Вы уже получили два хороших ответа на свой вопрос, поэтому я прошу прощения за добавление нового, который касается чего-то, что я прочитал между строк вашего поста. Мой ответ предназначен для complement двух других ответов, а не для их замены.
Исходя из вывода netstat невозможно определить, было ли соединение установлено на вашей или удаленной машине. Тот простой факт, что вы задаете этот вопрос, вызывает у меня беспокойство, и еще больше меня беспокоит еще один странный факт в этом выводе: использование high портов (что означает> 10000) для обеих сторон соединения.
Позволь мне объяснить. ПК предоставляют услуги другим ПК в модели client/sever сервер: например, веб-сервер прослушивает запросы веб-страниц на указанном порту (фактически два: 80 и 443) от удаленного клиента. Аналогично для ssh,ftp,dns и так далее. Все основные службы прослушивают общеизвестные порты (см., Например, Википедию ), некоторые из которых настолько важны, чтобы их можно было вырезать из камня: их назначение регулируется не менее чем IANA. Многие другие порты, хотя их использование не регулируется IANA, стали традиционными для определенных приложений. Общим для всех listening портов является то, что они ниже 10000. Высокие порты (выше 10000) традиционно резервируются для outgoing соединений, а не для прослушивания.
Итак, как же вы видите соединение между портами 39922 и 29842? Потому что кто-то настроил службу на очень нестандартном порту, либо на вашей машине, либо на удаленной машине. Является ли ваша машина listening server? Команда
sudo ss -lntp
сообщит вам следующее: в нем перечислены все порты, на которых ваша машина прослушивает входящие (TCP, опция -t ) соединения, и связанные процессы. Таким образом, вы можете посмотреть, какой процесс прослушивает порт 39922, если таковой имеется.
Теперь давайте предположим, что это действительно так, i.e. есть служба, которую вы не настроили, прослушивает порт 39922. Кто так делает? Хакеры, которые используют инструмент netcat или nc швейцарский армейский нож из TCP соединений) , что позволяет им легко подключаться через высокие порты между их ПК и p0wned шт. Вот почему я волнуюсь.
Я также не уверен, узнав, что 23.82.16.66 принадлежит Nobis Technology, компании, которая владеет несколькими центрами обработки данных, предоставляющими решения для облачных серверов. И, обледенев на торте, когда я пробежал по Google информацию выше, я наткнулся на это сообщение сисадмина, рассказывающего о том, как Nobis Technology является известным спамером, и обнаружил, что адрес выше, 23.82.16.66, находится прямо внутри один из диапазонов, который бедный парень пытается заблокировать; и, о чудо , ваш локальный IP-адрес, 192.99.202.17, сообщается whatismyipaddress.com как ваш почтовый сервер.
В конце концов, что я делаю из этого? Соединение известного спаммера с почтовым сервером только через порты высокого уровня, о которых вы ничего не знаете. Похоже, что ваша система была как-то нарушена. Вот почему я пишу этот пост.
