本發明公開了一種木馬網絡通信檢測與取證方法,包括:接收用戶提交的取證指令,并接受用戶的輸入,輸入為需要被監測的木馬進程 ID 號,根據該取證指令實時的從網卡層捕獲計算機網絡通信時的網絡數據包,以生成計算機網絡數據包文件,同時從傳輸-網絡層捕獲用戶被監測木馬進程 ID 下的網絡鏈接信息,以生成被監測木馬進程的網絡通信鏈接信息文件,將計算機網絡數據包文件在被監測木馬進程的網絡通信鏈接信息的控制下過濾出僅與被監測木馬進程相關聯的被監測木馬進程網絡數據包文件。