60、系统行为解析与故障排除案例

系统行为解析与故障排除案例

1. 不明网络连接问题

1.1 问题发现

一位用户在观看网络安全相关视频和文章后变得“多疑”，决定使用 Wireshark 检查家庭网络的异常行为。他很快发现妻子的笔记本电脑（IP 地址 192.168.1.4）每隔几秒就会向他的台式机（IP 地址 192.168.1.3）发送流量，担心妻子的笔记本被感染并试图传播到他的电脑。

1.2 初步排查

用户在妻子的笔记本上下载了 Sysinternals 工具并运行 TcpView，发现笔记本上的 System 进程向他的 PC 上的“microsoft - ds”端口（445/tcp）发送未确认的 TCP 连接请求，这表明使用的是 Server Message Block (SMB) 协议，主要用于文件和打印机共享。

1.3 深入分析

为了找出流量产生的原因，用户运行 Procmon 几秒钟后停止跟踪。通过工具菜单中的“Count Occurrences”功能选择“Result”快速扫描结果代码，发现跟踪中包含两个导致“Bad Network Path”的事件。双击结果代码添加到过滤器后，发现这两个事件都来自打印假脱机子系统 Spoolsv.exe，它试图访问他台式机上的远程假脱机程序的命名管道接口，但由于网络加固和防火墙设置，该接口对远程系统不可用。

1.4 解决方法

用户在妻子电脑的控制面板中打开“设备和打印机”，发现有一个曾经连接到他 PC 上的打印机的连接，将其移除后，网络流量恢复正常。

以下是该问题解决流程的 mermaid 流程图：