[引用]-如何利用Process Explorer及TCPView觀察記憶體中的問題程序及對外連線行為
現在防毒軟體已經不能保證不中毒，除了木馬、蠕蟲之外又有新的隨身碟病毒不斷出現，個人常常感覺防毒軟體越來越像裝飾品？
因此一般使用者建立一些基本的網路連線知識是必要的！
以下這篇文章引用自pczone版主rien的文章介紹兩款原本是 www.sysinternals.com 的免費監看軟體Process Explorer及TCPView(已經被微軟併購)，讓大家多一分安全的保障．
Process Explorer
下載點：http://technet.microsoft.com/zh-tw/sysinternals/bb896653(en-us).aspx
當我們懷疑記憶體中有木馬病毒或遠端遙控程式在常駐的時候，我們常會打開工作管理員來檢查，可是工作管理員只顯示執行中程式的名稱，卻無法顯示該程式的所
在目錄，倘若問題程式是以類似某系統程式的名稱出現，自然很容易可以判斷程式的真偽，不過萬一問題程式是以相同於某系統程式的名稱出現，那就很容易讓管理
者產生誤判了。
舉例來說，Windows系統有一支相當重要，卻常被冒名的系統程序svchost.exe，它存放在%Systemroot%System32(註
1)目錄下，木馬病毒常以類似的檔案名稱如svhost.exe、svhost32.exe或svch0st.exe出現，以混淆管理者的視聽，其中
W32.Welchia.Worm病毒更以同檔名、不同存放目錄的方式(註2)出現。透過工作管理員是很難有效判斷程式真偽的，所以在此介紹各位改用
Sysinternals的免費程式Process Explorer來替代工作管理員。只要透過簡單的設定修改，就可以在Process
Explorer主畫面下觀察到所有執行中程序的所在目錄，因此對於以同檔名不同存放目錄出現的問題程式就能夠一眼看穿了。
(註1. %Systemroot%是指作業系統的安裝目錄，如Windows XP的預設安裝目錄C:Windows或Windows 2000的預設安裝目錄C:Winnt。
註2. W32.Welchia.Worm病毒的svchost.exe程式存放在%Systemroot%Wins目錄下，與真正的系統程序svchost.exe是分別存放在不同目錄下的。)
第一次執行Process Explorer，將看到如下畫面。在畫面中，您可以看見目前在記憶體中執行的所有程序，甚至每支程序所連結的動態連結資料庫(DLL)檔案，不過在原始主化中式無法看見每隻執行程序的所在目錄的，因此請依照下列說明修改顯示設定。
- 請點選下拉式option選單，選取Font選項。
- 選擇適合螢幕的字體與大小。
- 請拉下上方的View選單，選取Select Columns選項。
- 這時會開啟一個標題為Select Columns的設定畫面，請切換畫面到Process Image分頁，然後勾選Image Path設定，並點取下方的確定按鈕。
- 回到主畫面下，這時您就可以看到每一支執行中程序的所在目錄了，像W32.Welchia.Worm病毒這種以同檔名、不同存放目錄的方式出現的冒牌系統程序，就再也逃不過您的法眼了。
- 如果確定是病毒程式或是您想要刪除的某個程序，請選下拉式選單Process選擇kill process刪除程序。
- 或是點選上方圖形工具列上的 X 選項。
- 此時會跳出詢問是否刪除的選項，你可以直接按yes，因為程式只會刪除程序(process)，並不會刪除程式(program)。
- 如果您還是無從判定哪支執行程序是真、哪支執行程序是假的話，建議您下拉File選單，執行Save as指令將畫面結果另存檔案，並將檔案內容貼Google上，這樣可以根據您的執行程序搜尋相關文章資訊，再不然可以貼到pczone討論區讓高手幫您解決。
TCPView
下載點：http://technet.microsoft.com/zh-tw/sysinternals/bb897437(en-us).aspx
2.51中文化下載：義首大學FTP
很多朋友問我，要怎樣才能觀察自己的電腦有沒有異常的連線行為，在過往我會建議對方利用netstat
–an的指令做連線查詢(開始/執行/CMD 下之指令)，可是眼尖的看倌應該會發現一個問題，就是我沒辦法從netstat
–an的查詢結果看出究竟是哪支程式在對外連線，這樣我要怎麼追查造成異常連線的程式究竟是哪一支呢？
TCPView的優點就是補足netstat –an指令的不足之處，它不但會顯示所有對外連線記錄，還會顯示每筆連線記錄是由哪支程式造成的，雖然在TCPView畫面中無法看出連線程式的所在目 錄，不過只要搭配上述介紹的Process Explorer就可以輕易看出端倪了。
