Găsiți procesul Windows care se conectează la un port proxy

Distingeți o conexiune de ieșire către portul 8080 de un ascultător local și asociați socketul cu procesul care îl deține.

Când investigați o conexiune de ieșire către un proxy suspect, filtrați după portul la distanță în loc să căutați doar ascultători locali:

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess este ID-ul procesului asociat socketului. Inspectați acest ID cu Get-Process și corelați-l cu rolul obișnuit al executabilului. Păstrați și adresa la distanță: portul 8080 poate găzdui un site web obișnuit sau alt serviciu. Verificați separat suportul pentru proxy.

Pentru un program care acceptă conexiuni proxy la nivel local, investigați în schimb LocalPort și starea Listen. Un client folosește de obicei un port local efemer în timp ce se conectează la portul la distanță fix al proxyului.

Aceasta este o observație într-un singur moment. O încercare scurtă eșuată poate dispărea înainte de interogare, iar o căutare ulterioară a procesului poate coincide cu ieșirea acestuia. Absența într-o singură captură nu dovedește că nu a avut loc nicio încercare.

Articole similare