tcpview是微软官方免安装网络连接监控工具，可实时可视化显示所有tcp/udp连接及关联进程，支持按远程地址、状态筛选并一键终止可疑进程，需以管理员身份运行才能完整捕获系统连接信息。
当你发现电脑CPU或网络占用异常升高，浏览器频繁弹出广告，或任务管理器里出现不认识的进程在持续发送数据，说明可能有外挂、木马或捆绑软件正在后台偷偷联网——TCPView能直接暴露它们的真实进程名、PID、远程IP和连接状态，比netstat更直观、比资源监视器更实时。
下载并运行官方TCPView
打开微软Sysinternals官网（https://learn.microsoft.com/en-us/sysinternals/downloads/tcpview），下载最新版TCPView（64位系统选x64版本）。
下载的是免安装ZIP包，解压后直接双击
首次运行时Windows会弹出“未知发布者”警告，点击“更多信息”→“仍要运行”即可。
识别可疑联网进程的三步筛选法
第一步：点击顶部菜单栏“查看”→勾选“显示未活动连接”，确保所有历史残留连接也可见。
第二步：在主表格中按“远程地址”列点击排序，所有对外网IP（非127.0.0.1、::1、192.168.x.x、10.x.x.x、172.16.x.x–172.31.x.x）的连接会集中到顶部或底部，一眼扫出异常目标。
第三步：重点关注状态列为“ESTABLISHED”且远程端口非标准服务端口（如80/443/53）的行，例如连向185.199.108.153:4433、203.125.216.88:5555这类非常规端口的进程，极大概率是外挂通信或C2回连。
此时，对应“进程”列显示的名称（如gamehelper.exe、updater32.dll、Jp_Update.exe）就是真凶——注意看其路径是否在Program Files、AppData\Roaming或Temp等用户可写目录下，【路径含中文、随机字母数字组合、或指向%LOCALAPPDATA%\Temp，基本可判定为恶意】。
快速终止并验证残留行为
方法一：在TCPView中右键可疑进程 → 选择“End Process”，立即切断其所有TCP/UDP连接。
方法二：双击该进程行，在弹出窗口中点击“Kill Process Tree”，连带结束其子进程（很多木马会派生守护进程防止被杀）。
杀掉后观察几秒：如果同一远程IP在2秒内重新建立新连接，说明该程序被计划任务、服务或注册表启动项自动拉起——此时需立刻切换到“文件”→“刷新”旁的下拉箭头 → 选择“刷新间隔：1秒”，持续盯住连接复现规律。
注意：不要直接关闭TCPView窗口，它退出后监控即停止；最小化即可，后台持续刷新才能捕获瞬时连接。
