(cache) ＠IT：Windows TIPS -- Tips：netstatでリッスンしているプロセスを特定する

Windows TIPS

［Network］

→ Windows TIPS TOPへ
→ Windows TIPS全リストへ
→ 内容別分類一覧へ

netstatでリッスンしているプロセスを特定する

デジタルアドバンテージ
2002/07/30
2004/03/13更新
2004/11/27更新

対象OS

Windows 2000 Professional

Windows XP Professional

Windows XP Home Edition

Windows 2000 Server

Windows 2000 Advanced Server

Windows Server 2003

Windows XP SP2


■	ネットワーク・サービスは特定のTCPやUDPのポートを使ってリッスン（待ち受け）している。
■	ファイアウォールの設定やネットワーク管理などを行うためには、どのサービスやプロセスがどのポートを使用しているかを正確に把握する必要がある。
■	あるポートを使用しているサービスを特定するには、サービスを1つずつ止めながらnetstatコマンドを実行して、ポートがリッスン状態でなくなるのを調べればよい。
■	netstatコマンドに-oや-b、-vオプションを付けて、プロセスIDや実行ファイル名、サービス名などを特定することもできる。

解説

　TCP/IPを使ったネットワーク・サービスでは、ある特定のポートでリッスン（待ち受け）することにより、クライアントからの要求を受け付けるようになっている。だがどのサービスが実際にどのポートを使ってリッスンしているのかを知るのは簡単ではない。単純なサービスでは問題ないが、サービスによっては使用するポートが固定的ではなかったり、サービスやプログラムごとのポートの使用状況などに関する情報が必ずしも公開されていなかったりするからだ。ポート番号とサービスの対応関係が分からないと、ファイアウォールを始めとするネットワークの設定などができないし、ウイルス（によって設置されたバックドア）か正規のサービスかを区別することも不可能である。

　ここでは、Windows系のOSにおいて、リッスンしているプログラムやサービスを特定するためのいくつかの方法について解説する。このためには、一般的には次のような方法が考えられる。

netstat コマンドでリッスンしているプロトコルとそのポート番号を調査する
（Windows XP／Windows Server 2003の場合）netstat に-oオプションを付けて、プロセスIDを特定する
（Windows XP SP2の場合）netstat に-b、-vオプションを付けて、プロセス名を特定する
/etc/servicesファイルでサービス名を調査する
RFCのAssigned Numbersリストでサービス名を調査する
マイクロソフト社のサポート技術情報データベースなどでサービスを調査する
ネットワーク・モニタなどで通信の内容を調べてプロトコルを推定する
プロセスやサービスを1つずつ停止させながら、リッスンしているポートを調査する

netstat コマンドでリッスンしているプロトコルとそのポート番号を調査する

　TCPやUDPでリッスンしているポート（サーバ側で、待ち受けしている方のポートのこと）を調査するには、まず最初に、「TIPS―netstatコマンドを使いこなす」で述べたとおり、netstatというコマンドを使う。「-a」オプションを付けてnetstatを実行すると、現在アクティブなコネクションとリッスンしているポートなどが表示されるので、これでどのようなプロトコルが使われているかが分かるだろう。

