为何IIS的w3wp.exe会启动netstat、nslookup、PowerShell等子进程

排查结论与可行方案 #

IIS 原生功能（包括所有官方自带的日志特性）不会主动触发 w3wp.exe 生成 cmd 子进程执行 nslookup 操作，该行为不属于默认配置的正常行为，你可以从以下几个方向定位根因：

可能的触发原因

• 应用代码自定义逻辑
  你部署在APPNAME应用池（对应你提供的w3wp启动参数-ap "APPNAME"）下的Web应用代码中存在主动调用系统进程的逻辑，最常见的是.NET代码调用System.Diagnostics.Process类执行命令，比如业务需要做域名可用性校验、IP反查访问控制时，开发可能拼接了嵌套cmd的命令：

  "cmd.exe" /c cmd.exe /c nslookup example-domain-name.com
  

  这种两层嵌套调用cmd的写法属于代码拼接时的冗余写法，不是系统默认行为。
• 第三方IIS扩展逻辑
  排查该站点/应用池安装的非官方IIS扩展，比如第三方WAF模块、自定义访问统计模块、业务自研的日志扩展模块，部分扩展可能内置域名解析逻辑，原生IIS日志只会记录请求字段，不会主动发起nslookup请求。
• 安全风险排查
  以上两点都排查不到的情况下，需要优先排查入侵风险：w3wp进程被注入恶意代码、站点存在webshell是该类异常进程行为的常见触发原因。

快速排查步骤

• 先停止APPNAME应用池，观察子进程生成行为是否消失，确认行为和该应用池绑定
• 扫描站点目录下所有代码文件、编译后的dll，搜索Process.Start、nslookup、cmd.exe相关关键词
• 用Process Monitor工具实时监控w3wp的进程调用栈，定位触发cmd启动的具体代码来源

内容的提问来源于stack exchange，提问作者Zippy