「作者简介」：CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者 「推荐专栏」：更多干货，请关注专栏《网络安全自学教程》

TCPView是微软提供的一款「查看网络连接」和进程的工具，常用来查看电脑上的TCP/UDP连接。比Windows自带的 netstat 命令更加强大。

TCPView使用教程

1、下载安装2、界面字段含义3、常用功能3.1、刷新时间3.2、查看进程安装位置3.3、过滤连接状态3.4、过滤协议类型3.5、结束进程3.6、域名解析

4、实战案例4.1、判断外联IP地址是否恶意4.2、判断系统本身的端口连接

1、下载安装

官网下载： https://learn.microsoft.com/zh-cn/sysinternals/downloads/tcpview

绿色版免安装，解压后双击运行tcpview64.exe。

2、界面字段含义

Process Name：进程名Process ID：进程ID，也就是PIDProtocol：协议（TCP/UDP）State：连接状态Local Address：本地地址Local Port：本地端口Remote Address：（外联）远程地址Remote Port：（外联）远程端口Create Time：创建时间Module Name：模块名

3、常用功能

3.1、刷新时间

单击 Create Time，按照连接「创建时间」倒序，使用时就可以看到最新创建的连接。

新创建的连接是绿色，即将断开的连接是红色。

点工具栏的 View - Update Speed，修改刷新时间，1秒、2秒、5秒、不刷新。

点工具栏的 绿色圆圈图标，可以立即刷新。

3.2、查看进程安装位置

双击进程名或右键 Properties，可以打开进程属性窗口，查看进程的「文件路径」和版本等信息。

3.3、过滤连接状态

点工具栏的旗子图标，可以过滤「连接状态」，选中的会显示，不选中的不显示。

Listen：服务端处于监听状态，端口放开，等待客户端的连接请求。Syn Sent：客户端发送SYN，请求建立连接；发送后等待服务端返回匹配的请求连接。Syn Received：服务端收到客户端的SYN，向客户端发送请求同意连接。Established：连接建立成功，客户端和服务端开始传输数据。Fin Wait 1：等待连接中断的请求，或对先前的连接中断请求进行确认。Fin Wait 2：另一边已同意释放。Close Wait：等待远程TCP对连接中断的确认Closing：等待连接中断的确认。Time Wait：等待足够的时间以确保远程TCP接收到连接中断请求的确认Closed：连接关闭。

3.4、过滤协议类型

点工具栏的TCP/UDP图标，可以过滤「协议类型」，点亮的显示，不亮的不显示。

3.5、结束进程

选中进程，右键 Kill Process，可以结束进程和对应的连接。有些进程需要用管理员身份打开 TCPView 才能杀掉。

3.6、域名解析

点工具栏的 Options - Resolve Address，可以将IP地址解析为域名。

有时候解析会不准确，按需使用。

4、实战案例

4.1、判断外联IP地址是否恶意

以下图为例，将外联地址Remote Address 放到威胁情报平台（这里用https://ti.qianxin.com/），判断是否恶意。

比如下图这个就是安全的。

4.2、判断系统本身的端口连接

1）像这种源local Adress、目的Remote Address都是同一个地址，基本都是回环地址。没有外联行为，相对安全。

2）根据线程的属性确认系统本身打开的端口，选中线程 - 右键 - process properties，Path 标签 可以看到端口对应的程序路径。

如果在 C:\WINDOWS\system32系统目录下，说明是系统文件。如果不在系统目录下，并且名字跟系统程序相似，就很可疑。

文章来源

评论可见，请评论后查看内容，谢谢！！！
 您阅读本篇文章共花了：