Y a-t-il une manière de déterminer quel service (dans svchost.exe) fait une connexion sortante ?

J'ai trouvé qu'une méthode dans cette réponse de défaut de serveur (au sujet des services et de l'utilisation de mémoire) cette je pourrait employer pour analyser individuellement l'utilisation de réseau des services (avec tout outil de réseau)

Dédoublez chaque service pour courir dans son propre processus de SVCHOST.EXE et le service consommant les cycles d'unité centrale de traitement sera facilement évident dans le gestionnaire de tâches ou l'explorateur de processus (l'espace après que « = » soit exigé) :

Les config Servicename Type= de Sc possèdent

Faites ceci dans une ligne de commande fenêtre ou mettez-le dans un manuscrit de BATTE. Des privilèges administratifs sont exigés et une reprise de l'ordinateur est exigée avant qu'elle entre en vigueur.

L'état original peut être reconstitué par :

Part de Servicename Type= de config de Sc

TCPView est un outil graphique qui te montrera le service, la connexion de PID, et de TCP (local et à distance) :

essai utilisant le tasklist /svc et le netstat ou le netstat - de la ligne de commande. Ceci te montrera les programmes qui emploient svchost.exe et les ports étant. Utilisant les numéros d'accès, vous pouvez pouvoir rechercher le protocole qui emploie généralement le nombre http://en.wikipedia.org/wiki/List_of_TCP_and_UDP_port_numbers.

SysInternals traitent l'explorateur peut faire ceci pour vous.

Ouvrez les propriétés de processus de l'exemple de svchost.exe que vous essayez d'analyser. Cliquez sur dessus le double de TCP/IP tableau cliquent sur dessus la connexion que vous voulez découvrir pour évoquer une trace de pile de la connexion. Vous devriez pouvoir tracer la pile de nouveau au DLL qui met en application le service. Voici un extrait à partir du dossier d'aide sur le sujet de Properites de processus :

TCP/IP :

Tous les points finaux actifs de TCP et d'UDP possédés par le processus sont montrés à cette page.

Sur Windows XP SP2 et plus haut cette page inclut un bouton de pile qui ouvre un dialogue qui montre la pile du fil qui a ouvert le point final choisi à l'heure de l'ouvert. C'est utile pour identifier le but des points finaux dans le processus de système et les processus de Svchost parce que la pile inclura le nom du conducteur ou l'entretiendra qui est responsable du point final

Également sur des symboles de configuration

Configurez les symboles : sur Windows NT et plus haut, si vous voulez que l'explorateur de processus résolve les adresses pour des adresses de début de fil dans l'étiquette de fils du dialogue de processus de propriétés et la fenêtre de pile de fil puis configurent des symboles par le premier téléchargement que les outils d'élimination des imperfections pour Windows empaquettent du site Web de Microsoft et de l'installer dans son annuaire de défaut. Ouvrez le dialogue de symboles de configuration et spécifiez le chemin au dbghelp.dll qui est dans l'annuaire d'outils d'élimination des imperfections et ayez les symboles de téléchargement de moteur de symbole sur demande de Microsoft à un annuaire sur votre disque en entrant dans une ficelle de serveur de symbole pour le chemin de symbole. Par exemple, pour avoir le téléchargement de symboles à l'annuaire de c:\symbols vous entreriez dans cette ficelle :

srv* c:\symbols * http://msdl.microsoft.com/download/symbols

Note : Vous pouvez devoir courir l'explorateur de processus comme administrateur pour pouvoir voir la pile du fil.

Employez le gestionnaire de tâches pour regarder les colonnes de PID pour chaque processus dans la liste de processus. Puis netstat de course - ano pour regarder les connexions actives et le PID associé (= identificateur de processus).

Le NirSoft CurrPorts de service fait tout que vous voulez, y compris filtrer et donner la liste de services d'un processus.

En fait, le seul problème avec lui est comment choisir parmi l'énorme nombre de colonnes de l'information qu'il peut potentiellement montrer.