tcp 协议高端问题？你认为不高端，回复BS我吧，不胜感激。

liuyadan720

我可以肯定不是攻击，这个现象在很多访问量稍大的服务器上都存在，就是数量多寡而已

而且这个客户端IP也是随机的，守株待兔抓包不现实。

你先分析下，问题可能出在哪个环节上？

先定位原因，即可写个程序来模拟实现。

sohusina

你的时间精确到了多少？

liuyadan720

你是说 netstat -atnp 精确的时间么？
在访问量稍大的服务器上，netstat -atnp > netstat.log  ，耗时 1秒内。

接下来看看有多少行，root@:~# wc -l netstat.log
9350 netstat.log

再看看TIME_WAIT 状态有没有重复的，
root@:~# cat netstat.log |awk '{print $5}'| sort -rn |uniq -c |sort -rn| head -10
    2 61.54.202.32:2147
      2 61.191.123.87:1256
      2 61.161.182.50:1508
      2 61.157.136.149:1375
      2 61.138.96.66:1903
      2 60.30.28.226:1537
      2 60.2.99.4:10256
      2 60.28.36.102:1150
      2 60.252.24.179:38372
      2 60.23.29.206:2662
      2 60.220.65.10:1225
      2 60.215.224.224:10060
      2 60.211.247.226:49798
      2 60.209.19.142:1288
      2 60.184.167.51:1802
      2 60.15.90.206:3743
      2 60.15.167.142:2437
      2 59.60.68.171:46136
      2 58.83.252.235:64961
      2 223.246.77.255:4120
      2 222.240.150.45:2642
      2 222.162.190.244:1536
      2 222.135.24.238:4114
      2 222.135.24.238:4113
      2 222.130.97.156:4287
      2 221.8.167.178:3072
      2 221.234.92.53:1699
      2 221.233.12.215:2309
      2 221.218.71.124:1075
      2 221.207.223.102:1115
      2 221.205.10.138:1508
      2 221.202.115.14:1772
      2 221.195.105.196:1971
      2 218.73.131.67:1428
      2 218.73.131.67:1426
      2 218.27.123.34:1888
      2 218.21.93.213:1677
      2 218.18.12.121:3944
      2 218.16.184.187:1187
      2 210.22.88.242:3976

看到有很多个一样，挑2个打印出来看看，最后的这2个
打印出来看看：
root@***:~# cat netstat.log |egrep "218.16.184.187:1187|210.22.88.242:3976"
tcp        0      0 113.108.22*.*:80      218.16.184.187:1187     TIME_WAIT   -               
tcp        0      0 113.108.22*.*:80      218.16.184.187:1187     TIME_WAIT   -   
            
tcp        0      0 58.248.18*.*:80         210.22.88.242:3976      TIME_WAIT   -               
tcp        0      0 58.248.18*.*:80         210.22.88.242:3976      TIME_WAIT   -  

补充：我的操作系统是Ubuntu 9.10 64位 server，web服务器nginx

你可按上述步骤，到自己的服务器上查看，看是否也存在该问题。

broceliu

现在的问题是：
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
B:80  ---  A: 24564
#########################
可不可以这样解释
1、80端口只响应 *(A)针对 80端口应用访问  （三次握手-- 第一次请求合法是不是B:80就开始正常响应处理请求）
2、A:24564可以立马断开相应的连接请求，断开后 A:24564这个状态在(A:24564)端是不是已经释放  [现在(B:80)是什么状态]
3、A:24564 这个状态(A:24564)既然已经释放，是不是可以再一次利用  [现在(B:80)是什么状态]
。。重复线。。。。
。。。。。。。。。