Linux Tools

Linux Tools

Заметка про разные утилиты про которые часто забываю

ioping

ioping /test/vdb/ -c 10
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=1 time=2.16 ms (warmup)
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=2 time=3.39 ms
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=3 time=2.13 ms
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=4 time=2.48 ms
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=5 time=1.75 ms
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=6 time=1.97 ms
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=7 time=1.76 ms (fast)
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=8 time=1.79 ms (fast)
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=9 time=1.97 ms
4 KiB <<< /test/vdb/ (xfs /dev/vdb 25.0 GiB): request=10 time=2.98 ms

nethogs

Показывает наиболее активные сетевые соединения (примерно как top)

apt install nethogs

whowatch

Смотреть дерево процессов по пользователям

sysdig

Смотреть что происходит в системе - как strace

# modprobe sysdig-probe

Запуск без параметров - все процессы

7 14:31:16.643191041 0 sysdig (12362) > switch next=0 pgft_maj=0 pgft_min=1258 vm_size=58812 vm_rss=19932 vm_swap=0
8 14:31:16.643824272 0 <NA> (0) > switch next=12362(sysdig) pgft_maj=0 pgft_min=0 vm_size=0 vm_rss=0 vm_swap=0
24 14:31:16.644003834 0 sysdig (12362) > switch next=12363(less) pgft_maj=0 pgft_min=1262 vm_size=58812 vm_rss=19932 vm_swap=0
25 14:31:16.644010385 0 less (12363) < read res=117 data=7 14:31:16.643191041 0 sysdig (12362) > switch next=0 pgft_maj=0 pgft_min=1258 v
26 14:31:16.644038715 0 less (12363) > write fd=1(<f>/dev/pts/5) size=117
27 14:31:16.644055333 0 less (12363) > switch next=10430 pgft_maj=3 pgft_min=206 vm_size=6576 vm_rss=2348 vm_swap=0
28 14:31:16.644065687 0 <NA> (10430) > switch next=9032(mc) pgft_maj=0 pgft_min=0 vm_size=0 vm_rss=0 vm_swap=0
29 14:31:16.644075709 0 mc (9032) < pselect6
30 14:31:16.644081373 0 mc (9032) > read fd=6(<f>/dev/ptmx) size=128

• evt.num — номер события;
• evt.time — время события;
• evt.cpu — номер процессора;
• proc.name — имя процесса;
• thread.tid — номер потока;
• evt.dir — направление события (< входящие, > исходящие процессы);
• evt.type — тип события;
• evt.args — аргументы события.

У однопотоковых процессов номер потока (thread.tid) будет такой же как и номер процесса (proc.name). Неотфильтрованный вывод запущенной в работу утилиты имеет следующий формат:

%evt.num %evt.time %evt.cpu %proc.name (%thread.tid) %evt.dir %evt.type %evt.args

Можно фильтровать

sysdig proc.name = nginx and evt.cpu = 0

Список фильтров:

sysdig -l

фильт по процессу и типу события

sysdig proc.name = nginx and evt.type = write

выводить только клиентский IP

sysdig proc.name = nginx -p %fd.cip
127.0.0.1

chisels

Это готовые скрипты, например

sysdig -c spy_users
1684 14:40:02 root) ls --color=auto

или

sysdig -c topconns
Bytes               Proto               Conn
--------------------------------------------------------------------------------
304B                tcp                 192.168.22.253:62068->10.90.1.104:22

Полный список sysdig -cl

csysdig

csysdig - визуализация в стиле htop

ip_compact

Что бы руками не считать сети - https://github.com/x-way/ip_compact

совместная работа в терминале

• ttyd
• gotty
• tmate (https://github.com/tmate-io)

Поиск скрытых процессов и руткитов

• unhide
• prochunter (git clone https://gitlab.com/nowayout/prochunter.git; make)