核心是三步：先用netstat -ano（Win）或netstat -tulnp（Linux）查活跃连接及PID；再用findstr/grep过滤ESTABLISHED或可疑端口；最后用tasklist（Win）或ps/ls -l /proc/PID/exe（Linux）确认进程路径是否异常。

新手用 netstat 查异常连接和恶意 PID，核心就三点：先看谁在连、再查连的是谁、最后确认是不是坏家伙。不需要背参数，记住几个实用组合就行。

一、快速列出所有活跃连接并标出进程ID

在 Windows 上运行：

netstat -ano

在 Linux 上（需 root 或 sudo）：

netstat -tulnp

这两个命令能一次性看到协议、本地地址、远程地址、连接状态和对应的 PID。重点关注：

• State 列为 ESTABLISHED 的行（表示已建立的对外连接）
• Foreign Address 是陌生 IP，尤其是境外地址或非常规段（如 185.245.x.x、103.196.x.x）
• Local Address 绑定在 0.0.0.0 而非 127.0.0.1（说明服务对外暴露）
• PID 是数字，后面没显示进程名——说明权限不够，Linux 需加 sudo，Windows 需管理员身份运行

二、聚焦可疑连接，缩小排查范围

别从几百行里手动翻。用过滤快速定位：

查所有已建立的连接（Windows）：

netstat -ano | findstr "ESTABLISHED"

查某个端口是否被占用（比如 4444，常见于远控木马）：

netstat -tulnp | grep ":4444 "（注意冒号后有空格，避免误匹配 14444）

查某进程是否在联网（比如怀疑 chrome.exe 异常外连）：

netstat -ano | findstr "chrome"（Windows）或 netstat -tulnp | grep "chrome"（Linux）

三、拿到 PID 后，确认它到底是什么程序

PID 只是个编号，必须查清对应文件才敢动手。别直接 kill。

Windows 下查进程路径（管理员权限运行）：

tasklist /fi "pid eq 1234"（替换 1234 为实际 PID）

Linux 下查进程详情：

ps -p 1234 -o pid,ppid,cmd 或更直接：ls -l /proc/1234/exe

重点看路径是否可疑：

• 路径含 Temp、AppData\Local\RandomName、/tmp/xxx.sh → 高风险
• 进程名拼写异常，如 svch0st.exe、csrsss.exe（多一个字母）→ 假系统进程
• 无数字签名（Windows）、无发行包管理记录（Linux）→ 需警惕

四、确认恶意后，安全终止并防止复活

不建议上来就强制杀进程。按顺序操作：

• 先尝试正常停止：Windows 用 net stop "服务名"，Linux 用 sudo systemctl stop servicename
• 确认无业务影响后，再强制结束：taskkill /F /PID 1234（Win）或 sudo kill -9 1234（Linux）
• 查开机自启项：Windows 运行 msconfig 或 shell:startup；Linux 查 systemctl list-unit-files --type=service | grep enabled
• 删掉对应服务或禁用启动项，否则重启后还会回来