之前聊抓包的时候有人问过一个问题：怎么知道电脑上哪个程序在偷偷联网？任务管理器网络那一栏只有一条总曲线，看到有流量在跑，但名字都对不上------某个程序安安静静挂在那，是不是它干的，说不清。这类问题不一定要抓包解决：机器上每个连接系统都记着账，连"归谁"都记着，把连接表摊开就能对上号。这篇按实际排查的顺序走一遍：先看全、再揪人、后查对端来历。查对端那一步，很多人没意识到能查那么全。
这张表不需要装证书、不用配代理，原因在系统本身：每个 TCP / UDP 连接，操作系统内核都记录着两端地址、端口、状态和所属进程。连接表做的事就是把这份记录摊开，再给它加一层好用的视图。系统自带的 netstat、资源监视器同样能列出连接和进程归属，lsof -i 在 macOS / Linux 上也够用------区别在后半程：过滤、按程序归拢、以及拿到可疑远端之后顺着查下去的那条路。
一、第一步：把全部连接摊开
打开 TraceEagle 的连接表，本机当前所有活动连接列出来------TCP / UDP、IPv4 / IPv6 全覆盖，每条一行：协议、本地地址和端口、远端地址和端口、连接状态、来源进程（进程名 + PID）。来源进程那列是重点：不只告诉你"有条连接连去了某个地址"，还直接点名是哪个程序在用，不用拿 PID 去别处比对。
这个视图有个顺手的设计：同一个程序的多条连接自动聚在一起，某个进程的对外通道一眼看全。连接多到看不过来时别硬翻，用过滤------按进程、协议、PID、地址、端口、状态实时筛，会显示"筛出 / 总数"，几十条里拎出关心的那几条很快。
一个容易踩的点：连接表看的是某一时刻的快照，不是持续跟踪。刚打开时没有可疑连接，不代表刚才没有------想确认某个连接是不是一直挂着，点刷新多取几次快照，持续存在的才值得盯。
二、第二步：把陌生的挑出来
判断标准很朴素：远端地址里不认识的公网 IP、不眼熟的端口、状态"已建立"却想不起来干嘛的。先按进程过滤，把浏览器、系统更新这些认识的服务排除掉，再看剩下的陌生进程名------尤其是那种名字像系统组件、内容却不对劲的。
验证方法：用 PID 而不是名字认人。进程名可以重名，PID 不骗人；同一个名字还有版本差异，拿不准就右键看详情。另外，一闪而过的连接很正常（DNS、心跳都可能），刷新几次还在的持续连接才值得往下查。
三、第三步：查对端是谁
对着可疑的远端 IP 点一下，就跳到对端档案------这对连接表和对端档案来说是同一步操作：在表里点远端 IP，档案自动带入并开始查询。档案里能看到的东西比想象中全：
| 查什么 | 能看到 |
|---|---|
| 归属 | IP 与反向 DNS、ASN 编号和名称、路由前缀、所属组织、注册局与国家、网段、滥用举报联系人 |
| 地理位置 | 城市 / 地区 / 国家，并在世界地图上标出位置 |
| TLS 证书体检 | A / B / C / F 安全评级、主机名是否匹配、证书链是否可信、剩余天数、TLS 版本、颁发者；展开还有完整证书链、加密套件强度、证书透明度（CT）日志 |
| Web 技术栈 | 页面标题、Server 头、识别出的服务端 / 框架 / CMS 标签 |
几个实际用法：归属栏看对端是机房还是运营商、组织名眼不眼熟------陌生 VPS 的 IP 归属和知名云厂商的机房，性质完全不同。证书栏评级低、自签或快到期，本身就是线索；CT 日志更狠，能把一张证书背后覆盖的全部主机名列全，连没在流量里出现过的关联子域一并挖出来，溯源时顺着往下走。要投诉的话，滥用举报联系人就在归属栏里。
证书评级那栏别只看字母：C / F 点开有具体原因------过期、主机名不匹配、链不可信，或者握手协商用了弱套件、缺前向保密。做安全审计时这几项就是结论本身，不用再上别的扫描器确认。反过来做资产梳理：从一条流量出发，顺 CT 日志把一张证书覆盖的主机名全列出来，关联子域一并带走------这些名字没出现在任何一条流量里，靠猜域名很难凑齐。
验证：归属栏有 ASN、组织、国家，地图上有标注点，证书给了评级色标，网站有技术栈标签------就说明查到了。某一栏空着，多半是目标本身没这项信息（纯 IP 没有域名、非 HTTPS 没有证书），不是查询失败。
四、第四步：要看内容 再换工具
连接表只负责"看连接、看归属"，不抓包体。认出可疑程序之后想把它的请求内容拿下来，换指定程序抓包------只盯那个进程，请求明文看得见；顽固一点的（证书绑定、自研加密）用应用层抓包从程序内部取明文。怀疑是网络质量问题时，用网络诊断的 TCP ping 盯那台目标的延迟和丢包，比反复刷新连接表直观。
提醒：连接表看的是本机连接快照，查的范围限于自己的机器、自己维护的服务------别人的终端不在讨论范围。"可疑"也不等于"恶意"，陌生连接里有很多是更新服务、CDN 和推送通道，先查档案看清楚再下结论。