C:\>netstat -an……Windows XP上で実行した例



Active Connections



  Proto  Local Address          Foreign Address        State

  TCP    0.0.0.0:25             0.0.0.0:0              LISTENING

  TCP    0.0.0.0:80             0.0.0.0:0              LISTENING

  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING

  TCP    0.0.0.0:443            0.0.0.0:0              LISTENING

  TCP    0.0.0.0:445            0.0.0.0:0              LISTENING

  TCP    0.0.0.0:1025           0.0.0.0:0              LISTENING

  TCP    0.0.0.0:1040           0.0.0.0:0              LISTENING

  TCP    0.0.0.0:1080           0.0.0.0:0              LISTENING

  TCP    0.0.0.0:1081           0.0.0.0:0              LISTENING…※

  TCP    0.0.0.0:2076           0.0.0.0:0              LISTENING

  TCP    0.0.0.0:2081           0.0.0.0:0              LISTENING…※

  TCP    0.0.0.0:2354           0.0.0.0:0              LISTENING…※

  TCP    0.0.0.0:5000           0.0.0.0:0              LISTENING

  TCP    192.168.0.111:139      0.0.0.0:0              LISTENING

  TCP    192.168.0.111:1081     192.168.0.51:445       ESTABLISHED

  TCP    192.168.0.111:2354     192.168.0.102:445      ESTABLISHED

  TCP    192.168.0.111:2888     0.0.0.0:0              LISTENING…※

  TCP    192.168.0.111:2888     192.168.0.54:139       ESTABLISHED

  UDP    0.0.0.0:135            *:*

  UDP    0.0.0.0:445            *:*

  UDP    0.0.0.0:500            *:*

  UDP    0.0.0.0:1026           *:*

  UDP    0.0.0.0:1027           *:*

  UDP    0.0.0.0:1028           *:*

  UDP    0.0.0.0:1031           *:*

  UDP    0.0.0.0:1046           *:*

  UDP    0.0.0.0:1048           *:*

  UDP    0.0.0.0:3456           *:*

  UDP    127.0.0.1:123          *:*

  UDP    127.0.0.1:1900         *:*

  UDP    127.0.0.1:2771         *:*

  UDP    127.0.0.1:2922         *:*

  UDP    192.168.0.111:123      *:*

  UDP    192.168.0.111:137      *:*

  UDP    192.168.0.111:138      *:*

  UDP    192.168.0.111:1900     *:*



※実際にはリッスン状態ではないにもかかわらず（実際に接続しようとしても拒否される）、リッスンしているかのように表示されているTCPポート

　ポート番号はここで示したように、実際には1～65535の数値であるが（「-n」オプションを付けると数値で表示される）、代表的なものについてはservicesファイルを参照して、分かりやすいサービス名に変換して表示される。servicesファイルとは、ポート番号と具体的なサービス名の対応を記述したファイルであり、Windows系OSでは、%windir%\system32\drivers\etc\servicesに格納されている。

　ただしこのservicesファイルの内容は、必ずしもWindows OSで使われているサービス名やポート番号を正確に表しているわけではない。これは非常に汎用的なファイルであり、UNIXやLinuxシステムなどでも同じものが使われているので、ときにはまったく別のサービス名が表示されたりする（もともとWindowsでは用意されていないようなサービス名も表示される）。またプロトコルによっては、ダイナミックにリッスンするポートを変更するものがあるが、その場合は別のサービス名であるかのように表示されてしまう。

　また、これはWindows OSのnetstatコマンドの問題であるが、「TIPS―netstatコマンドを使いこなす」の最後で述べたように、実際にはリッスンしていないにもかかわらず、リッスンしているかのように表示されるポートがいくつかある。例えば先の例でいえば、TCPの1081番というポート番号がリッスン状態になっているが、外部からこのポートへ接続しようとしても拒否されてしまい、接続することはできない（すぐに拒否応答が返ってくる）。これは、「192.168.0.111:1081←→192.168.0.51:445」というコネクションの影響で、「192.168.0.111:1081」というポートがリッスンであるかのように表示されているのである。

　このように、netstatだけでは実際にどのサービスやアプリケーションがポートを使っているかを完全に特定することができない。正確なポートの使用状況を知るためには、さらにいくつかの調査が必要になる。

RFCのAssigned Numbersリストでサービス名を調査する

　servicesファイルに記述されているサービス名はかなり限定的であり、Windows 2000やWindows XPに付属のものでは、約120種類のサービスが記述されているだけである（UDPとTCPで同じ番号を使っていても、別のサービスとして数えているので、実際にはこの半分程度のプロトコルしか記述されていない）。もう少し詳細なプロトコル番号の一覧については、例えばRFCの「Assigned Numbersリスト」を参照する必要がある。RFCは、インターネットに関する各種の技術文書などをまとめたもので、「Assigned Numbers」は、特定のサービスやプロトコルに割り当てられた具体的な番号の一覧をまとめた文書である。このような場合に使われる文書としては、いままではRFC1700があったが、これはすでに8年も前のものである。現在では「www.iana.org」でオンラインデータベース化されている（RFC3232）。ただし最新のプロトコルについてはまだ収録されてなかったりするので、このリストを信用しすぎると、「このマシンには、～というソフトウェアが入っているらしいがどうやって止めればいいのだろうか」などと、少々見当はずれな疑問を抱いて、時間を無駄にしてしまうかもしれない。

