Как узнать, какая программа посылает DNS запросы *.in-addr.arpa?

Question

[dollar]

Тысячи запросов в секунду.
Расследование привело к тому, что следующие службы (выделено) имеют отношение к отсылке DNS трафика:

Если быть точнее, то это процесс svchost.exe, ничем не примечательный.

Но это же основные службы. Их нельзя отключить. Кто-то другой, должно быть, их использует? Как выяснить?

Открыты диспетчер задач, монитор ресурсов, командная строка, total commander, различные папки, dnscrypt-proxy, службы.
Обычная windows 7.

Comments

[Wexter]

in-addr.arpa - зона для обратного резолва IP адресов в доменное имя (PTR). Предположу что у вас на сервере стоит почтовик который и проверяет их, видимо к вам столько левой почты валится

[Moskus]

А контекст кто давать будет? Это сервер, домашний ноутбук, черт лысый? Что у вас в это время работает, какие клиентские или серверные приложения?

[dollar]

Moskus, все приложения закрыты.
Открыты диспетчер задач, монитор ресурсов, командная строка, total commander, различные папки, dnscrypt-proxy, службы.
Обычная windows 7.

Методом завершения работы приложений я уже пробовал. Приложений не осталось - и я зашел в тупик.

[Moskus]

dollar, а мне это вы зачем пишете, добавьте в текст вопроса.

Answer 1

[dollar]

Это был монитор ресурсов.
Во вкладке "Сеть" отображаются все соединения. Монитор ресурсов "видит" только ip и очень хочет узнать реальные имена доменов, чтобы отобразить их.

Answer 2

[Ezhyg]

TCPViewer
CurrPorts
NetworkConnectLog

И вообще, скачай оба пакета!
download.sysinternals.com/files/SysinternalsSuite.zip
launcher.nirsoft.net/downloads/index.html + download.nirsoft.net/nirsoft_package_russian.zip
Мне кажется, что эти программы закроют все твои вопросы на ближайшие лет 5 :D

Comments

[dollar]

Проблема в том, что все DNS запросы по сети осуществляются от имени процесса svchost.exe
То есть не понятно, какой именно процесс хочет разрешить имя в ip и наоборот.

Answer 3

[CityCat4]

svchost.exe - это модуль запуска служб, он сам по себе ничего не делает. Любая служба, если посмотреть командную строку ее - запускается через svchost, даже не имеющая отношения к Microsoft (в смысле, не ими лабаная)