☰

可能的代理病毒监控流量 - 如何确定代理的原因和代理的意图？

tag-icon • tag-icon proxy virus malware network-monitoring
可能的代理病毒监控流量 - 如何确定代理的原因和代理的意图？

昨晚我发现我无法连接到互联网。我检查了我的 Arch Linux 安装，一切正常。事实上，我的 Android 手机也很好。经过一番研究，我尝试禁用“自动检测设置”，它Internet Options > LAN Settings.成功了。然而，这让我非常担心。我以前从未设置过代理，而且我和另外两个对技术不太了解的人住在一起。因此，我担心我可能感染了正在监视我的网络流量的病毒。

为了获取更多信息，我在 chrome 中输入：chrome://net-internals/#proxy

显示以下内容：

PAC script: http://wpad/wpad.dat
Source: SYSTEM

检查 wpad.dat 内部后，我们发现以下 javascript：

function FindProxyForURL(url, host) {
    if (isPlainHostName(host) ||
        dnsDomainIs(host, ".windowsupdate.com") ||
        dnsDomainIs(host, ".microsoft.com") ||
        dnsDomainIs(host, ".baidu.com") ||
        dnsDomainIs(host, ".kaspersky.com") ||
        dnsDomainIs(host, ".live.com") ||
        isInNet(host, "10.0.0.0", "255.0.0.0") ||
        isInNet(host, "172.16.0.0", "255.255.224.0") ||
        isInNet(host, "192.168.0.0", "255.255.0.0") ||
        isInNet(host, "127.0.0.0", "255.0.0.0"))
    return "DIRECT";
    else
        return 'PROXY 185.93.3.120:8080';
};

说实话，我不确定这个函数的作用是什么。我猜如果 URL 与以下任何主机名匹配，它将提供直接连接。否则，它将使用代理。这意味着几乎每个网站都通过该代理进行路由。

我决定运行 netstat 来查看是否可以找到任何到 185.93.3.120:8080 的连接。

C:\Windows\system32>netstat -b

Active Connections

Proto  Local Address          Foreign Address        State
TCP    192.168.8.6:49693      hk2sch130021322:https  ESTABLISHED
WpnService
[svchost.exe]
TCP    192.168.8.6:49715      104.16.60.37:https     ESTABLISHED
[Discord.exe]
TCP    192.168.8.6:49880      hk2sch130021554:https  ESTABLISHED
[OneDrive.exe]
TCP    192.168.8.6:49938      hk2sch130022123:https  ESTABLISHED
WpnService
[svchost.exe]
TCP    192.168.8.6:50076      a104-89-139-149:https  CLOSE_WAIT
[WinStore.App.exe]
TCP    192.168.8.6:50077      a104-89-139-149:https  CLOSE_WAIT
[WinStore.App.exe]
TCP    192.168.8.6:50079      a104-89-139-149:https  CLOSE_WAIT
[WinStore.App.exe]
TCP    192.168.8.6:50467      tl-in-f108:imaps       ESTABLISHED
OneSyncSvc_3b12c
[svchost.exe]
TCP    192.168.8.6:50568      tl-in-f188:5228        ESTABLISHED
[chrome.exe]
TCP    192.168.8.6:50699      ns329092:http          CLOSE_WAIT
[Discord.exe]
TCP    192.168.8.6:50701      ns329092:http          CLOSE_WAIT
[chrome.exe]
TCP    192.168.8.6:50702      ns329092:http          CLOSE_WAIT
[Discord.exe]
TCP    192.168.8.6:50704      ns329092:http          CLOSE_WAIT
[chrome.exe]
TCP    192.168.8.6:50766      ns329092:http          CLOSE_WAIT
[Code.exe]
TCP    192.168.8.6:50870      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50871      67.27.43.254:http      TIME_WAIT
TCP    192.168.8.6:50872      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50873      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50877      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50879      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50880      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50884      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50890      67.27.43.254:http      TIME_WAIT
TCP    192.168.8.6:50892      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50893      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50895      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]

还有一次，我忘记了 -b 标志，但注意到它连接到 stackoverflow，而我根本无法连接到互联网：

TCP    192.168.8.6:50643      stackoverflow:https    ESTABLISHED

问题通过以下方式解决：Internet 属性 > LAN 设置 > 自动检测设置（取消选中）

我担心有病毒在监控我的互联网流量。我两周前才重新格式化，还没有安装防病毒软件。wpad.dat 尤其令人担忧return 'PROXY 185.93.3.120:8080';。我不知道为什么我的网络上会有 wpad.dat。这个文件是由路由器提供的吗？是由 ISP 提供的？还是由我的电脑提供的？我怎么知道这是不是恶意的？

澄清一下，我现在可以连接，但昨天无法连接，我上面采取的以下步骤是为了诊断问题。我对现在的互联网工作不满意 - 我想知道这里出了什么问题。

谢谢。

答案1

我正在谷歌搜索该 IP，因为它在 Windows 10 中配置为 Winhttp，并且 Outlook 无法连接到配置了它的 365 Exchange，后来我发现如果感觉如此，Windows 更新会改变这一点？http://datacamp.co.uk/是 IP 指向我的。

netsh winhttp 重置代理

https://support.microsoft.com/en-gb/help/900935/how-the-windows-update-client-determines-which-proxy-server-to-use-to

答案2

我也是，从昨天开始我也遇到了这个问题。和你一样，我也以为有病毒在监控我的流量。我检查了 wireshark，可以找到这个 IP 地址 185.93.3.120，但数据包被丢弃了。我进行了 whois 搜索，但没有得到太多信息。

无论如何，按照您的建议，这些步骤解决了问题，问题通过以下方式解决：Internet 属性> LAN 设置>自动检测设置（取消选中）

相关内容