活动监视器可通过网络流量波动、CPU/能耗异常及端口检测间接识别高频DNS请求进程：关注“网络”标签中“发送字节”小幅有节奏跳动，结合CPU/能耗视图筛选python等脚本进程，用lsof验证UDP/TCP 53端口使用，并终止后观察流量回落确认。
活动监视器本身不直接显示“dns解析次数”或“域名查询行为”，但可以通过网络活动特征、进程行为模式和辅助验证手段，间接定位频繁发起 dns 请求的异常后台任务。关键不是看它查了什么域名，而是看它是否在不该联网时持续发包、收发比失衡、或伴随高 cpu/能耗。
切换到“网络”标签页并关注实时流量波动
启动活动监视器（Command + 空格 → 输入“活动监视器”），点击顶部标签栏的网络。确保“接收字节”和“发送字节”两列可见（若不可见，点菜单栏“显示”→“栏”勾选）。这两列显示的是每秒新增字节数，不是累计总量——DNS 查询虽小，但高频请求会表现为“Sent”列持续、小幅、有节奏地跳动（如 200–800 B/s 循环出现）。特别留意那些：
- 名称陌生、含随机字符或可疑前缀（如 svc_、dnsproxy、kqz9x）的进程
- 用户为 root 或你本人，但你并未主动启动，且“启动时间”很新
- 没有对应前台应用，却在 Safari/Chrome 未运行时仍保持稳定发送流量
结合“CPU”与“能耗”视图交叉验证
频繁 DNS 解析常伴随解析逻辑执行（如脚本调用 nslookup、dig 或内置 resolver）、结果处理或重试机制，容易引发 CPU 或能耗异常。切换到CPU标签页，按“% CPU”降序排列，再搜索关键词：python、perl、osascript、bash、node。这些往往是执行 DNS 脚本的宿主进程。同时切到能耗标签页，观察是否有进程长期显示“高”能耗却无图形界面——这是后台轮询类任务（包括恶意 DNS 心跳）的典型表现。
双击进程查路径与端口，用终端确认 DNS 行为
选中可疑进程后，双击或点击ⓘ按钮，查看其完整路径和打开的文件与端口。重点检查是否监听或连接 UDP 53、TCP 53、或 5353（mDNS）端口。接着打开终端，运行：
lsof -iUDP:53 -Pn | grep PID将 PID 替换为该进程编号。若返回非空结果，说明它确实在主动使用 DNS 协议端口。再运行：
看它是否正连接外部 IP（尤其是非常规 DNS 服务器地址，如非 1.1.1.1 / 8.8.8.8 的境外 IP），这可能是隐蔽 DNS 隧道或 C2 通信。
临时终止并观察网络图表回落
点击左上角红色“X”按钮 → 选择退出进程（非强制退出）。观察活动监视器窗口底部的“发出的数据/秒”曲线是否明显平缓；同时右键 Dock 中的活动监视器图标，选“Dock 图标”→“显示网络使用率”，看动态滚动条是否显著减速。若回落明显，基本可锁定该进程为 DNS 异常源头。对反复重启的进程，还需检查其 launchd 配置：
launchctl list | grep PID再查对应 plist 文件位置（重点关注 ~/Library/LaunchAgents/ 和 /Library/LaunchDaemons/），确认是否设置了 StartInterval 或 WatchPaths 导致高频唤醒。
