查找连接代理端口的 Windows 进程

区分指向 8080 端口的出站连接与本地监听，并把套接字与持有它的进程关联起来。

调查指向可疑代理的出站连接时，应按远程端口筛选，而不是只查找本地监听：

Get-NetTCPConnection -RemotePort 8080 |
    Select-Object LocalAddress, LocalPort, RemoteAddress,
        RemotePort, State, OwningProcess

OwningProcess 是与套接字关联的进程 ID。用 Get-Process 检查该 ID，并与可执行文件的通常角色对照。同时保留远程地址：8080 端口也可能承载普通网站或其他服务。另行验证代理支持。

对于在本机接受代理连接的程序，则应改为检查 LocalPort 和 Listen 状态。客户端连接代理固定的远程端口时，通常使用临时本地端口。

这是某一时刻的观察。短暂的失败尝试可能在查询前就消失，稍后的进程查询也可能与进程退出发生竞争。一次快照中没有出现，并不能证明从未发生尝试。

相关文章