Tìm tiến trình Windows kết nối tới cổng proxy

Phân biệt kết nối ra ngoài tới cổng 8080 với trình lắng nghe cục bộ và gắn socket với tiến trình sở hữu nó.

Khi điều tra một kết nối ra ngoài tới proxy bị nghi ngờ, hãy lọc theo cổng từ xa thay vì chỉ tìm các trình lắng nghe cục bộ:

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess là ID tiến trình gắn với socket. Kiểm tra ID đó bằng Get-Process và đối chiếu với vai trò thông thường của tệp thực thi. Cũng giữ lại địa chỉ từ xa: cổng 8080 có thể là một trang web bình thường hoặc một dịch vụ khác. Xác minh hỗ trợ proxy riêng.

Với chương trình chấp nhận kết nối proxy cục bộ, thay vào đó hãy điều tra LocalPort và trạng thái Listen. Máy khách thường dùng một cổng cục bộ tạm thời trong khi kết nối tới cổng từ xa cố định của proxy.

Đây là quan sát tại một thời điểm. Một nỗ lực thất bại ngắn có thể biến mất trước truy vấn, và việc tra cứu tiến trình sau đó có thể tranh chấp với lúc tiến trình thoát. Việc không xuất hiện trong một ảnh chụp không chứng minh rằng không có nỗ lực nào.

Bài viết liên quan