资源监视器是windows自带的轻量级诊断工具，用于快速定位网络连通性异常源头；通过“网络”选项卡可查看进程实时收发流量、远程地址及tcp连接状态，并结合ip归属查询、数字签名验证和dns测试辅助判断异常。
资源监视器是 windows 自带的轻量级诊断工具，适合快速定位网络连通性异常的源头——比如程序无法上网、网页加载缓慢、后台偷偷联网等。它不依赖第三方软件，实时性强，且能直接关联进程与连接行为。
打开资源监视器并进入网络监控界面
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到“性能”选项卡 → 点击底部的“打开资源监视器”；或者直接按 Win + R，输入 resmon 回车。启动后点击顶部的“网络”选项卡，即可查看当前所有活跃的网络活动。
识别异常联网进程与流量特征
在网络选项卡的“网络活动”区域，重点关注以下几列：
- 发送/接收 (B/sec)：数值持续为 0 或极低（如
- TCP 连接数：显示为 0 但进程名可疑（如未知.exe），提示它尝试连接失败或被防火墙拦截
- 远程地址：若显示为“*:*”、“127.0.0.1”或“::1”，表示仅本地回环通信；若大量出现“无响应”“超时”类域名或私有IP（如192.168.x.x）外连失败，可能是DNS解析或路由问题
- 进程名为 svchost.exe 或 rundll32.exe 时，右键 → “转到服务”，确认具体服务是否应联网（如 Windows Update 正常，但 Print Spooler 联网就需警惕）
检查TCP连接状态与监听端口
滚动到窗口下方，查看两个关键子视图：
- TCP 连接：观察“状态”列。大量 SYN_SENT 表示程序正尝试连接远端但无响应，常见于目标服务器宕机、防火墙阻断或本地网络中断；大量 TIME_WAIT 属正常，但若集中在同一远程IP，可能遭遇连接拒绝或端口扫描试探
- 监听端口：检查是否有非预期程序监听外部IP（如 0.0.0.0:54321）。若发现陌生进程绑定高编号端口（>49152），且“远程地址”为空白，说明它正等待入站连接——这在普通办公环境中需重点核查是否被植入后门
结合基础验证缩小问题范围
资源监视器本身不判断IP好坏，但可快速引导你做下一步验证：
- 复制“远程地址”中的IP，在浏览器中搜索归属地（如用 ipinfo.io），确认是否来自可信服务商或明显境外C2服务器
- 右键可疑进程 → “属性” → “数字签名”页，看是否由微软、Adobe、腾讯等知名厂商签署；无签名或签名无效需提高警惕
- 若怀疑DNS问题，可在“TCP 连接”中查找域名解析失败的条目（如 remote address 显示为域名但连接状态异常），再配合 nslookup 域名 或 ping 域名 验证解析与可达性
