我如何知道 Mac OS X 中的数据包源自哪个进程？

Question

在所有应用程序关闭的情况下，tcpdump 显示我的 Mac 偶尔向少数 IP 发送数据包。它们是没有数据有效负载且具有不寻常 TCP 序列号（如隐蔽通道）的数据包突发。有没有办法确定哪个进程从命令行或以编程方式发起这些数据包？

注意：我已经使用ipfw对出口IP进行过滤，所以我不担心数据泄露。

Answer 1

我会很懒，只需安装 Little Snitch （提供免费试用）；）

但是，如果是 TCP 连接，如果您在可疑数据包发送期间或发送后不久进行检查，您应该能够轻松地在 netstat 中找到罪魁祸首。

如果你想真正变得更奇特，可以自己编写一个内核扩展来完成你想要的事情。 Apple 有一个可爱的指南，甚至示例代码 正是您所寻找的。

Answer 2

Apple 对 tcpdump 进行了修改，因此它支持 Mac OS X 手册页中的一些元数据选项 tcpdump：

 -k     Control the display of packet metadata via an optional metadata_arg argument. This is useful when displaying packet saved in the pcap-ng file format
          or with interfaces that support the PKTAP data link type.

          By default, when the metadata_arg optional argument is not specified, any available packet metadata information is printed out.

          The metadata_arg argument controls the display of specific packet metadata information using a flag word, where each character corresponds to a type
          of packet metadata as follows:

                 I     interface name (or interface ID)
                 N     process name
                 P     process ID
                 S     service class
                 D     direction
                 C     comment

          This is an Apple modification.

因此，当使用 -k N 运行 tcpdump 时，我们可以看到进程名称：

19:12:51.823518 pid Google Chrome.313 svc BK IP 192.168.100.191.49424 > 216.58.209.133.443：标志[.]，ack 74，win 4093，选项[nop，nop，TS val 507317615 ecr 3185588461]，长度0
19:12:51.823518 pid Google Chrome.313 svc BK IP 192.168.100.191.49424 > 216.58.209.133.443：标志[.]，ack 329，win 4088，选项[nop，nop，TS val 507317615 ecr 3185588462]，长度0

Answer 3

我有同样的问题，但有一个例外 - 我的 TCP 流量位于 lo0 并且尚未建立，但某些进程正在尝试连接到本地主机和某个端口。我的任务是确定谁正在尝试连接。
那时的小飞贼已经毫无用处了。

但我发现 nettop 非常有帮助。我发现进程在其输出中不断改变 TCP 连接状态 SynSent/Fin/等，这就是我正在寻找的。