Знайдіть процес Windows, який підключається до порту проксі

Відрізніть вихідне з'єднання до порту 8080 від локального слухача та пов'яжіть сокет із процесом-власником.

Досліджуючи вихідне з'єднання до підозрілого проксі, фільтруйте за віддаленим портом, а не шукайте лише локальних слухачів:

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess — це ідентифікатор процесу, пов'язаного з сокетом. Перевірте цей ID за допомогою Get-Process і зіставте його зі звичайною роллю виконуваного файлу. Збережіть і віддалену адресу: порт 8080 може обслуговувати звичайний вебсайт або інший сервіс. Перевірте підтримку проксі окремо.

Для програми, яка приймає проксі-з'єднання локально, натомість досліджуйте LocalPort і стан Listen. Клієнт зазвичай використовує тимчасовий локальний порт, підключаючись до фіксованого віддаленого порту проксі.

Це спостереження в один момент часу. Коротка невдала спроба може зникнути до запиту, а пізніший пошук процесу може збігтися з його завершенням. Відсутність в одному знімку не доводить, що спроби не було.

Схожі статті