Windows XP／Windows Server 2003の場合―netstat に-oオプションを付けて、プロセス名を特定する

　ある特定のポートをリッスンしているプログラムやサービスを見つける見付けるには、Windows XPやWindows Server 2003ならばnetstat -oコマンドで、そのポートを使用しているプロセスを調べるのが確実である（このオプションはWindows 2000では利用できない）。

C:\>netstat -oan …Windows Server 2003で実行



Active Connections



  Proto  Local Address          Foreign Address        State           PID

  TCP    0.0.0.0:25             0.0.0.0:0              LISTENING       1500

  TCP    0.0.0.0:42             0.0.0.0:0              LISTENING       1856

  TCP    0.0.0.0:53             0.0.0.0:0              LISTENING       3728

  TCP    0.0.0.0:80             0.0.0.0:0              LISTENING       252

  TCP    0.0.0.0:88             0.0.0.0:0              LISTENING       500

  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING       752

  TCP    0.0.0.0:389            0.0.0.0:0              LISTENING       500

  TCP    0.0.0.0:443            0.0.0.0:0              LISTENING       252

  TCP    0.0.0.0:444            0.0.0.0:0              LISTENING       252

  TCP    0.0.0.0:445            0.0.0.0:0              LISTENING       4

  TCP    0.0.0.0:464            0.0.0.0:0              LISTENING       500

……以下省略……

　一番右端のPID欄に表示されているのが、プロセスIDである。PIDが分かれば、次はタスク・マネージャやtasklist.exeコマンド（このコマンドもWindows XPおよびWindows Server 2003でのみ利用可能）で、実際のプロセス名を特定することができる。

svchostが多数実行されているタスク・マネージャの画面

タスク・マネージャで確認すると、svchost.exeというプロセスが多数動作しており、場合によってはCPU負荷が高くなっていたり、メモリを大量に消費していることがある。svchost.exeはサービスを起動するための元となるプロセスであり、OSのバージョンなどにもよるが、このように複数実行されているのが普通である。これはWindows XP Professionalにおけるタスク・マネージャの例。

この例では、6つ動作している。

C:\>tasklist …Windows Server 2003で実行



イメージ名                   PID セッション名     セッション# メモリ使用量

========================= ====== ================ =========== ============

System Idle Process            0 Console                    0         16 K

System                         4 Console                    0      1,332 K

smss.exe                     364 Console                    0        452 K

csrss.exe                    416 Console                    0      8,040 K

winlogon.exe                 444 Console                    0      6,556 K

services.exe                 488 Console                    0      9,020 K

lsass.exe                    500 Console                    0     40,256 K

svchost.exe                  752 Console                    0      3,284 K

svchost.exe                  892 Console                    0      4,568 K

svchost.exe                  908 Console                    0      6,580 K

svchost.exe                  952 Console                    0     22,868 K

spoolsv.exe                 1244 Console                    0      9,160 K

msdtc.exe                   1284 Console                    0      4,268 K

dfssvc.exe                  1360 Console                    0      4,992 K

svchost.exe                 1436 Console                    0      2,060 K

inetinfo.exe                1500 Console                    0     23,428 K

llssrv.exe                  1524 Console                    0      5,840 K

sqlservr.exe                1544 Console                    0     27,624 K

svchost.exe                  252 Console                    0      6,052 K

……以下省略……

　これにより、例えば1500はinetinfo.exe（IISサービスのプロセス）、4はSystemプロセスということが分かる。

　ただしこの例からも分かるが、実際のWindowsシステム上でこれを実行しても、「System」プロセスや「svchost.exe」プロセスが所有者となっているポートが多く表示される。これらはシステム起動時に実行を開始するサービスであり、ほとんどのサービスの親となる重要なサービスである。これだけの情報では、あるポートが具体的にどのサービスによってオープンされたものかを簡単に知ることはできない。

