netstat 是 Windows 內建網路連線檢視工具，善用參數可即時掌握系統網路狀態，發現木馬異常連線、分析協定效能。
| 參數 | 功能 |
|---|---|
-a | 顯示所有連線與監聽埠 |
-b | 顯示建立連線的可執行檔（需管理員權限） |
-n | 以數字顯示 IP/埠號（加快速度） |
-o | 顯示擁有連線的程序 ID (PID) |
-p proto | 篩選協定（TCP/UDP/TCPv6/UDPv6） |
-r | 顯示路由表 |
-s | 顯示各協定統計（IP/ICMP/TCP/UDP） |
-e | 顯示乙太網統計（可搭配 -s） |
-f | 顯示完整網域名稱 (FQDN) |
-t | 顯示連線卸載狀態 |
interval | 每隔 N 秒自動重新整理（Ctrl+C 停止） |
netstat -ano 找出可疑 ESTABLISHED 連線，記下 PID → 工作管理員/ tasklist 對應程式 → 判斷是否惡意。netstat -an 檢查非預期的 LISTENING 埠。netstat -s -e 觀察 TCP 重傳、錯誤封包、ICMP 統計。netstat -r 等同 route print。結合 tasklist /svc 或 Process Explorer 可將 PID 進一步對應到服務/模組，構建輕量級主機入侵偵測基線。
