Znajdź proces Windows łączący się z portem proxy

Odróżnij połączenie wychodzące do portu 8080 od lokalnego nasłuchu i powiąż gniazdo z procesem, który je posiada.

Badając połączenie wychodzące do podejrzanego proxy, filtruj po porcie zdalnym, zamiast szukać tylko lokalnych nasłuchów:

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess to identyfikator procesu powiązanego z gniazdem. Sprawdź ten identyfikator za pomocą Get-Process i porównaj go ze zwykłą rolą pliku wykonywalnego. Zachowaj też adres zdalny: port 8080 może obsługiwać zwykłą stronę internetową lub inną usługę. Sprawdź obsługę proxy osobno.

W przypadku programu, który przyjmuje połączenia proxy lokalnie, sprawdź zamiast tego LocalPort i stan Listen. Klient zwykle używa tymczasowego portu lokalnego, łącząc się ze stałym portem zdalnym proxy.

To obserwacja z jednego momentu. Krótka nieudana próba może zniknąć przed zapytaniem, a późniejsze wyszukanie procesu może zbiec się z jego zakończeniem. Brak w jednym zrzucie nie dowodzi, że nie podjęto żadnej próby.

Powiązane artykuły