　これらのサービスに関するプロセスを調べるには、tasklistに/svcオプションを付けるとよい。これは、各プロセスごとに関連付けられているサービス名を表示させるオプションである。

C:\>tasklist /svc …Windows Server 2003で実行



イメージ名                   PID サービス

========================= ====== =============================================

System Idle Process            0 N/A

System                         4 N/A

smss.exe                     364 N/A

csrss.exe                    416 N/A

winlogon.exe                 444 N/A

services.exe                 488 Eventlog, PlugPlay

lsass.exe                    500 HTTPFilter, kdc, Netlogon, NtLmSsp,

                                 PolicyAgent, ProtectedStorage, SamSs

svchost.exe                  752 RpcSs

svchost.exe                  892 Dhcp, Dnscache

svchost.exe                  908 LmHosts, WebClient, WinHttpAutoProxySvc

svchost.exe                  952 AudioSrv, BITS, Browser, CryptSvc, dmserver,

                                 EventSystem, helpsvc, lanmanserver,

                                 lanmanworkstation, Netman, Nla, RasMan,

                                 Schedule, seclogon, SENS, ShellHWDetection,

                                 winmgmt, wuauserv

spoolsv.exe                 1244 Spooler

msdtc.exe                   1284 MSDTC

dfssvc.exe                  1360 Dfs

svchost.exe                 1436 ERSvc

inetinfo.exe                1500 IISADMIN, RESvc, SMTPSVC

llssrv.exe                  1524 LicenseService

……以下省略……

　これを見ると、lsass.exeというプロセスはHTTPFilterやkdcなどのサービスを提供しており、svchost.exeというプロセスはRpcSsやDhcp、Dnscache、LmHostsなどのサービスを提供しているということが分かる。これらのサービス名が実際に何を表しているかについては、別稿の「TIPS―svchost.exeプロセスとは？」を参照していただきたい。

サポート技術情報データベースやネットワーク・モニタなどでサービスを調査する

　使用しているポート番号などが分かれば、次はマイクロソフト社の「サポートオンラインのページ」で、ポート番号などをキーにして具体的なサービス名を調べるとよいだろう。

　また、（少々スキルが要求されるが）実際にネットワーク・モニタ（プロトコル・アナライザ）などを使って、プロトコルの詳細を調査して見当を付けるという方法もある。ネットワーク・モニタの使い方については、別稿の「Windowsネットワーク・プロトコルの理解と検証―プロトコル・アナライザを使ってネットワーク・トラフィックを解析する」や「TIPS―netcapコマンドでネットワーク・パケットをキャプチャする」などを参照していただきたい。

プロセスやサービスを1つずつ停止させながら、リッスンしているポートを調査する

　以上の方法のほかに、サービスを1つずつ停止させながら、利用されているポートを調査するという方法もある。svchost.exeやSystemプロセスが所有者となっているポートは、実際にはシステムのサービスとして実行されているものが多い。そのため、サービスを順番に1つずつ止めながらnetstat -anコマンドを実行すると、リッスン状態であったポートがnetstatのリストから消えることがある。するとそのサービスが実際のポートの所有者であることが分かる。特にtasklist.exeコマンドが使えないWindows 2000では、このような方法も有効であろう。

　例えば最初のWindows XPのnetstatの例で、TCPのポート5000番をリッスンしているサービスを特定してみよう。まず最初にnetstat -anを実行してその結果をどこかに保存しておく（もしくは複数のコマンド・プロンプトを立ち上げて、順次コマンドを実行してもよいだろう）。次に、管理ツールの「サービス」ツールで、一番上にあるサービスを1つ停止させてみる。そしてnetstat -anをまた実行し、先ほどの結果と比べてみる。こうやって順番にサービスを停止させながら、状態の変化を観察する。いくつか停止不可能なサービスがあるかもしれないが、あまり気にせず、取りあえず先へ進もう。

