Windows依連接埠反查服務進程：netstat + 任務管理器 PID 關聯實戰教學

伺服器安全審計、異常連接埠排查、惡意程式偵測，核心技能是「由Port找PID，由PID找進程名稱」。Windows原生工具netstat配合任務管理器即可完成，無需第三方軟體。

實戰步驟

第一步：列出所有TCP連接埠

netstat -an | findstr TCP

輸出包含：協定、本地位址:埠、外部位址:埠、狀態（LISTENING/ESTABLISHED/TIME_WAIT等）。

第二步：顯示連接埠對應PID

netstat -ano

-o參數顯示擁有該連線的PID（進程識別碼）。找到目標埠（如135）對應的PID（如896）。

第三步：任務管理器顯示PID欄位

1. Ctrl+Shift+Esc 開啟任務管理員。
2. 「詳細資料」頁籤（Win8/10）或「程序」頁籤 → 「檢視」→ 「選擇欄位」→ 勾選「PID (處理序識別碼)」（Win7）。
3. 依PID排序，找到目標PID（896），即可看到進程名稱（如svchost.exe、mysqld.exe、chrome.exe）。

第四步：進一步識別服務細節（Win7/Server 2008 R2以上）

• 任務管理員右鍵進程 → 「前往服務」：自動高亮關聯服務項目。
• 或tasklist /svc /fi "PID eq 896"命令列查詢。

進階指令整合

# 一次列出 TCP/UDP + PID + 進程名
netstat -anob
# 需管理員權限，-b 顯示可執行檔名稱
# PowerShell 更強大：
Get-NetTCPConnection -State Listen | Select-Object LocalPort, OwningProcess, @{Name='ProcessName';Expression={(Get-Process -Id $_.OwningProcess).ProcessName}}

應用場景

• 發現不明LISTENING埠（如31337, 12345）→ 反查是否為木馬後門。
• Web伺服器埠80/443被佔用 → 找出衝突進程（可能是IIS、Apache、Nginx、Skype、VMware）。
• 資料庫連線數暴增 → 定位具體應用進程進行優化。

掌握netstat -ano + 任務管理器PID關聯，是Windows系統管理員、資安人員的必備基本功。