Get-WmiObject Win32_Process -Filter "ProcessId = ТВОЙ_PID" | Select-Object CommandLine

C:\Windows\System32\inetsrv\appcmd.exe list wp

while($true) {
    Get-NetTCPConnection -RemotePort 25,465,587 -ErrorAction SilentlyContinue | Select-Object LocalAddress, RemoteAddress, OwningProcess, State | Add-Content C:\inetpub\logs\mail_detect.log
    Start-Sleep -Seconds 1
}

Get-NetTCPConnection -State Established | Where-Object { $_.RemotePort -in @(25, 465, 587) } | Select-Object OwningProcess, RemoteAddress, @{Name="ProcessName";Expression={(Get-Process -Id $_.OwningProcess).ProcessName}}

netstat -ano | findstr :25

Get-Process -Id НОМЕР_PID | Select-Object *

$logFile = "C:\inetpub\logs\mail_monitor.log"
echo "Мониторинг запущен... Нажмите Ctrl+C для остановки." | Out-File $logFile

while($true) {
    # Ищем активные исходящие соединения на почтовые порты
    $connections = Get-NetTCPConnection -RemotePort 25, 465, 587 -State Established, SynSent -ErrorAction SilentlyContinue

    foreach ($conn in $connections) {
        $pid = $conn.OwningProcess
        
        # Получаем данные о процессе и его владельце (AppPool)
        $procInfo = Get-WmiObject Win32_Process -Filter "ProcessId = $pid"
        $user = $procInfo.GetOwner().User
        $cmdLine = $procInfo.CommandLine
        $time = Get-Date -Format "yyyy-MM-dd HH:mm:ss"

        $logEntry = "[$time] PID: $pid | Site/User: $user | Remote: $($conn.RemoteAddress) | CMD: $cmdLine"
        
        # Выводим в консоль и пишем в файл
        Write-Host $logEntry -ForegroundColor Yellow
        $logEntry | Out-File -FilePath $logFile -Append
    }
    # Пауза минимальна, чтобы не пропустить быстрые сессии
    Start-Sleep -Milliseconds 100
}

Import-Module WebAdministration
Get-ChildItem "IIS:\AppPools\" | ForEach-Object {
    $_.processModel.identityType = "ApplicationPoolIdentity"
    $_.SetInfo()
    Write-Host "Пул $($_.Name) переведен на выделенную учетную запись."
}

$logFile = "C:\inetpub\logs\mail_monitor.log"
# Проверяем наличие папки для лога
$logDir = Split-Path $logFile
if (!(Test-Path $logDir)) { New-Item -ItemType Directory -Path $logDir -Force }

Write-Host "Мониторинг запущен... Лог: $logFile" -ForegroundColor Green

while($true) {
    # Берем ВСЕ активные соединения на почтовые порты (SYN_SENT ловит попытку подключения)
    $conns = Get-NetTCPConnection -RemotePort 25, 465, 587 -ErrorAction SilentlyContinue | 
             Where-Object { $_.State -in @('Established', 'SynSent') }

    foreach ($c in $conns) {
        $pid = $c.OwningProcess
        if ($pid -eq 0 -or $pid -eq 4) { continue } # Пропускаем System и Idle

        try {
            # Быстро получаем объект процесса из памяти
            $proc = Get-Process -Id $pid -ErrorAction Stop
            $procName = $proc.ProcessName
            
            # Более тяжелые данные (WMI) берем только если процесс еще жив
            $wmi = Get-WmiObject Win32_Process -Filter "ProcessId = $pid" -ErrorAction SilentlyContinue
            $user = $wmi.GetOwner().User
            $cmd = $wmi.CommandLine

            $time = Get-Date -Format "HH:mm:ss.fff" # Время до миллисекунд
            $logEntry = "[$time] PID: $pid | User: $user | Proc: $procName | Remote: $($c.RemoteAddress) | CMD: $cmd"
            
            Write-Host $logEntry -ForegroundColor Yellow
            $logEntry | Out-File -FilePath $logFile -Append -Encoding UTF8
        } catch {
            # Если процесс исчез слишком быстро, пишем хотя бы факт соединения
            $time = Get-Date -Format "HH:mm:ss.fff"
            $msg = "[$time] Скрипт завершился слишком быстро. PID $pid пытался отправить почту на $($c.RemoteAddress)"
            Write-Host $msg -ForegroundColor Red
            $msg | Out-File $logFile -Append
        }
    }
    # 50мс - золотая середина, чтобы не грузить CPU, но поймать бота
    Start-Sleep -Milliseconds 50
}

$logFile = "C:\inetpub\logs\mail_monitor.log"
$logDir = Split-Path $logFile
if (!(Test-Path $logDir)) { New-Item -ItemType Directory -Path $logDir -Force }

# Пишем заголовок с принудительной кодировкой UTF8
"--- Мониторинг запущен $(Get-Date) ---" | Out-File -FilePath $logFile -Encoding UTF8
Write-Host "Мониторинг запущен... Лог: $logFile" -ForegroundColor Green

