资源监视器的“网络”选项卡下“tcp连接”视图可直接显示各进程连接的远程ip及端口；需勾选“显示所有进程”，按“远程地址”排序识别异常ip，established状态表示活跃连接，pid列可关联进程并进一步分析。

资源监视器能直接列出每个进程正在连接的远程 ip 地址，关键在“网络”选项卡下的“tcp 连接”视图。它不显示域名，只显示实际通信的 ip 和端口，适合快速定位目标服务器。

打开资源监视器并进入网络监控界面

按 Win + R 输入 resmon 回车，或从任务管理器【性能】页点击【打开资源监视器】。启动后切换到顶部的【网络】选项卡。

在“TCP 连接”中查看远程 IP

滚动到底部的【TCP 连接】子视图，确保已勾选【显示所有进程】：

Handsfree Windows Control

通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。

下载

• 远程地址列即为目标 IP 与端口号（如 203.208.60.12:443），冒号前是 IP，后是端口
• 可按【远程地址】列标题排序，把陌生 IP 或大量连接集中排在前面
• 同一 IP 出现多次，说明该进程正与其建立多个连接（如浏览器加载网页资源）
• 状态为 ESTABLISHED 表示连接已建立；TIME_WAIT 是断开后的短暂残留，通常无需关注

关联进程与远程 IP

【TCP 连接】表中的【PID】列对应进程编号，可与上方【网络活动】区域的进程名称联动：

• 点击某行远程地址，上方【网络活动】会自动高亮对应进程（如 chrome.exe）
• 右键该进程 → 【转到详细信息】，可在任务管理器【详细信息】页进一步查看路径、签名等
• 若需确认是否为恶意行为，复制远程 IP 到 VirusTotal 或 IPinfo 查询归属地和威胁评分

注意监听端口与主动连接的区别

【监听端口】子视图显示的是本机正在等待入站连接的服务（如 0.0.0.0:3389），不是你主动连出去的目标 IP。分析“谁在连谁”，只看【TCP 连接】里的【远程地址】即可。