工具介绍
一个实用程序,可将包含 Windows 网络数据包捕获的 .etl 文件转换为 .pcapng 格式。
关于此工具 此工具可让您使用 Wireshark 查看 ndiscap 和 pktmon 数据包捕获。由于其他流行的数据包捕获方法（WinPcap，它包含在 Wireshark 的旧版本中）存在性能问题，因此应优先使用这些收件箱工具。 Windows 有几个收件箱组件可用于数据包捕获： - "pktmon" 是作为 Windows 操作系统的一个组成部分实现的。它能够捕获操作系统的许多组件中的数据包，从而全面了解数据包在系统中传输的过程。可以使用以下命令收集捕获：
- "ndiscap" 实现为 ETW 跟踪提供程序。可以使用以下命令收集捕获数据：
注意: pktmon 内置了 etl2pcap 转换工具 ("pktmon etl2pcap "), 该工具也能生成基本的 pcapng 文件。 etl2pcapng 与内置工具具有类似的转换功能, 但具有以下附加功能:
- 将所有使用的组件保存为 pcapng 接口。
- 在接口描述块中为每个接口提供额外信息, 例如名称、描述、IP 地址 (IPv4 和 IPv6) 和 MAC 地址 (如果可用)。
- 在每个数据包中保存 pktmon pktgroupid, 以便对相同数据包的多次出现进行关联。 该值存储在增强数据包块的 PacketId 选项字段中。
- 在增强数据包块的 verdict 选项字段中标记由操作系统丢弃的数据包。
- 将额外的跟踪提供程序消息输出为 systemd 日志导出块。
使用方法