$logFile = "C:\inetpub\logs\mail_monitor.log"
# Исправляем заголовок и кодировку
"--- Мониторинг запущен $(Get-Date) ---" | Out-File -FilePath $logFile -Encoding UTF8 -Force

Write-Host "Мониторинг запущен... Лог: $logFile" -ForegroundColor Green

while($true) {
    # Ловим именно ИСХОДЯЩИЕ на почтовые порты
    $conns = Get-NetTCPConnection -RemotePort 25, 465, 587 -ErrorAction SilentlyContinue | 
             Where-Object { $_.State -in @('Established', 'SynSent') }

    foreach ($c in $conns) {
        $pid = $c.OwningProcess
        if ($pid -lt 10) { continue } # Пропуск системных процессов

        try {
            $proc = Get-Process -Id $pid -ErrorAction Stop
            $wmi = Get-WmiObject Win32_Process -Filter "ProcessId = $pid" -ErrorAction SilentlyContinue
            
            $user = $wmi.GetOwner().User
            $cmd = $wmi.CommandLine
            $time = Get-Date -Format "HH:mm:ss.fff"

            $logEntry = "[$time] PID: $pid | SiteUser: $user | RemoteIP: $($c.RemoteAddress) | CMD: $cmd"
            
            Write-Host $logEntry -ForegroundColor Yellow
            $logEntry | Out-File -FilePath $logFile -Append -Encoding UTF8
        } catch {
            $time = Get-Date -Format "HH:mm:ss.fff"
            $msg = "[$time] Быстрая сессия: PID $pid стучался на $($c.RemoteAddress)"
            Write-Host $msg -ForegroundColor Red
            $msg | Out-File -FilePath $logFile -Append -Encoding UTF8
        }
    }
    Start-Sleep -Milliseconds 50
}

$logFile = "C:\mail_monitor_v3.log"
# Пишем заголовок латиницей, чтобы не было проблем с кодировкой
"--- Monitoring Started $(Get-Date) ---" | Out-File -FilePath $logFile -Encoding UTF8 -Force

Write-Host "Monitoring RUNNING... Log: $logFile" -ForegroundColor Green

while($true) {
    # Ищем исходящие на почтовые порты (игнорируем локальный трафик на 127.0.0.1, если нужно)
    $conns = Get-NetTCPConnection -RemotePort 25, 465, 587 -ErrorAction SilentlyContinue | 
             Where-Object { $_.State -in @('Established', 'SynSent') }

    foreach ($c in $conns) {
        $TargetPID = $c.OwningProcess
        if ($TargetPID -lt 10) { continue } # Пропуск System

        try {
            $proc = Get-Process -Id $TargetPID -ErrorAction Stop
            $procName = $proc.ProcessName
            
            $wmi = Get-WmiObject Win32_Process -Filter "ProcessId = $TargetPID" -ErrorAction SilentlyContinue
            $user = $wmi.GetOwner().User
            $cmd = $wmi.CommandLine
            $time = Get-Date -Format "HH:mm:ss.fff"

            $logEntry = "[$time] PID: $TargetPID | User: $user | Proc: $procName | Remote: $($c.RemoteAddress) | CMD: $cmd"
            
            Write-Host $logEntry -ForegroundColor Yellow
            $logEntry | Out-File -FilePath $logFile -Append -Encoding UTF8
        } catch {
            $time = Get-Date -Format "HH:mm:ss.fff"
            $msg = "[$time] Quick Session: PID $TargetPID to $($c.RemoteAddress)"
            Write-Host $msg -ForegroundColor Red
            $msg | Out-File -FilePath $logFile -Append -Encoding UTF8
        }
    }
    Start-Sleep -Milliseconds 50
}

$path = "C:\inetpub\wwwroot" # Путь к вашим сайтам
$logFile = "C:\mail_file_monitor.log"

$watcher = New-Object System.IO.FileSystemWatcher
$watcher.Path = $path
$watcher.IncludeSubdirectories = $true
$watcher.EnableRaisingEvents = $true

# Фильтруем активность PHP файлов
$action = {
    $path = $Event.SourceEventArgs.FullPath
    $changeType = $Event.SourceEventArgs.ChangeType
    $time = Get-Date -Format "HH:mm:ss.fff"
    
    if ($path -match "\.php$") {
        $logEntry = "[$time] ALERT: PHP Activity in $path ($changeType)"
        Write-Host $logEntry -ForegroundColor Cyan
        $logEntry | Out-File $logFile -Append -Encoding UTF8
    }
}

Register-ObjectEvent $watcher "Changed" -Action $action
Register-ObjectEvent $watcher "Created" -Action $action

Write-Host "Monitoring FILE activity in $path... Press Ctrl+C to stop." -ForegroundColor Green
while($true) { Start-Sleep 1 }

mail.add_x_header = On
mail.log = "C:\inetpub\logs\php_mail.log"

[mail function]
; Добавляет заголовок с путем к скрипту в каждое письмо
mail.add_x_header = On

; Записывает КАЖДУЮ отправку через mail() в файл
mail.log = "C:\inetpub\logs\php_mail_global.log"

