2023年查看開放端口判斷木馬的方法

第查看開放端口判斷木馬的方法

北大青鳥昌平校區(qū)提供[轉(zhuǎn)帖]查看開放端口判斷木馬當(dāng)前最為常見的木馬通常是基于TCP/UDP協(xié)議進(jìn)行client端與server端之間的通訊的，既然利用到這兩個協(xié)議，就不可避免要在server端（就是被種了木馬的機(jī)器了）打開監(jiān)聽端口來等待連接。例如鼎鼎大名的冰河使用的監(jiān)聽端口是7626，BackOrifice202x則是使用54320等等。那么，我們可以利用查看本機(jī)開放端口的方法來檢查自己是否被種了木馬或其它黑客程序。以下是詳細(xì)方法介紹。1．Windows本身自帶的netstat命令關(guān)于netstat命令，我們先來看看windows幫助文件中的介紹：Netstat顯示協(xié)議統(tǒng)計和當(dāng)前的TCP/IP網(wǎng)絡(luò)連接。該命令只有在安裝了TCP/IP協(xié)議后才可以使用。netstat[-a][-e][-n][-s][-pprotocol][-r][interval]參數(shù)-a顯示所有連接和偵聽端口。服務(wù)器連接通常不顯示。-e顯示以太網(wǎng)統(tǒng)計。該參數(shù)可以與-s選項結(jié)合使用。-n以數(shù)字格式顯示地址和端口號（而不是嘗試查找名稱）。-s顯示每個協(xié)議的統(tǒng)計。默認(rèn)情況下，顯示TCP、UDP、ICMP和IP的統(tǒng)計。-p選項可以用來指定默認(rèn)的子集。-pprotocol顯示由protocol指定的協(xié)議的連接；protocol可以是tcp或udp。如果與-s選項一同使用顯示每個協(xié)議的統(tǒng)計，protocol可以是tcp、udp、icmp或ip。-r顯示路由表的內(nèi)容。interval重新顯示所選的統(tǒng)計，在每次顯示之間暫停interval秒。按CTRL+B停止重新顯示統(tǒng)計。如果省略該參數(shù)，netstat將打印一次當(dāng)前的配置信息。好了，看完這些幫助文件，我們應(yīng)該明白netstat命令的使用方法了。現(xiàn)在就讓我們現(xiàn)學(xué)現(xiàn)用，用這個命令看一下自己的機(jī)器開放的端口。進(jìn)入到命令行下，使用netstat命令的a和n兩個參數(shù)：C:\netstat-anActiveConnectionsProtoLocalAddressForeignAddressStateTCP0.0.0.0:800.0.0.0:0LISTENINGTCP0.0.0.0:210.0.0.0:0LISTENINGTCP0.0.0.0:76260.0.0.0:0LISTENINGUDP0.0.0.0:4450.0.0.0:0UDP0.0.0.0:10460.0.0.0:0UDP0.0.0.0:10470.0.0.0:0解釋一下，ActiveConnections是指當(dāng)前本機(jī)活動連接，Proto是指連接使用的協(xié)議名稱，LocalAddress是本地計算機(jī)的IP地址和連接正在使用的端口號，F(xiàn)oreignAddress是連接該端口的遠(yuǎn)程計算機(jī)的IP地址和端口號，State則是表明TCP連接的狀態(tài)，你可以看到后面三行的監(jiān)聽端口是UDP協(xié)議的，所以沒有State表示的狀態(tài)?？?！我的機(jī)器的7626端口已經(jīng)開放，正在監(jiān)聽等待連接，像這樣的情況極有可能是已經(jīng)感染了冰河！急忙斷開網(wǎng)絡(luò)，用殺毒軟件查殺病毒是正確的做法。2．工作在windows202x下的命令行工具fport使用windows202x的朋友要比使用windows9x的幸運(yùn)

一些，因為可以使用fport這個程序來顯示本機(jī)開放端口與進(jìn)程的對應(yīng)關(guān)系。Fport是FoundStone出品的一個用來列出系統(tǒng)中所有打開的TCP/IP和UDP端口，以及它們對應(yīng)應(yīng)用程序的完整路徑、PID標(biāo)識、進(jìn)程名稱等信息的軟件。在命令行下使用，請看例子：D:\fport.exeFPortv1.33-TCP/IPProcesstoPortMapperCopyright202xbyFoundstone,Inc.PidProcessPortProtoPath748tcpsvcs-7TCPC:\WINNT\System32\tcpsvcs.exe748tcpsvcs-9TCPC:\WINNT\System32\tcpsvcs.exe748tcpsvcs-19TCPC:\WINNT\System32\tcpsvcs.exe416svchost-135TCPC:\WINNT\system32\svchost.exe是不是一目了然了。這下，各個端口究竟是什么程序打開的就都在你眼皮底下了。如果發(fā)現(xiàn)有某個可疑程序打開了某個可疑端口，可千萬不要大意哦，也許那就是一只狡猾的木馬！Fport的最新版本是2.0。在很多網(wǎng)站都提供下載，但是為了安全起見，當(dāng)然最好還是到它的老家去下：/knowledge/zips/fport.zip3.與Fport功能類似的圖形化界面工具ActivePortsActivePorts為SmartLine出品，你可以用來監(jiān)視電腦所有打開的TCP/IP/UDP端口，不但可以將你所有的端口顯示出來，還顯示所有端口所對應(yīng)的程序所在的路徑，本地IP和遠(yuǎn)端IP(試圖連接你的電腦IP)是否正在活動。更棒的是，它還提供了一個關(guān)閉端口的功能，在你用它發(fā)現(xiàn)木馬開放的端口時，可以立即將端口關(guān)閉。這個軟件工作在WindowsNT/202x/xP平臺下。你可以在得到它。其實使用windowsxp的用戶無須借助其它軟件即可以得到端口與進(jìn)程的對應(yīng)關(guān)系，因為windowsxp所帶的netstat命令比以前的版本多了一個O參數(shù)，使用這個參數(shù)就可以得出端口與進(jìn)程的對應(yīng)來。上面介紹了幾種查看本機(jī)開放端口，以及端口和進(jìn)程對應(yīng)關(guān)系的方法，通過這些方法可以輕松的發(fā)現(xiàn)基于TCP