和挂载点。还有一个更易用的变种dfc。 du：用来查看不同文件和目录的当前磁盘占用情况（例如，du -sh *）。 mkfs：一个磁盘格式化命令，用来在独立磁盘分区上建立文件系统。有多个文件系统相关的版本：ext2、ext3、ext4、bfs、ntfs、vfat/fat。 fsck：一个命令行工具，用来检查文件系统错误并尝试可能的修复。通常在启动时自动运行，但是在卸载一个分区后也可以根据需要手动运行。 mount：用来映射一个物理磁盘分区、网络共享或远程存储到一个本地挂载点。任何对挂载点里的读/写操作都是对应实际存储的实际数据读/写。 mdadm：一个命令行工具，用来管理物理块设备上的软件RAID设备。可以创建、构造、增长或监视RAID阵列。 lvm：一套命令行工具集，用来管理卷分组和物理/逻辑卷，可以用最小的停机时间在多个物理磁盘上创建、调整大小、拆分和合并卷。
日志访问工具
tail：用来查看一个（增长中的）日志文件的尾部。有几个变种，包括multitail（多窗口查看）和ztail（支持inotify和正则表达式过滤以及颜色）。 logrotate：一个命令行工具，可以在根据设定的时间段拆分、压缩并通过邮件发送旧的/大的日志文件。用来管理可能产生大量日志文件的繁忙主机很有用。 grep/egrep：可以通过特定的模式或正则表达式过滤日志内容。变种包括用户更友好的ack和速度更快的ag。 awk：一个多功能的文本扫描和处理工具。常用于从文本/日志文件中找出特定的列或内容，并输出给其他工具。 sed：一个文本流编辑工具，可以过滤和改变（例如，删除行/空格、替换/转换单词、增加计数）文本流并通过管道连接到stdout/stderr或者其他工具。
系统Debug分析
1.调试命令 strace -p pid 2.跟踪指定进程的PID gdb -p pid
top：一个命令行的进程查看程序。可以监视系统负载、进程状态、CPU和内存占用。有一个更易用的变种htop。
ps：显示系统所有运行中进程的一个快照。输出可以定制成显示PID、PPID、用户、负载、内存、积累的用户/系统时间、启动时间、以及更多。有一个变种pstree可以用树结构显示进程。
nethogs：一个带宽监视工具，按进程来分组显示活动网络连接，实时汇报每个进程占用的（上传/下载）带宽。
ngxtop：一个网页服务器访问日志解析和监视工具，界面受到了top命令启发。它可以实时汇报整理过的页面请求列表，包括频率、大小、HTTP返回值、IP地址，等等。
vmstat：一个简单的命令行工具，可以显示多个实时系统特征，例如进程数、剩余内存、分页状态、CPU占用、块设备I/O活动、中断/上下文切换统计、等等。
iotop：一个基于ncurses的I/O监视工具，可以实时排序显示所有运行中进程的磁盘I/O活动。
iostat：一个命令行工具，可以汇报当前CPU使用情况，以及设备I/O使用情况，这里的I/O使用情况（例如，块传输速度、字节读/写速度）是按设备或分区来汇报的。
系统信息
# uname -a # 查看内核/操作系统/CPU信息 # head -n 1 /etc/issue # 查看操作系统版本 # cat /proc/cpuinfo # 查看CPU信息 # hostname # 查看计算机名 # lspci -tv # 列出所有PCI设备 # lsusb -tv # 列出所有USB设备 # lsmod # 列出加载的内核模块 # env # 查看环境变量 # free -m # 查看内存使用量和交换区使用量 # df -h # 查看各分区使用情况 # du -sh <目录名> # 查看指定目录的大小 # grep MemTotal /proc/meminfo # 查看内存总量 # grep MemFree /proc/meminfo # 查看空闲内存量 # uptime # 查看系统运行时间、用户数、负载 # cat /proc/loadavg # 查看系统负载 cat /proc/version （Linux查看当前操作系统版本信息） cat /etc/issue 或cat /etc/redhat-release（Linux查看版本当前操作系统发行版信息） # 查看物理CPU个数 cat /proc/cpuinfo| grep "physical id"| sort| uniq| wc -l # 查看每个物理CPU中core的个数(即核数) cat /proc/cpuinfo| grep "cpu cores"| uniq # 查看逻辑CPU的个数 cat /proc/cpuinfo| grep "processor"| wc -l # 查看CPU信息（型号） cat /proc/cpuinfo | grep name | cut -f2 -d: | uniq -c