Zuordnung Prozess <> Netzwerkport

Veröffentlicht 3. Februar 200520 j

Handelt sich um ein Windowssystem.

Wie kann ich mir anzeigen lassen, welcher Prozess welchen TCP/UDP-Port zum Abschicken eines Paketes gerade verwendet hat? Die verwendeten Ports sind welche aus dem frei wählbaren Bereich (>1024)

Mein Problem:

Habe über die Roterlogs herausbekommen, dass unser Hardware-Router permanent mit Paketen von einem Rechner aus unserm Intranet zugeballert wird. Die Pakete haben ein anderes Subnet als Ziel und werden vom Router verworfen, allerdings wird er dabei ordentlich beschäftigt und steigt schonmal deswegen aus. Dann hilft nur noch ein Reset.

Den Rechner konnte ich lokalisieren, nur den Prozess, der für den Trouble zuständig ist, halt nicht. Wie kriege ich das heraus?

Sinngemäßes Beispiel aus dem Routerlog:

Source/Destination

192.168.1.4:32316 / 192.168.16.113:135

192.168.1.4:32333 / 192.168.23.23:135

192.168.1.4:34001 / 192.168.221.17:135

usw.

3. Februar 200520 j

Hallo,

sowohl bei Linux als auch bei Windows gibt es das Programm netstat. Das zeigt dir zumindest die aktuelle TCP/IP-Netzwerkverbindungen an. Bei Linux verrät dir das Programm auch welches Programm den Port benutzt.

Vielleicht hilft dir das weiter.

Frank

3. Februar 200520 j

192.168.1.4:32316 / 192.168.16.113:135
192.168.1.4:32333 / 192.168.23.23:135
192.168.1.4:34001 / 192.168.221.17:135
usw.

Das klingt sehr verdaechtig nach einem ungepatchten System, auf dem Viren wueten. (Blaster, Sasser, Korgo).

1. Betreffendes System vom Netz trennen

2. Datensicherung

3. Boote von einem garantiert virenfreien Medium und scanne nach Viren. Hier

bietet sich Knoppicilin an.

4. Virenentfernung: Entweder Neuinstallation (meist schneller und sicherer) oder ueber Removalprogramme, z.B. Stinger ( http://download.nai.com/products/mcafee-avert/stinger.exe )

5. Sicherheitsluecken schliessen (Windows Update, SUS/WUS/SMS)

6. Aktuellen Virenscanner einsetzen

4. Februar 200520 j

anstelle von "netstat" kannst du auch mal nach dem programm "tcpview" suchen das macht das gleiche wie der befehl netstat jedoch in realtime

4. Februar 200520 j

Mit TcpView ließ sich der Schuldige schnell und komfortabel ausfindig machen. ---> Hauptübeltäter: nrva.exe (<-- dazu spuckt Google leider nichts aus)

Ein Schließen des Prozesses half momentan und ein Entfernen des Programms aus dem Autostart per msconfig half (derzeit) dauerhaft. Ja, das System ist höchstwahrscheinlich sehr jungfreulich. Gepacht habe ich noch nichts weiter. Aber danke für die Info, ich werde mal mit dem Computereigentümer darüber reden (wird nur wenig Sinn machen ).