可使用任务栏网络使用情况、任务管理器性能页、资源监视器、设置中数据使用量及PowerShell命令五种原生方法定位偷跑流量软件：依次实现速率感知、吞吐验证、进程排序、后台用量核查与瞬时连接取证。
如果您发现 Windows 11 网络使用量异常升高、带宽被不明占用，但并未主动运行大量联网程序，则可能是后台流氓软件在静默上传或持续连接远程服务器。以下是开启系统原生实时数据流量监控并定位偷跑流量软件的具体方法：
一、启用任务栏“网络使用情况”实时速率显示
该功能直接调用系统资源监视服务，在任务栏右下角动态刷新当前连接的上传与下载速率（单位为 Mbps），无需安装第三方工具，且不依赖后台进程驻留，可第一时间感知突发流量波动。
1、点击“开始”按钮，选择“设置”图标进入系统设置界面。
2、在左侧导航栏中选择“个性化”，再点击右侧的“任务栏”选项。
3、向下滚动至“任务栏项”区域，找到并开启“网络使用情况”开关。
4、确认“锁定任务栏”已启用；若未显示数值，可在任务管理器中结束 explorer.exe 进程，系统将自动重启资源管理器。
5、观察任务栏网络图标旁出现的实时速率数字，数值持续高于 2.0 Mbps 且无前台应用对应时，即存在可疑后台偷流行为。
二、通过任务管理器性能页查看网卡级瞬时吞吐量
该方式利用 Windows 11 原生性能监控组件，提供每秒刷新一次的接收/发送速率读数，精确到小数点后一位，可验证当前是否存在高负载，并作为后续进程排查的基准参照。
1、同时按下 Ctrl + Shift + Esc 组合键，直接打开任务管理器。
2、点击顶部菜单中的“性能”选项卡。
3、在左侧硬件列表中，选择当前活跃的网络类型（如“Wi-Fi”或“以太网”）。
4、右侧图表下方将显示“接收速度”与“发送速度”，单位默认为 Mbps，数值实时跳变。
5、将鼠标悬停于图表任意位置，可查看该时刻精确到 0.1 Mbps 的具体速率值，若发送速度长期高于 0.5 Mbps 且无视频会议、文件上传等主动操作，则需立即进入进程级排查。
三、使用资源监视器按 B/s 排序定位高流量后台进程
资源监视器直接读取内核级网络 I/O 计数器，以字节每秒（B/s）为单位显示每个进程的实时吞吐率，支持动态降序排列，是识别无界面、非前台运行但持续联网的流氓软件最精准的原生手段。
1、在已打开的任务管理器“性能”选项卡底部，点击“打开资源监视器”链接；或直接按 Win + R，输入 resmon 后回车。
2、新窗口中切换至“网络”选项卡，勾选左下角“显示所有用户”以包含系统服务与后台进程。
3、在“网络活动的进程”列表中，点击“发送(B/s)”列标题进行降序排序。
4、重点关注数值持续高于 100000 B/s（约 100 KB/s） 的进程，其名称将位于列表顶端。
5、展开下方“TCP 连接”表格，查找该进程对应的远程地址，若指向 185.199.108.153（Fastly CDN）、104.18.32.137（Cloudflare）或非常规端口（如 5223、4444），则高度疑似广告 SDK 或遥测外联行为。
四、通过“设置→数据使用量”核查应用级后台历史用量
该方法读取 Windows 11 内置 SRU 数据库，提供过去 30 天内各应用的“后台使用量”统计（完全排除用户主动操作时段），专用于识别长期静默联网却未被察觉的流氓软件。
1、按下 Win + I 快捷键打开“设置”应用。
2、在左侧导航栏中点击“网络和 Internet”，右侧内容区向下滚动并点击“数据使用量”。
3、向下滚动至“应用程序数据使用量”区域，确保“筛选依据”设为“过去30天”。
4、重点关注“后台使用量”列数值，若某应用后台用量超过前台用量 3 倍以上（例如后台 1.2 GB、前台仅 350 MB），且该应用近期未被主动启动，则极可能为后台偷流程序。
5、对可疑应用（如 BingNews、Microsoft.Todos、YourPhone、TeamsMachineInstaller），右键其名称可查看详细连接日志或直接卸载。
五、使用 PowerShell 命令捕获瞬时高带宽连接及对应进程 PID
当图形界面刷新延迟、目标进程仅短暂活跃或需结构化取证时，PowerShell 可绕过 UI 限制，调用 WMI 接口获取瞬时 TCP 连接与关联进程 ID，提供可验证的底层通信证据。
1、右键任务栏左下角开始按钮，选择“Windows 终端（管理员）”。
2、输入以下命令并回车执行：Get-NetTCPConnection | Where-Object State -eq 'Established' | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess | Sort-Object OwningProcess -Descending | Select-Object -First 15
3、在返回结果中查找 OwningProcess 数值最高的条目，记下该 PID。
4、在同一终端中输入：Get-Process -Id [PID] | Select-Object ProcessName, Path（将 [PID] 替换为上一步获取的数字）。
5、若 ProcessName 显示为 rundll32.exe、svchost.exe 或路径含 Temp、AppData\LocalLow 等非系统目录，则该进程大概率属于伪装型流氓软件。
