善用 netstat 指令化身 Windows 7 安全高手：連線監控、服務稽核、帳號稽核三大實戰技法

Windows 內建 netstat 指令功能強大，無需第三方工具即可完成網路連線監控、可疑服務偵測、帳號異常稽核三大安全稽核任務。熟練參數組合，讓你成為自己電腦的第一道防線。

1. 監控所有網路連線 (偵測木馬/後門)

netstat -an

• -a：顯示所有連線與監聽埠
• -n：以數值顯示 IP/埠號 (不解析 DNS，速度快)
• 輸出四欄：Proto (協定) / Local Address (本地 IP:埠) / Foreign Address (遠端 IP:埠) / State (狀態: ESTABLISHED/LISTENING/TIME_WAIT...)
• 重點關注：ESTABLISHED 連往未知外部 IP、異常高埠號監聽 (LISTENING)。

2. 進階參數組合 (Vista/Win 7 增強版)

netstat -a -b -e -f -n -o -p proto -r -s -t [interval]

實戰組合範例

• netstat -ano | findstr :80：找出佔用 80 埠的 PID
• netstat -b：直接查看哪個程式開了哪個埠 (需以管理員身分執行 CMD)
• netstat -s -e：完整網路流量統計基準線

3. 稽核可疑服務 (偵測入侵者植入 IIS、Proxy 等)

net start

• 列出目前執行中服務。若發現未主動啟用的服務 (如 W3SVC IIS、Proxy 代理服務)，立即停用：net stop 服務名稱。
• 搭配 services.msc 將啟動類型改為「停用」。

4. 稽核帳號異常 (偵測複製帳號提權)

net user

• 列出所有本機帳號。正常僅 Administrator 屬 Administrators 群組。

net user 帳號名稱

• 查看指定帳號所屬群組。若發現內建帳號 (如 Guest、ASPNET、IUSR_*) 屬 Administrators，極大機率被入侵植入複製帳號。

net user 帳號名稱 /del

• 立即刪除可疑帳號。

總結

netstat、net 指令組合零成本、零安裝、系統原生，是 Windows 安全稽核的基石技能。建議定期 (每週/異常時) 執行基準線比對，早發現、早處理。