Trovare il processo Windows che si connette a una porta proxy

Distinguere una connessione in uscita verso la porta 8080 da un listener locale e associare il socket al processo che lo possiede.

Quando si esamina una connessione in uscita verso un proxy sospetto, filtrare per la porta remota invece di cercare solo i listener locali:

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess è l'ID del processo associato al socket. Esaminare questo ID con Get-Process e correlarlo al ruolo normale dell'eseguibile. Conservare anche l'indirizzo remoto: la porta 8080 può ospitare un sito web comune o un altro servizio. Verificare separatamente il supporto proxy.

Per un programma che accetta connessioni proxy localmente, esaminare invece LocalPort e lo stato Listen. Un client di solito usa una porta locale effimera mentre si connette alla porta remota fissa del proxy.

Questa è un'osservazione in un singolo istante. Un breve tentativo fallito può scomparire prima dell'interrogazione, e una successiva ricerca del processo può entrare in conflitto con la sua uscita. L'assenza in un'istantanea non dimostra che non sia stato fatto alcun tentativo.

Articoli correlati