　こうやって作業を進め、「SSDP Discovery Service」まで停止させると、TCPの5000番ポートのリッスン状態が消えることが分かるはずだ。「SSDP Discovery Service」サービスの説明には、「ホームネットワークの UPnP デバイスの検出を有効にします。」と書かれている。つまり、これはUPnPサービスで使われているポートであるということが分かる。ここまで分かればあとは簡単だろう。UPnPやSSDPのサポート技術情報などを調べればよい。そうするとこのサービスでは、TCPの5000番のほかに、UDPの1900番も使用していることが分かるだろう。

Windows XP SP2の場合―netstatの-b、-vオプションで実行ファイルを調査する

　Windows XP SP2のnetstatコマンドでは、新たに「-b」と「-v」オプションが導入された。-oオプションではプロセスID（PID）のみが表示されたが、-bオプションを付けると、その通信を行っている実行ファイル名（もしくはサービス）が表示される。これにより、プロセスやサービスを特定するのが容易になっている。

C:\>netstat -nb



Active Connections



  Proto  Local Address          Foreign Address        State           PID

  TCP    192.168.0.111:139      192.168.0.155:1174     ESTABLISHED     4

  [システム]…サービス名



  TCP    192.168.0.111:1140     192.168.0.51:23        ESTABLISHED     4016

  [telnet.exe]…プログラム名

…（以下省略）…

　-bオプションに加えて-vオプションも指定すると（両方同時に指定すること）、実行ファイル名だけでなく、その通信に関連している（呼び出している）コンポーネントのファイル名（DLLファイル名など）も表示される。

C:\>netstat -anbv



Active Connections



  Proto  Local Address          Foreign Address        State           PID

  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING       1544

  c:\windows\system32\WS2_32.dll

  C:\WINDOWS\system32\RPCRT4.dll

  c:\windows\system32\rpcss.dll

  C:\WINDOWS\system32\svchost.exe

  -- 不明なコンポーネント --

  [svchost.exe]



  TCP    0.0.0.0:445            0.0.0.0:0              LISTENING       4

  -- 不明なコンポーネント --

  ntoskrnl.exe

  [システム]



  TCP    0.0.0.0:3389           0.0.0.0:0              LISTENING       1448

  -- 不明なコンポーネント --

  C:\WINDOWS\system32\ole32.dll

  [svchost.exe]



  TCP    127.0.0.1:1025         0.0.0.0:0              LISTENING       544

  C:\WINDOWS\System32\WS2_32.dll

  C:\WINDOWS\System32\alg.exe

  C:\WINDOWS\system32\RPCRT4.dll

  C:\WINDOWS\system32\ole32.dll

  [alg.exe]

…（以下省略）…

	関連記事（Windows Server Insider）
		TIPS―svchost.exeプロセスとは？
		TIPS―ポートのリッスン状態を調査する
		TIPS―netstatコマンドを使いこなす
		TIPS―IPアドレスからホスト名を見つける方法
		TIPS―ホスト名からIPアドレスを見つける方法

この記事と関連性の高い別のWindows TIPS

		Windows Serverシステムで利用するネットワーク・ポート番号
		svchost.exeプロセスとは？
		netstatコマンドを使いこなす
		ターミナル・サービス／リモート・デスクトップ接続のポート番号を変更する
		ポート445（ダイレクト・ホスティングSMBサービス）に注意

