netstat -n 仅显示当前 ESTABLISHED 或 SYN_SENT 的 TCP 连接，无法获取真实对方IP；QQ/微信等通过中继服务器通信，所见IP多为腾讯出口地址，非对方设备真实出口。
用 netstat -n 查正在通信的对方IP，但仅限TCP连接建立后
netstat -n 是最常用也最容易误用的方法。它不显示“所有聊过天的人”，只列出当前处于 ESTABLISHED 或 SYN_SENT 状态的 TCP 连接。QQ、微信这类应用大多走 TLS 加密通道，且大量使用中继服务器（比如腾讯的 proxy 节点），你看到的 Foreign Address 往往是腾讯上海或广州的出口 IP，不是对方真实出口。
- 必须先发起一次有效通信：比如发一条消息、传一张图、点一下远程桌面请求，让本机和对方之间真正建起一个 TCP 连接
- 执行命令前先记下当前连接列表：
netstat -n，再操作，再执行一次对比，新出现的那行才是目标 - Windows 上要确保没开“网络保护”或第三方防火墙拦截了 netstat 的底层调用，否则可能漏掉部分连接
- macOS/Linux 用户请用
lsof -iTCP -sTCP:ESTABLISHED -n替代，netstat在新版系统里已逐步被弃用
资源监视器里筛 QQ.exe 的远程地址，但注意多开和复用问题
Windows 资源监视器（Resource Monitor）比命令行更直观，但它有个硬伤：QQ 启动后会预连多个服务器，同时维持多个 TCP 连接，而聊天窗口本身不独占某条连接。你看到的 Remote Address 列里一堆 11x.x.x.x、12x.x.x.x 地址，大概率是腾讯的登录服务器、文件中转服、音视频网关，不是对方设备。
- 只勾选
QQ.exe进程，不勾其他（尤其是浏览器、微信、迅雷） - 在“TCP 连接”页签里按“发送字节数”倒序，刚发完大图或语音后，字节数突增的那一行更可能是直连路径
- 如果对方开了多账号或用了手机版 QQ，根本不会出现在你的本地连接列表里——手机走的是运营商基站+腾讯 CDN，不经过你家路由器
- 别信“右键QQ图标→属性→网络状态”这种伪路径，新版 QQ 客户端已移除该功能
公网IP查不到真实物理位置，别被“IP定位到XX市”误导
你在 ip138.com、iping.cc 或百度搜“IP”查到的“北京市朝阳区”“上海市浦东新区”，只是 IP 段注册信息 + 历史路由跳数估算，误差常达几十公里。运营商分配给家庭宽带的公网 IP，注册地址写的是机房位置（比如北京亦庄联通IDC），不是你家楼下便利店。
- 国内家庭宽带几乎全是动态公网 IP，每次拨号都可能变；所谓“静态IP”99%是 ISP 内网地址，对外仍做 NAT 映射
- IPv6 场景下，理论上每个终端有全球唯一地址，但绝大多数家用路由器默认关闭 IPv6 转发，且 QQ/微信等 App 未强制启用 IPv6 直连
- 真要确认对方大致区域，看 DNS 查询日志比看 IP 更靠谱：比如他访问了
shanghai.xxx.com或gz.gov.cn，比查到一个 202.96.x.x 更有指向性
别碰“抓包分析对方IP”这种思路，现实里基本不可行
Wireshark 抓包看起来很硬核，但对普通用户几乎无效。现代 IM 工具全量加密（TLS 1.3 + QUIC），你只能看到 IP+端口+数据长度，解不开 payload。就算拿到原始数据包，源 IP 字段也早被中间代理替换过。
- 除非你和对方在同一局域网、且他用的是未加密的旧版局域网聊天工具（比如飞秋、早期 RTX），否则 Wireshark 显示的全是腾讯/阿里的服务器 IP
- HTTPS 流量无法解密，除非你提前在对方电脑装了你控制的根证书（这已超出“查询”范畴，属于入侵行为）
- 手机端流量更难捕获：iOS 完全封闭，Android 需 root + 特定驱动，且主流 App 使用 certificate pinning 反调试
