险些疑似中招

去下载了BitComet 1.03，修改了WinXP SP3的TCP连接数限制。准备拿TCPView看看效果，没想到却吓了自己一跳。

看的时候，发现[System Process]:0有好几个TCP连接，状态是TIME_WAIT，源地址是本地动态端口，对方地址是一个不认识的IP，端口80。
不是吧？！难道我中了传说中的反弹木马？我一直洁身自好，再说最近也没发现什么可疑情况啊！

再看，发现都是80端口。仔细研究那几个IP地址，倒是很吓了我一跳。在搜索引擎上查了一下，口碑都不好。而且有一些能直接IE打开，很明显是刷流量的IP地址。汗！什么时候中的马？我都不知道啊！

219.232.243.55
220.181.37.169
220.181.38.110
220.181.38.74
220.181.5.22
61.172.203.141
210.51.42.210
61.152.242.254
65.55.199.195
65.55.199.153
124.238.254.119
124.238.254.38
211.100.21.5
211.100.21.6
124.238.254.49
121.14.88.235
219.232.241.144
59.151.3.120
61.129.48.125
61.152.167.78
61.174.60.71
58.61.166.174
222.76.218.18
……

一个个杀进程，好像没有什么效果。而且TCPView明明说了是[System Process]:0，也就是说不是任何已知的进程了。ProcessExplorer也看不出什么来。仔细检查了启动项，把IE的加载项全部禁用掉，然而还是会出现。这种神秘的TCP连接出现的时机似乎和IE也有点关系，但是也不是完全有关。iexplore.exe的连接是很正常的。无奈，只好拿出前不久刚准备好的虚拟机来做试验了。

在XP虚拟机上首先装上TCPView监控，做了快照，然后便开始安装怀疑中的BitComet和FlashGet。不过期待中的TCP连接并没有出现。又装Google工具条，还是没出现。懊恼之中打开了虚拟机的Windows Update。呵呵，出现了，而且外面的实体机上也出现了（我虚拟机用NAT上网）。原来如此。

又打开了几个网站，发现像Google，百度这种页面比较单纯的就基本上不会有这种情况。而像网易、新浪、雅虎这些门户就肯定会有。联想到这种TCP连接的状态全都是TIME_WAIT，而作为客户端出现TIME_WAIT是比较奇怪的。估计这些因为某些原因由客户端断开的连接，在TCPView中就全部由应用程序丢给[System Process]:0，由TCP/IP协议进行维护了。也就是说，这种情况并不是中了什么反弹木马，而是HTTP协议和某些网页联合导演出来的。

当然，并不能因此就排除木马的可能。把反弹端口开在80端口是最简单也检测难度最高的。如果在[System Process]:0上出现了ESTABLISHED或LISTENING就完全值得怀疑了。我还是决定开一晚上Packetyzer抓一下包确认一下。如果是木马，或者是那种刷流量的垃圾软件，起码应该会隔一段时间便自动发包到指定的地址。先把msfeedssync给停了，如果明早起来抓不到包，那么应该问题不大了。