คุณจะเพิ่มพอร์ตที่เปิดค้างไว้โดยกระบวนการที่ตายแล้วได้อย่างไร

เพื่อนร่วมงานของฉันเพิ่งพบปัญหาที่กระบวนการที่คาดคะเนว่าตายแล้วนั้นยังคงถูกผูกไว้กับพอร์ตเครือข่ายป้องกันไม่ให้กระบวนการอื่นผูกติดกับพอร์ตนั้น โดยเฉพาะnetstat -a -bได้รับรายงานว่ากระบวนการที่มีชื่อSystemกับ PID 4476 มีพอร์ต 60001 เปิดยกเว้นกระบวนการที่มี PID 4476 ไม่มีตัวตนอย่างน้อยเท่าที่ผมสามารถบอกได้

Process Explorer และตัวจัดการงานไม่ได้แสดงรายการ PID 4476 (แม้ว่าจะมีกระบวนการอื่นที่ชื่อว่าSystemPID 4 ซึ่งมีชุดการเชื่อมต่อ TCP ของตัวเองซึ่งไม่รวม 60001) taskkill /PID 4476ยังได้รายงานว่าไม่พบ PID 4476

มีวิธีฆ่ากระบวนการระบบลึกลับนี้เพื่อเพิ่มพอร์ตที่ถูกผูกไว้ในขณะนี้หรือไม่? อะไรจะทำให้สิ่งนี้เกิดขึ้นได้? จะมีกระบวนการที่ Task Manager, Process Explorer และ taskkill ไม่มีใครรู้ได้อย่างไร การรีบูตเครื่องมีการจัดการเพื่อแก้ไขปัญหา แต่ฉันต้องการที่จะทราบว่ามีวิธีการแก้ไขได้โดยไม่ต้องรีบูตเครื่อง

ฉันรู้ว่านี่เป็นเธรดเก่า แต่ในกรณีที่คนอื่นมีปัญหาเดียวกันฉันมี ...

สิ่งที่อาจเกิดขึ้นคือกระบวนการของคุณเปิดพอร์ต TCP เมื่อเกิดข้อผิดพลาดหรือออกโดยไม่ได้ปิดอย่างชัดเจน โดยปกติระบบปฏิบัติการจะล้างสิ่งต่าง ๆ เหล่านี้ แต่เมื่อบันทึกกระบวนการหายไป แม้ว่ากระบวนการอาจไม่ทำงานอีกต่อไป แต่อย่างน้อยก็มีสิ่งหนึ่งที่สามารถเก็บบันทึกของมันไว้เพื่อป้องกันการนำ PID กลับมาใช้ซ้ำ นี่คือการมีอยู่ของกระบวนการลูกที่ไม่ได้แยกออกจากผู้ปกครอง

หากโปรแกรมของคุณวางไข่กระบวนการใด ๆ ในขณะที่ทำงานให้ลองฆ่าพวกเขา ที่ควรทำให้เร็กคอร์ดกระบวนการของมันถูกทำให้เป็นอิสระและพอร์ต TCP จะถูกล้างข้อมูล เห็นได้ชัดว่า windows ทำเช่นนี้เมื่อมีการปล่อยบันทึกไม่ใช่เมื่อกระบวนการออกไปอย่างที่ฉันคาดไว้

คุณลองใช้ TCPView และปิดการเชื่อมต่อหรือไม่ ฉันไม่รู้ว่ามันจะแสดงการเชื่อมต่อในสถานการณ์ที่คุณกำลังอธิบายเพราะฉันไม่เคยเกิดขึ้นกับฉัน แต่มันเป็นสิ่งเดียวที่ฉันสามารถคิดได้หากเกิดเหตุการณ์นี้ขึ้นอีกครั้ง

กระบวนการนี้เป็นอย่างไร - เป็นซอฟต์แวร์เชิงพาณิชย์หรืออะไรที่ปลูกเอง ดูเหมือนว่าจะใช้พอร์ตโทรจันหมายเลข 60001 - ฉันสงสัยว่ามันน่าจะเป็นรูทคิทหรืออะไรที่ซ่อนตัวเองจากระบบปฏิบัติการหรือไม่ อาจต้องการให้เครื่องดังกล่าวดีขึ้นอีกครั้งด้วย AV อาจเป็นบางสิ่งจากสื่อที่สามารถบู๊ตได้

เปิด command prompt ในฐานะผู้ดูแลระบบ

1. C: \ WINDOWS \ system32> netstat -ano | findstr: 7895

*** ทำซ้ำขั้นตอนที่ 2 จนกว่าจะไม่มีกระบวนการลูกอีก

2. C: \ WINDOWS \ system32> กระบวนการ wmic โดยที่ (ParentProcessId = 1091) รับคำบรรยายภาพ ProcessId

   รหัสคำบรรยายภาพกระบวนการ

   cmd.exe 1328

2.a. C: \ WINDOWS \ system32> กระบวนการ wmic โดยที่ (ParentProcessId = 1328) รับคำบรรยายภาพ ProcessId

  Caption  ProcessId

  conhost.exe  1128

2.b. ทำซ้ำสิ่งนี้จนกว่าจะไม่พบกระบวนการลูกเพิ่มเติม

- จากนั้นฆ่ากระบวนการลูกทั้งหมด

3. C: \ WINDOWS \ system32> taskkill / F / PID 1128 สำเร็จ: กระบวนการที่มี PID 9500 ถูกยกเลิก

ฉันได้ประสบปัญหาเดียวกันก่อนหน้านี้คำสั่ง netstat -a -n windows ให้ฉันรายการของพอร์ตที่เปิดด้วย ID กระบวนการ จากนั้นฉันได้รับหมายเลขพอร์ตที่ฉันต้องการปิดการเชื่อมต่อแล้วฉันปิดการเชื่อมต่อนั้นโดยใช้ซอฟต์แวร์ TCPView สิ่งนี้ใช้ได้สำหรับฉัน

หากคุณเป็นผู้ใช้ windows ให้ทำตามขั้นตอนด้านล่างขั้นตอนที่ 1: ไปที่เส้นทางนี้: เครื่องมือแผงควบคุม \ รายการทั้งหมด \ เครื่องมือการควบคุม

ขั้นตอนที่ 2: คลิกที่บริการ

ขั้นตอนที่ 3: หยุดบริการที่ไม่ต้องการทำงานบนพอร์ตที่ต้องการ

ps -ef | grep processname

ฆ่ากระบวนการที่เกี่ยวข้อง

kill -9 pid pid

ทำงานในกรณีของฉัน