查找EC2实例中发起IMDSv1调用的特定服务及相关技术咨询

1. 能否通过命令行查找EC2实例中发起IMDSv1调用的特定服务？ #

可以，以下是几种命令行实现方式：

• 用tcpdump抓包分析：在实例内执行抓包命令，过滤IMDS端点（169.254.169.254）的HTTP请求，结合进程关联找到发起调用的服务：

  tcpdump -i any host 169.254.169.254 and port 80 -l -n | while read line; do pid=$(lsof -i :80 | grep ESTABLISHED | awk '{print $2}'); echo "$line | PID: $pid | Service: $(ps -p $pid -o comm=)"; done
  

  注意：需要安装tcpdump和lsof工具，部分系统可能需要sudo权限。
• 用strace跟踪进程：如果已知可疑进程，直接跟踪其系统调用，查找对IMDS端点的访问：

  sudo strace -e network -p <进程PID> 2>&1 | grep 169.254.169.254
  

• 启用IMDSv2并监控转换请求：将IMDS切换为仅支持v2后，AWS会记录从v1到v2的转换请求到CloudWatch Logs（需提前配置），但这是AWS层面的监控，若要定位实例内的具体服务，还是需要结合实例内的抓包工具。

2. EC2元数据的哪个类别包含实例正在监听的服务列表？ #

EC2元数据没有专门的类别存储实例正在监听的服务列表。EC2元数据仅提供AWS分配给实例的属性信息（比如实例ID、IAM角色、网络配置、安全组等），而实例内部监听的服务属于操作系统层面的运行状态，需要通过系统命令查询：

• 用ss命令（Linux）：

  ss -tulpn
  

  该命令会列出所有监听的TCP/UDP端口，以及对应的进程和服务名称。
• 用netstat命令（部分系统预装）：

  netstat -tulpn
  

综合解决方案 #

定位IMDSv1调用来源的完整流程 #

1. 在目标EC2实例上安装必要工具：sudo yum install tcpdump lsof（RHEL/CentOS）或sudo apt install tcpdump lsof（Debian/Ubuntu）。
2. 执行tcpdump抓包命令，持续监听IMDS请求：

   sudo tcpdump -i any host 169.254.169.254 and port 80 -l -n > imds_traffic.log
   

3. 同时用lsof关联进程：

   while true; do lsof -i @169.254.169.254:80 | grep ESTABLISHED | awk '{print "PID: "$2", Service: "$1, "User: "$3}'; sleep 2; done
   

4. 分析日志和输出，定位发起IMDSv1调用的服务后，可考虑将其配置为使用IMDSv2，或限制该服务的权限。

获取实例监听服务的常规方法 #

直接在实例内执行ss -tulpn或netstat -tulpn，过滤出监听状态的端口和对应服务，若需要持久化记录，可将输出写入日志文件或定期上传到S3存储。

内容的提问来源于stack exchange，提问作者faloh_kissi