当我运行netstat -a时，出现了很多到外部主机的连接。 它连接到一个完整的子网，即123.123.123.x到80端口。我怎样才能看到实际发生了什么？ 我的服务器看起来不妥协。 它运行ArchLinux。
netstat有一个-p选项，显示哪个程序正在build立连接
$ wget http://serverfault.com & $ netstat -ap ... Proto Recv-Q Send-Q Local Address Foreign Address State ID/Program tcp 0 0 rgb.example.com:1034 stackoverflow.com:http ESTABLISHED 2578/wget
然后，您可以使用ps来找出哪个用户正在运行该进程，它的父进程是什么以及其他有用的信息。
您可以使用tcpdump dst net 123.123.123来查看正在发送和接收的数据。