Netstat是排查端口异常监听最直接的系统工具，分三步：一、用netstat -ano -p TCP（Win）或sudo netstat -tulnp（Linux）查看监听端口及PID；二、通过进程路径、网络行为、启动项“三看”识别可疑进程；三、优先正常停止服务，再强制终止并禁用自启，最后验证是否复现。
Netstat 是排查端口异常监听最直接的系统工具之一，无需安装第三方软件，适用于 Windows 和 Linux（部分新版 Linux 默认用 ss 替代，但 netstat 仍广泛可用）。关键不是“看到端口”，而是快速定位进程、判断是否可疑、安全终止。下面分三步实战操作。
一、查看所有监听端口及对应进程
命令本身简单，但参数组合决定信息是否完整：
-
Windows：以管理员身份运行 CMD 或 PowerShell，执行：
netstat -ano -p TCP（-ano 表示显示 PID，-p TCP 仅看 TCP 监听） -
Linux/macOS：终端执行：
sudo netstat -tulnp（-t TCP，-u UDP，-l 仅监听，-n 不解析名，-p 显示进程，需 root 权限）
重点关注 Local Address 列中的 0.0.0.0:x（全网监听）或 :::x（IPv6 全监听），这类端口最容易被外部探测利用；127.0.0.1:x 或 ::1:x 属本地回环，风险较低但也要核对进程是否合理。
二、识别可疑进程：三看原则
拿到 PID 后，不能直接 kill，先确认它是否该存在：
-
看进程名：用 tasklist | findstr "PID"（Win）或 ps -p PID -o pid,ppid,cmd（Linux）查进程路径。若路径是临时目录（如
C:\Users\XXX\AppData\Local\Temp\）、随机命名（如svch0st.exe假拼写）、或无签名的未知程序，高度可疑。 - 看网络行为：同一进程是否同时监听多个非常用端口（如 4444、5555、6666）？是否在非工作时间持续连接外网 IP？可用 netstat -ano -p TCP | findstr "ESTABLISHED" 辅助观察。
- 看启动项：可疑进程若开机自启，可查 msconfig（Win）或 systemctl list-unit-files --type=service | grep enabled（Linux），结合进程名追溯来源。
三、安全关闭异常监听端口
确认为恶意或误启服务后，按优先级操作：
- 优先尝试正常停止服务：查进程名后，用 net stop "ServiceName"（Win）或 sudo systemctl stop servicename（Linux）优雅退出，避免残留。
- 强制终止进程（谨慎）：确认无业务影响后，执行 taskkill /F /PID XXXX（Win）或 sudo kill -9 XXXX（Linux）。注意：杀错 PID 可能导致系统组件异常，务必二次核对。
- 禁用开机自启（治本）：Win 下用 sc delete "ServiceName" 或禁用计划任务；Linux 下执行 sudo systemctl disable servicename，再删除对应 service 文件（/etc/systemd/system/）。
操作后再次运行 netstat 验证端口是否消失，并观察数分钟内是否自动复现——复现说明有持久化机制（如木马、恶意脚本、劫持的合法服务），需进一步查杀。
