必须启用底层网卡级数据包捕获能力，可选wireshark+npcap全链路捕获、etw+neteventviewer内核级审计、powershell快速筛查或资源监视器交叉验证四条路径。
当你怀疑 Windows 11 中有流氓软件在后台静默上传日志、同步缓存或推送广告，却无法通过任务管理器直观识别时，必须绕过系统API统计层，直接从网卡驱动捕获原始数据包——只有这样，才能看到每个TCP/UDP连接的真实目标IP、端口、协议类型及实际载荷内容，避免被进程伪装或服务代理掩盖真实行为。
用 Wireshark + Npcap 捕获全链路流量并绑定进程
这是唯一能同时显示“哪个.exe发了什么包、发给谁、用了多少字节”的原生可行路径，依赖Npcap环回适配器支持，可捕获localhost通信和加密流量的元信息。
访问 https://www.wireshark.org/download/ 下载最新 Windows x64 Installer；安装时必须勾选“Npcap”，取消所有WinPcap兼容选项以外的附加组件。
安装过程中弹出Npcap设置窗口时，【务必勾选“Install Npcap in WinPcap API-compatible Mode”并启用“Loopback Adapter”】，否则无法捕获本地服务间通信（如OneDrive与Windows Update服务互连）。
安装完成后，右键桌面Wireshark图标 → “以管理员身份运行”；主界面中识别当前活跃网卡（如WLAN），右侧“#”列数值非零即为有效接口，双击启动实时捕获。
捕获开始后，点击顶部菜单栏“捕获 → 捕获过滤器”，输入 tcp && ip.src == 192.168.1.0/24（将子网替换为你本机实际网段），缩小范围只看本机发出的TCP包；随后右键任意高频率上行包 → “追踪 → TCP 流”，左下角即显示关联进程名（如AdobeIPCBroker.exe）及完整HTTP请求头。
用 PowerShell 快速筛查异常出站连接
适用于无GUI环境或需批量导出连接快照的场景，不依赖第三方驱动，但仅显示连接状态与PID，不解析包内容。
以管理员身份运行 PowerShell，执行：
netstat -ano -p TCP | findstr :443 | findstr ESTABLISHED
该命令筛选所有处于已建立状态的HTTPS出站连接，输出含本地地址、远程IP:端口、对应PID；将PID填入任务管理器“详细信息”页搜索栏，即可定位进程路径。
若发现多个连接指向同一IP（如104.18.25.247，Cloudflare CDN下某遥测域名），说明该进程存在高频外联行为；此时可立即在资源监视器中按“发送(B/s)”排序验证其瞬时速率是否持续高于200KB/s。
用 ETW + NetEventViewer 审计内核级 send() 调用
这是最轻量且最精准的上传行为溯源方式，直接挂钩Windows内核网络栈，记录每次send系统调用的时间戳、进程名、目标地址、发送字节数及调用栈，不捕获包体但完全规避用户态劫持。
第一步：下载 NirSoft NetEventViewer v1.20+ 绿色版（免安装），【必须以管理员身份运行】，否则无法开启ETW网络事件提供程序。
第二步：点击工具栏“开始监听”按钮，等待状态栏变为绿色；在“筛选器”面板中设置：事件类型 = Send、方向 = 发送、协议 = TCP/UDP。
第三步：观察列表中“进程名称”列，重点关注非浏览器/非游戏类进程（如ShellExperienceHost.exe、SearchApp.exe）持续触发send事件；双击任一事件，在下方详情窗格中查看“远程地址”字段，若为非常规端口（如8080、3128）或境外IP段（如185.115.200.0/24），基本可判定为静默上传行为。
用资源监视器交叉验证进程级实时吞吐
这是前三种方法的前置校验步骤，用于快速排除误报——若Wireshark捕获到大量包但资源监视器中对应进程B/s为0，则说明流量来自内核驱动或硬件设备（如Realtek音频驱动心跳包），无需进一步处置。
① 同时按下 Ctrl + Shift + Esc 打开任务管理器 → 切换至“性能”选项卡 → 滚动到底部点击“打开资源监视器”。
② 新窗口中切换到“网络”选项卡 → 勾选左下角“显示所有用户”，否则 svchost.exe、dllhost.exe 等托管服务将被隐藏。
③ 点击“发送(B/s)”列标题一次，按上传速率降序排列；观察顶部进程的数值是否稳定在 50KB/s 以上且持续超过30秒——低于此阈值的波动多为DNS查询或心跳包，可忽略。
④ 在下方“TCP 连接”区域找到该进程对应的行，记录“远程地址”列内容；若显示为域名（如vortex-win.data.microsoft.com），右键复制后在CMD中执行 nslookup 命令解析真实IP，再比对Wireshark中该IP的通信频率。
