[TIP] Puertos, Tareas, Servicios - Viendo un poco lo que pasa con el TCP

[Jovilla]

Efectivamente conecta con 40.67.252.206 que corresponde a Microsoft Irlanda

[jmtella]

No viene mal que hagas un netstat -b a quien se conecta WpnService
61667 svchost.exe 3048 TCP WpnService

En mi caso a Microsoft Dublin
TCP 192.168.1.17:2192 40.67.251.134:https ESTABLISHED WpnService

tcpvcon y como parámetro el PID que te haya devuelto el script que he puesto, es mucho mas rápido que un netstat .b para ver quien es el remoto al cual está conectado.

tcpvcon es uno de los comandos de SysInternals...

[noSign]

¿Cómo lo ves...?

No viene mal que hagas un netstat -b a quien se conecta WpnService
61667 svchost.exe 3048 TCP WpnService

En mi caso a Microsoft Dublin
TCP 192.168.1.17:2192 40.67.251.134:https ESTABLISHED WpnService

[jmtella]

psvc.cmd > C:\log\psvc.txt

Es mas cuco y tabulado que usando a pelo netstat

Añadele en la tercera línea:

if not exist "%temp%" md "%temp%"

Ya que en los server 2019 hace una historia rara con la carpeta temp desde terminal services…

Edito: se lo he añadido al script del primer mensaje..

[Jovilla]

¿Cómo lo ves...?

[noSign]

psvc.cmd > C:\log\psvc.txt

Es mas cuco y tabulado que usando a pelo netstat

[jmtella]

Muchas veces se necesita saber paa investigar que está pasando o que tenemos instalado, o incluso para descubrir un potencial bicho, que puertos están abiertos en nuestro sistema, que tarea lo ha hecho, y si es un servicio, cual es realmente el serivico y no el nombre del lanzador genérico (svchost.exe).

He creado este .cmd, copiáis el texto inferior a un archivo, por ejemplo psvc.cmd, lo ejecutáis en consola de comando y veis que es lo que sale

Lo considero muy útil siempre para una "investigación"

@echo off
setlocal enabledelayedexpansion

if not exist "%temp%" md "%temp%" 2>&1
del "%temp%\puertos.tmp" >nul 2>&1
tasklist /svc> "%temp%\tareas.tmp"
del "%temp%\tareas1.tmp" >nul 2>&1

for /f "usebackq skip=4 tokens=* delims=" %%m in ("%temp%\tareas.tmp") do (
  set kl=%%m
  if "!kl:~32,1!" EQU " " (
       set kl=!kl:~,31!:!kl:~33,1!:!kl:~34!
      ) ELSE (  
          if "!kl:~31,1!" EQU " " (
              set kl=!kl:~,30!:!kl:~32,2!:!kl:~34!
           ) ELSE (
                   if "!kl:~30,1!" EQU " " (
                      set kl=!kl:~,29!:!kl:~31,3!:!kl:~34!
                   ) ELSE (
                           if "!kl:~29,1!" EQU " " (
                              set kl=!kl:~,28!:!kl:~30,4!:!kl:~34!
                           ) ELSE (
                                   if "!kl:~28,1!" EQU " " set kl=!kl:~,27!:!kl:~29,5!:!kl:~34!
                                   )
        )))
echo !kl! >> "%temp%\tareas1.tmp"              

)

set dl=:                          =

for /f "usebackq skip=4 tokens=1,2,3,4,5,6,7 delims=: " %%f in (`netstat -naop TCP ^& netstat -naop UDP ^| find "LISTENING"`) do if "%%h" NEQ "]" if "%%l" NEQ "0" (
    set sv=
    set sz1=%%h%dl% & set sz3=%%l%dl%
    for /f "tokens=1,2 delims=:" %%s in ("!sz1:~,6!") do set sz1= %%t%%s
    for /f "usebackq tokens=1,2,3 delims=:" %%m in ("%temp%\tareas1.tmp") do if %%l == %%n (
        set sz2=%%m%dl%
        set sv1=%%o
        if "!sv1:~,4!" NEQ " N/A" if "!sv1:~,4!" NEQ " N/D" set sv=%%o
    )
    for /f "tokens=1,2 delims=:" %%s in ("!sz2:~,26!") do (set sz2=%%s%%t & set sz2=!sz2:~,25!)
    for /f "tokens=1,2 delims=:" %%s in ("!sz3:~,6!") do echo !sz1! !sz2! %%t%%s  %%f !sv! >>"%temp%\puertos.tmp"
)

echo.
echo Puertos en escucha en el sistema
echo.
echo Puerto        Programa            PID   Pro        Servicio
echo ------ ------------------------- -----  ---  --------------------

set iant=
for /f "tokens=* delims=" %%i in ('SORT "%temp%\puertos.tmp"') do if %%i NEQ !iant! echo %%i & set iant=%%i

echo.
del "%temp%\puertos.tmp" >nul 2>&1
del "%temp%\tareas.tmp" >nul 2>&1
del "%temp%\tareas1.tmp" >nul 2>&1

endlocal

REM pause
goto :EOF