必须执行netstat -ano | findstr "ESTABLISHED"命令筛选出已建立的TCP连接，再结合tasklist或Resource Monitor定位进程，才能准确识别主动连外网的程序。
要确认本机哪些端口正主动连接外网服务器（比如浏览器访问网页、微信同步消息、迅雷下载），必须过滤掉本地监听但未发包的端口，只抓取处于 ESTABLISHED 状态的出向连接，否则会把数据库服务、远程桌面等纯内网监听端口也列出来干扰判断。
用 netstat 查看实时外网连接
打开命令提示符（Win+R → 输入 cmd → 回车），执行以下命令：
netstat -ano | findstr "ESTABLISHED"
这条命令会列出所有已建立的 TCP 连接，每行包含本地地址（本机IP:端口）、远程地址（对方IP:端口）、PID（进程编号）。注意：它不区分入站和出站，但只要远程地址不是 127.0.0.1 或局域网段（如 192.168.x.x），基本可判定为外网通信。
若想进一步缩小范围，可加上远程IP过滤，例如只看连到百度的连接：netstat -ano | findstr "ESTABLISHED.*220.181."。
定位具体是哪个程序在连外网
从上一步结果中记下某行末尾的 PID 数字（比如 12345），然后执行：
tasklist | findstr "12345"
这会输出对应进程的完整名称，如 chrome.exe、WeChat.exe、QQMusic.exe。如果看到 svchost.exe 这类系统宿主进程，需结合其加载的服务判断——此时可改用 PowerShell 命令精准溯源：【Get-Process -Id 12345 | Select-Object Name, Path】，能直接显示可执行文件路径，避免误判。
用 Resource Monitor 实时可视化追踪
方法一：快捷键启动
按 Ctrl+Shift+Esc 打开任务管理器 → 切换到“性能”选项卡 → 点击左下角“打开资源监视器” → 切到“网络”页签 → 展开“TCP 连接”列表。
方法二：直接运行
Win+R → 输入 resmon → 回车 → 切到“网络”页签。
这里能看到每个连接的进程名、本地地址、远程地址、发送/接收字节数、连接状态。点击“远程地址”列可排序，把非内网 IP（如 180.101.x.x、223.5.5.5）自动聚到顶部。鼠标悬停在远程 IP 上，几秒后会弹出地理位置提示（如“中国 北京 电信”），比命令行更直观。
注意：Resource Monitor 默认不显示 PID，但右键表头可勾选“PID”列，方便与 netstat 结果交叉验证。
