מצאו את תהליך Windows שמתחבר ליציאת proxy

הבדילו חיבור יוצא ליציאה 8080 ממאזין מקומי וקשרו את ה-socket לתהליך שבעליו.

כשאתם חוקרים חיבור יוצא ל-proxy חשוד, סננו לפי היציאה המרוחקת במקום לחפש רק מאזינים מקומיים:

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess הוא מזהה התהליך המשויך ל-socket. בדקו את המזהה הזה עם Get-Process והשוו אותו לתפקיד הרגיל של קובץ ההרצה. שמרו גם את הכתובת המרוחקת: יציאה 8080 יכולה לארח אתר רגיל או שירות אחר. אמתו תמיכת proxy בנפרד.

עבור תוכנית שמקבלת חיבורי proxy מקומית, בדקו במקום זאת את LocalPort ואת מצב Listen. לקוח משתמש בדרך כלל ביציאה מקומית זמנית בזמן שהוא מתחבר ליציאה המרוחקת הקבועה של ה-proxy.

זו תצפית בנקודת זמן אחת. ניסיון קצר שנכשל יכול להיעלם לפני השאילתה, ובדיקת תהליך מאוחרת יכולה להתנגש ביציאת התהליך. היעדרות בצילום מצב אחד אינה מוכיחה שלא נעשה ניסיון.

מאמרים קשורים