このリストは、（株）デジタルアドバンテージが開発した
自動関連記事探索システム Jigsaw（ジグソー）により自動抽出したものです。

generated by

更新履歴

【2004/03/13】Windows Server 2003の情報を反映して、加筆修正しました。

【2004/11/27】Windows XP SP2に関する情報を追加して修正しました。

「Windows TIPS」

TechTargetジャパン

Windows Server Insider フォーラム新着記事

更新を適用せずにシャットダウンできる項目を追加する （2012/8/17）
　更新プログラムを適用せずにシャットダウンできる項目をメニューに追加する。急いでいるときでも［スタート］メニューから更新を適用せずシャットダウンできる
SQL Serverの管理ツールとサービスの設定 （2012/8/16）
　ビギナー向けSQL Server管理入門。今回はSQL Serverの管理ツールの概要と、サービスや通信ポートの設定について解説
クラスタサイズを変更してWindowsをインストールする （2012/8/10）
　Windows OSをインストールすると、デフォルトのクラスタサイズは4Kbytesになるが、より大きなサイズにしたい場合は、手動で事前にフォーマットすればよい
乗り遅れた人のためのDropbox入門 （2012/8/9）
　USBメモリでファイルを持ち歩くのはもう古い。複数のPC／端末間でファイルを同期できる無料サービス「Dropbox」の方が便利だ。そのメリットを解説

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード

＠IT 新着記事

キャリアアップ

- PR -

＠IT Sepcial

＠IT Special ヘ

イベントカレンダー

PickUpイベント

- PR -

アクセスランキング

ニュース一覧へ

- PR -

お勧め求人情報

転職／派遣情報を探す

エンジニアの求人情報、ただいま増加中
【転職サーチ】SIer／Web企業／新規事業
スマホ開発で、あなたのキャリアを生かす

派遣エンジニアにお役立ちの仕事情報
「派遣・フリーで働くメリット」とは？
活躍する派遣エンジニアの本音

エンジニアのキャリア実現を応援します

ITトレメ「ビジネス基礎」シリーズ開始
「マナー＆コミュニケーション編」「法律・知財・債権管理編」

＊先週の人気講座ランキング＊
～ Android編～

ホワイトペーパー（TechTargetジャパン）

＠IT Sepcial

＠IT Special ヘ

ソリューションFLASH

「ITmedia マーケティング」新着記事

節約が必要な背景は「年収が上がると思えない（57.5％）」から～調査データランキングTOP10
「調査のチカラ」で人気がある調査データを紹介します。「最も休日が多い職種は？休日数...

第1回　「見込み客」が、「こっちを振り向いてくれる」瞬間を見極める
見込み客の検討プロセスを後押しし、その検討度合いを把握し、しかるべきタイミングで営...

#3 『仮設』検証で考えるプロダクトマーケティング
日本ではサービス開発の際、「いいものを作ろう」という圧力の高さゆえ、一発必中を狙っ...

「ITmedia マーケティング」新着記事

＠ITトップ｜Windows Server Insiderフォーラムトップ｜会議室｜利用規約｜プライバシーポリシー｜サイトマップ

Copyright(c) 2000-2012 ITmedia Inc.
著作権はアイティメディア株式会社またはその記事の筆者に属します。（著作権について）
当サイトに掲載されている記事や画像などの無断転載を禁止します。
「＠IT」「＠IT自分戦略研究所」「＠IT情報マネジメント」「JOB＠IT」「＠ITハイブックス」「＠IT MONOist」「ITmedia」「誠」は、アイティメディア株式会社の登録商標です。
当サイトに関するお問い合わせは「＠ITへのお問い合わせ」をご覧ください。

netstatでリッスンしているプロセスを特定する

netstat コマンドでリッスンしているプロトコルとそのポート番号を調査する

RFCのAssigned Numbersリストでサービス名を調査する

Windows XP／Windows Server 2003の場合―netstat に-oオプションを付けて、プロセス名を特定する

サポート技術情報データベースやネットワーク・モニタなどでサービスを調査する

プロセスやサービスを1つずつ停止させながら、リッスンしているポートを調査する

Windows XP SP2の場合―netstatの-b、-vオプションで実行ファイルを調査する

TechTargetジャパン

キャリアアップ

スポンサーからのお知らせ

イベントカレンダー

お勧め求人情報

転職／派遣情報を探す

*＊先週の人気講座ランキング＊* ～ Android編 ～

ホワイトペーパー（TechTargetジャパン）

「ITmedia マーケティング」新着記事

＊先週の人気講座ランキング＊
～ Android編～