w3wp、sqlervr 和其他进程上的奇怪网络活动

Question

我们有 2 个 Windows 2016 服务器，在这两个服务器上，我们发现在 IIS 上运行的应用程序开始出现可疑行为，例如开始超时、减速等。

在进行更多研究后，我们发现一些进程向同一个域发出请求，这些请求占用了大部分带宽并且它们永远不会停止（如您所料）。

以下是截图：

服务器 1：https://gyazo.com/8bd433b2a2e6e3091885f9bf095ce0be

服务器 2：https://gyazo.com/6a18d04d836adafc6952be212413eb16

知道如何解决这个问题吗？

Answer 1

由于查找域没有显示任何有趣的结果， 为了调查您需要下载和安装wireshark 的活动。

使用它来嗅探您的主机（将其安装在它们上），然后将 yhfund.dadcaptive.co.uk 的 HTTP 活动的流量样本提交给答案