必须用netstat -an查看所有TCP/UDP连接，重点关注State列为ESTABLISHED的行，它们代表当前真实双向通信；配合netstat -ano | findstr "ESTABLISHED"可直接获取带PID的活跃连接，再用tasklist查进程名，或用管理员权限运行PowerShell命令Get-NetTCPConnection一键关联进程名。
要确认Windows系统此刻正在与哪些服务器通信、哪些程序在后台悄悄联网，必须获取实时TCP连接原始数据，不能依赖任务管理器里模糊的“网络使用率”图表。
用netstat -an快速列出所有TCP连接
按 Win + R → 输入 cmd → 回车打开命令提示符。
输入命令：netstat -an 并回车。
等待1–2秒，屏幕将滚动显示全部TCP/UDP连接，含本地地址、远程地址、端口和状态四列；【务必只关注 State 列为 ESTABLISHED 的行】，它们才是当前真实双向通信中的连接。漏掉 -n 参数会导致命令卡在DNS反查上，遇到私有IP或境外地址可能停滞5秒以上。
用netstat -ano定位每个连接对应的程序
方法一：一步过滤已建立连接并带PID
在已有命令提示符中直接输入：netstat -ano | findstr "ESTABLISHED" 并回车。每行末尾数字就是该连接所属进程的PID。
方法二：分步查更稳妥
第一步：执行 netstat -ano 获取全量表；
第二步：从输出中找到目标连接行，记下最右侧那一串数字（例如 8924）；
第三步：立即在同一窗口输入：tasklist | findstr "8924" 并回车。
输出中 “Image Name” 列显示的就是程序名，如 chrome.exe 或 svchost.exe。
如果 tasklist 没返回任何内容，说明该 PID 已退出或当前权限不足——此时请换用管理员模式重试。
用PowerShell一次性查清连接+进程名
右键“开始”按钮 → 选择“Windows 终端（管理员）” → 点击“是”通过UAC提示。
输入以下命令（以筛选所有已建立的TCP连接为例）：
Get-NetTCPConnection -State Established | ForEach-Object { $_ | Add-Member -MemberType NoteProperty -Name ProcessName -Value (Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).ProcessName -PassThru } | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, State, ProcessName
这条命令会把每条ESTABLISHED连接自动关联出进程名，不用手动查PID再查进程，避免中间PID失效导致断链。注意：【必须以管理员身份运行，否则部分系统进程连接无法显示】。
