wutenan 's blog

前言

　您是否在使用Windows作業系統時，即使沒有執行任何軟體，而電腦右下角的網路燈號依然一直閃爍不停。若這時候您懷疑電腦可能已經中毒了，第一個採用的方法是開啟電腦內的防毒軟體執行全硬碟掃描；或者不相信自己電腦的防毒軟體，而利用免費的線上病毒掃描工具。上述不論使用哪一種方式，都需要耗費相當的時間，才可得知究竟是否為病毒所引發的現象。其實，要檢查網路燈號閃爍的情形，只要使用微軟官方所提供的免費網路連線檢查軟體TCPView，即可快速方便地查出原因。

說明

　TCPView適用的環境為Windows Server 2008、Vista、NT、2000 and XP，是一款免費的網路工具，主要目的是監控電腦上TCP及UDP連線情況並可將結果圖形化的工具軟體。它可以顯示目前電腦中正在執行程式的對外連線狀況，包括：程式名稱、使用哪個port、協定、本機及遠端位址、連線狀態等。使用者可隨意切換以IP位址或以URL顯示本機和遠端位址，也可以利用TCPView所提供的額外功能whois，來進行查詢、關閉連線、查詢或結束程序及設定更新時間等。

官方下載網址：http://technet.microsoft.com/en-us/sysinternals/bb897437.aspx

使用方式

　請由官方網站下載至電腦，將其解壓縮後會發現共有兩個執行檔：tcpvcon.exe與Tcpview.exe，其中，tcpvcon.exe為命令模式介面，一般會使用Tcpview.exe的圖形介面模式來調查，如【圖1】。

圖1　TCPView的主要視窗

　當您啟動TCPView時，會瞬間跑出許多程序的連線狀態。當某個程序暫停或停止時，該連線狀態就會以紅色字眼出現，之後會從主視窗消失。依照這種動態更新連線的功能，可以很輕易地判斷目前電腦上所有程序的連線狀態，或是電腦被藏木馬程式。倘若該木馬程式在該時間內有對外的連線行為，就可以很容易判斷它的連線程序名稱與遠端位址；接著，再利用TCPView本身提供的其他額外功能，來解決電腦異常連線的問題。

　在TCPView的主要視窗會看見五個主要欄位：

• Process（程序）：顯示目前正在執行連線的程序名稱及程序識別編號。
• Protocol（協定）：顯示該程序之連線所使用的通訊協定，如：TCP或UDP。
• Local Address（本機位址）：顯示該連線的本機位址與通訊埠號碼。
• Remote Address（遠端位址）：顯示該連線的遠端目的位址與通訊埠號碼。
• State（狀態）：顯示該程序的連線狀態，如LISTENING、ESTABLISHED及SYN_SENT等。

　如果覺得主要視窗的字體太小，您可以依【圖2】與【圖3】所示的步驟來調整到適合的大小。

圖2　TCPView調整字體大小

圖3　TCPView字體大小選項

　TCPView的工具列總共提供四個功能，如【圖4】所示：

• ：存檔，即將目前的連線紀錄存至電腦（或點選File > Save與快速鍵"Ctrl+S"皆可），預設檔案格式為txt。
• ：切換本機和遠端位址為IP位址或Domain名稱位址（或點選Options > Resolve Addresses與快速鍵"Ctrl+R"皆可）。
• ：只顯示目前連線的程序（或點選Options > Show Unconnected Endpoints與快速鍵"Ctrl+U"皆可）。
• ：重新整理，將目前的狀態重新整理一遍。

圖4　TCPView工具列

　除了基本功能之外，TCPView的其他進階功能如下：

• Whois查詢：用來查詢域名是否已經被註冊，及註冊域名的詳細資訊（如域名所有人、域名註冊商、域名註冊日期和過期日期等）。請點選欲查詢的程序，按下File > Whois（也可直接在程序上按右鍵選Whois，或按下快速鍵"Ctrl+W"皆可）。請注意，必須選擇目前對外連線的程序，才可開啟Whois功能，如【圖5】所示。

圖5　Whois功能

• 關閉連線：當發現非合法的程序正在執行時，可利用此功能關閉異常的連線。請點選欲關閉的程序，按下File > Close Connection（或是直接在程序上按右鍵選Close Connection）。當連線即將關閉時，該程序會顯示為紅色。
• 查詢程序相關資訊：點選欲查詢的程序名稱，按下Process > Process Properties（或是直接在程序上按右鍵> Process Properties），如【圖6】所示。

圖6　查詢程序相關資訊

• 終止程序：點選欲終止的程序，按下Process > End Process（或者是直接在程序上按右鍵> End Process皆可）。於TCPView跳出的確認視窗中按下「是」，該程序會立即終止。
• 設定資料重新整理的頻率：按下View > Update Speed（預設是1秒鐘，可自定1、2、5秒或暫停等等），如【圖7】所示；若按下Refresh Now（或按下預設的快速鍵"F5"皆可），則會立即進行更新。

圖7　設定資料重新整理的頻率

結論

　TCPView是微軟提供的一個很方便的免費綠色（無需安裝）小工具，主要的功能就是列出電腦的全部對外連線情形，類似於Linux上的「netstat」指令。一目了然的介面可讓使用者快速瞭解，但要注意的是，當您的網路燈號有異常閃爍時，才建議使用TCPView來檢查；若想利用TCPView來檢查電腦是否有中病毒或木馬，可能較不恰當，因為病毒或木馬程式並不是無時無刻都在執行。

　還懷疑你的電腦有異常連線的可能嗎？還嫌掃毒軟體太麻煩了嗎？趕快下載來看看你的電腦連線狀況吧！