检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
该章节为您介绍如何通过TCPView工具查看当前TCP连接状态,排查可疑进程,可疑进程一般用红色标记。 前提条件 推荐下载“TCPView”工具。 操作步骤 打开“TCPView”文件夹,双击“Tcpview.exe”文件,在弹出的对话框中,单击“Agree”。 查看当前TCP连接状态,判断该进程是否为木马程序。
查看网络分析,是否存在异常的IP链接主机。 查询命令:netstat –ano 根据查询结果排除业务连接端口或业务外部地址连接,锁定可疑地址。 使用微步在线确认可疑地址是否属于恶意或非正常业务的海外地址。 通过异常连接的“PID”,通过值(如2240)在步骤 1的查询结果找到进程(如vchost.exe)。
Spark(大数据处理平台) TCP: 8090 Diamond(分布式配置管理系统) TCP: 8080、11800、12800 SkyWalking(分布式系统监控) TCP: 2379-2380 Etcd(分布式键值存储系统) TCP: 8080 WebTTY(Web TTY管理页面) TCP: 15672
0个长度为800Byte的UDP数据包。 执行以下命令,查看当前的网络连接与进程。 netstat -anput 分析当前的网络连接与进程是否存在异常,建议利用netstat -anpt命令进行查看;若当前连接与进程已停止或被隐藏,可以利用抓包方式进行分析,需要安装tcpdump抓包工具。
所示。 图1 端口扫描 查询发现这些IP地址均为境外IP。 案例二: 主机内发现异常进程,如图2所示。 图2 异常进程 查询发现此IP地址连接C&C。 C&C是指command-and-control命令与控制。简单来说就是一种机器与机器之间的通讯方式。 C&C服务器是由攻击者的