网络攻防中监控某个IP的流量和数据分析。
Windows 可以使用 tcpview 工具监控某个IP的流量信息，Linux 可以使用iftop 工具。
新版本的 tcpview 带过滤功能，可以对 IP 进行过滤。最后两列显示的是对应程序发送和接收的字节数。
tcpview 工具下载地址：
https://learn.microsoft.com/zh-cn/sysinternals/downloads/tcpview
图形化的工具使用起来比较简单，命令行的界面需要解读一下才知道各个区域都是什么意思。我们下面对 iftop 的输出做一下翻译。
iftop 监控某个IP的命令为：
iftop -n -F 10.20.1.69/32
首先我们切到命令行输出，里面有很多信息，我们需要知道怎么看。
整个输出面板分成两大块，最下面是汇总，上面是每个IP的分项明细。我们先看下汇总信息，汇总信息分成了三行，每一列都有三行，它们分别表示发送、接收和汇总的统计值。其中流量信息分为如下三块：
cum: 自 iftop 打开以后监控到的累计流量，当 iftop 关闭后会重新计算；
peak: 是处于每 40s 统计阶段的网速峰值
rates: 每 2s 10s 40s 的平均网速
每个IP显示的三列流量数值实际上就是 rates 的值。iftop 的显示界面实际上是可交互的，输入 h 可以看到命令帮助：
常用命令
d 显示或隐藏目标 IP
D 显示或隐藏目标 端口
s 显示或隐藏源 IP
S 显示或隐藏源 端口
我们分别看一下效果，下图是显示源端口和目的端口的情况，相当于显示会话明细：
iftop 还支持屏幕过滤，即对屏幕输出内容进行过滤，命令为小写的字母 l ：
我们不再对单IP进行过滤，直接对所有IP进行过滤。选输入 S 将源端口显示出来，再输入 d 将目标IP隐藏，此时所有目标IP汇总为 * ，我们输入命令 l ，此时在屏幕的顶部有输入提示：screen filter> 我们输入端口号 5212 此时过滤出的就是端口 5212 的流量信息。
iftop 默认会显示流量标尺，如果不需要可以输入命令 b 关掉。默认会分行显示发送流量和接收流量，如果想切换到汇总可以输入命令 t ，以下输出是关掉标尺合并双向流量后的输出：
交互式命令帮助
Host display:
n - DNS解析 P - 暂停
s - 源IP h - 帮助
d - 目标IP b - 项部标尺
t - 数据流方向 T - 流量汇总
Port display:
N - 端口解析
S - 源端口 l - 交互式过滤
D - 目的端口 q - 退出
p - 显示所有端口
Sorting:
1/2/3 - 按第 1、2、3 列排序
< - 按源地址排序
> - 按目的地址排序
