Fazendo análise forense usando o PowerShell no Windows, vinculando portas a aplicativos

Question

Para fazer corretamente a perícia; em encontrar vulnerabilidades, que a equipe de segurança revelou em suas varreduras de segurança.

Os dois comandos que uso principalmente fazem esse trabalho:

c:\ netstat -abno | find "port number"

Este comando me dá um ID de processo para a porta que possui a vulnerabilidade.

Depois disso,

Eu uso o seguinte comando para associar o aplicativo em execução nesse processo associado à porta acima.

c:\ wmic process | find "Proccess Id" > proc.txt

O que me dá o aplicativo vinculado a esse processo. A partir daqui, pesquiso o aplicativo para encontrar a vulnerabilidade incorporada.

A minha pergunta a todos os seus especialistas do PowerShell é

Como posso realizar o mesmo processo no PowerShell?

Agora, lembre-se: eu inicio com uma porta e termino com um aplicativo associado a essa porta com as etapas listadas acima.

Meus pensamentos:

Provavelmente tem algo a ver com: Get-Process
e Get-NetTCPConnection

Mas não é possível entender completamente como dividir o processo de pensamento, conforme explicado acima.

    

Answer 1

Em Powershell você pode usar, como você mencionou, uma combinação de Get-NetTCPConnection e Get-Process da seguinte forma:

$port = 80
Get-Process -PID @(Get-NetTCPConnection -LocalPort $port| select -ExpandProperty OwningProcess -Unique)

    

Answer 2

bem, eu sempre faço isso com (como admin)

netstat -abno | findstr portnum

tasklist | findstr PID

ou se você está preocupado apenas com os ouvintes:

netstat -abno | findstr LISTENING | findstr portnum

tasklist | findstr PID