Import-Module WebAdministration

Write-Host "Monitoring 1000+ sites via IIS Worker Processes..." -ForegroundColor Green

while($true) {
    # Получаем все активные рабочие процессы IIS
    $wps = Get-WebApplicationProxy | Get-Process -ErrorAction SilentlyContinue 
    # Или более быстрый способ через appcmd:
    $activeWp = & "$env:windir\system32\inetsrv\appcmd.exe" list wp
    
    foreach ($line in $activeWp) {
        # Строка выглядит так: WP "1234" (applicationpool:SiteName)
        if ($line -match 'WP "(\d+)" \(applicationpool:(.+)\)') {
            $pid = $Matches[1]
            $siteName = $Matches[2]

            # Проверяем, лезет ли этот конкретный PID в сеть на почтовые порты
            $conn = Get-NetTCPConnection -OwningProcess $pid -RemotePort 25,465,587 -ErrorAction SilentlyContinue
            
            if ($conn) {
                $time = Get-Date -Format "HH:mm:ss"
                Write-Host "[$time] ALERT! Site: $siteName (PID: $pid) is sending MAIL!" -ForegroundColor Red
                "[$time] Site: $siteName | PID: $pid | Remote: $($conn.RemoteAddress)" | Out-File "C:\inetpub\logs\detected_spammers.log" -Append
            }
        }
    }
    Start-Sleep -Milliseconds 200
}

$logFile = "C:\detected_spammers.log"
$appcmd = "$env:windir\system32\inetsrv\appcmd.exe"

Write-Host "Monitoring IIS Worker Processes for Mail Activity..." -ForegroundColor Green
"--- Start Monitoring $(Get-Date) ---" | Out-File $logFile -Encoding UTF8

while($true) {
    # 1. Получаем список всех активных процессов сайтов через appcmd
    $activeWp = & $appcmd list wp
    
    foreach ($line in $activeWp) {
        # Извлекаем PID и название сайта (AppPool)
        if ($line -match 'WP "(\d+)" \(applicationpool:(.+)\)') {
            $currentPID = $Matches[1]
            $siteName = $Matches[2]

            # 2. Проверяем, есть ли у этого конкретного PID соединения на почтовые порты
            $conns = Get-NetTCPConnection -OwningProcess $currentPID -RemotePort 25, 465, 587 -ErrorAction SilentlyContinue | 
                     Where-Object { $_.State -in @('Established', 'SynSent') }

            if ($conns) {
                foreach ($c in $conns) {
                    $time = Get-Date -Format "HH:mm:ss.fff"
                    $msg = "[$time] SPAM ALERT! Site: $siteName | PID: $currentPID | Dest: $($c.RemoteAddress)"
                    
                    Write-Host $msg -ForegroundColor Red
                    $msg | Out-File $logFile -Append -Encoding UTF8
                }
            }
        }
    }
    # Оптимальная пауза для 1000 сайтов
    Start-Sleep -Milliseconds 300
}

[mail function]
; Добавляет в заголовки письма путь к файлу (увидите в MDaemon)
mail.add_x_header = On

; Прямой лог всех отправок через mail()
mail.log = "C:\inetpub\logs\php_mail_audit.log"

$phpLog = "C:\inetpub\logs\php_mail_audit.log"
Write-Host "Ожидание отправки писем через PHP mail()..." -ForegroundColor Green

Get-Content $phpLog -Wait -Tail 0 | ForEach-Object {
    if ($_ -match "mail\(\) on \[(.+)\]") {
        $path = $Matches[1]
        $time = Get-Date -Format "HH:mm:ss"
        Write-Host "[$time] ALERT! Письмо отправлено скриптом: $path" -ForegroundColor Red
    } else {
        Write-Host $_ -ForegroundColor Gray
    }
}

$phpLog = "C:\php_mail_audit.log"
# Создаем пустой файл
New-Item -Path $phpLog -ItemType File -Force
# Даем права всем пользователям на запись (чтобы любой сайт мог туда писать)
icacls $phpLog /grant "Everyone:(W)"

mail.log = "C:\php_mail_audit.log"

$phpLog = "C:\php_mail_audit.log"

if (!(Test-Path $phpLog)) { 
    Write-Host "Файл лога не найден. Создаю его..." -ForegroundColor Yellow
    New-Item -Path $phpLog -ItemType File -Force
    icacls $phpLog /grant "Everyone:(W)"
}

Write-Host "Monitoring PHP mail() activity... (Press Ctrl+C to stop)" -ForegroundColor Green

# Читаем файл в реальном времени
Get-Content $phpLog -Wait -Tail 0 | ForEach-Object {
    # Пример строки в логе: [14-Mar-2026 15:00:00] mail() on [C:\inetpub\wwwroot\site\script.php]:42
    if ($_ -match "mail\(\) on \[(.+)\]") {
        $path = $Matches[1]
        $time = Get-Date -Format "HH:mm:ss"
        Write-Host "[$time] SPAM DETECTED: $path" -ForegroundColor Red
    } else {
        # Вывод любых других строк из лога (например, ошибки)
        Write-Host $_ -ForegroundColor Gray
    }
}