本地主机的嗅探器（Windows 操作系统）[关闭]答案

【问题标题】：Sniffer for localhost (Windows OS) [closed]本地主机的嗅探器（Windows 操作系统）[关闭]
【发布时间】：2009-10-14 13:28:08
【问题描述】：

我正在寻找可以在 Windows 中使用环回地址的嗅探器。

到目前为止，我发现 Microsoft Network Monitor 是一个不错的工具，但对于 localhost 它是无用的，因为在 Windows 上，localhost 数据包不会通过常规网络堆栈，因此它们对于像 MS Network 这样的以太网嗅探器是不可见的监控。

如何调试以环回机制发送数据的应用程序？有什么好的（开源）嗅探器可以与 localhost 一起工作吗？

更新：如果您有使用工具的经验，最好有一个简短的描述以供将来参考

【问题讨论】：

请尝试 Npcap:github.com/nmap/npcap，它基于 WinPcap，支持 Windows 上的环回流量捕获。 Npcap 是 Nmap (nmap.org) 的一个子项目，所以请在 Nmap 的开发列表 (seclists.org/nmap-dev) 上报告任何问题。

【解决方案1】：

我遇到了这个问题，经过大量研究后一无所获。基本上所有可用的嗅探器都依赖于网络驱动程序堆栈，Windows 不会通过它公开 localhost 调用。

我最终使用的是一个名为 SocketSniffer 的工具，它可以查看 Winsock 的调用并监控 TCP、UDP 套接字连接。它帮助我调试了一个只在 win 2k3 中出现的应用程序问题。

请注意，这在 Windows 8 中不再有效。Microsoft 消息分析器 现在能够开箱即用地嗅探环回流量。官方博文在这里：http://blogs.msdn.com/b/winsdk/archive/2014/08/15/rejoice-we-can-now-capture-loopback-traffic.aspx

【讨论】：

是的，现在我看到了我的本地主机数据包。感谢您提供嗅探器工具。我会将它添加到我的调试“工具箱”中。
这非常有用。但要进行更深入的分析，您可以使用 RawCap + Wireshark。见Erik's answer。
我在windows 2008 R2上测试过（SocketSniff），可以捕获127.0.0.1的地址，但不能捕获localhost。
Microsoft 消息分析器现在能够开箱即用地嗅探环回流量。官方博文在这里：blogs.msdn.com/b/winsdk/archive/2014/08/15/…
微软消息分析器对我来说做得很好...不知道这个软件:)

【解决方案2】：

有一个可用于 Windows 的新工具，可以捕获回送/本地主机网络流量。它称为 RawCap，可在此处获得： http://www.netresec.com/?page=RawCap

只需像这样启动 RawCap 来嗅探环回接口： RawCap.exe 127.0.0.1 localhost.pcap

然后您可以在 Wireshark 或任何其他 pcap analyzer 中打开 localhost.pcap 以查看捕获的流量。

顺便说一句。 RawCap 不仅能够嗅探 Windows 上的环回流量，它还可以嗅探您的 WiFi 接口以及 PPP 接口，例如 3G/UMTS 连接。

【讨论】：

请注意：“Vista 和 Win7 中原始套接字嗅探的主要问题是您可能不会收到传入数据包 (Win7) 或传出数据包 (Vista)。如果您只想从 localhost/ 嗅探环回（127.0.0.1），那么较新版本的 Windows 实际上比旧 XP 工作得更好。在 Windows XP 中从 localhost 嗅探时，您将只能捕获 UDP 和 ICMP 流量，而不是 TCP。但是 TCP、UDP 和 ICMP在 Windows Vista 和 Windows 7 上，数据包都可以从 localhost 正确嗅探。"
我注意到我只能在 Windows 7 x86-64 下使用 RawCap 捕获 UDP 数据包和 TCP SYN 数据包，因为它的价值 - 这使它无用。
我在 windows 2008 R2 上测试过，无法通过 localhost 和 127.0.0.1 的 HTTP url 捕获流量
@Tyson 我正在使用 RawCap 在 64 位 Windows 7 上获取所有 TCP 数据包。也许您当时使用的版本存在错误？

【解决方案3】：

我相信您可以通过http://localhost./（注意末尾的句点）强制 localhost 数据包通过常规网络堆栈。

这适用于让 http 被 fiddler 之类的工具识别 - 不确定其他协议。

【讨论】：

【解决方案4】：

当我想在 localhost 上设置 SelfSSL 后监控流量时，我遇到了这样的问题。在搜索了其他有用的工具后，我发现 fidllre 以某种方式适合我的问题你应该试试这个Fiddler for Http and Https

希望对您有所帮助！

【讨论】：

【解决方案5】：

我会推荐 Wireshark，它可以连接到任何网络设备并提供一些不错的实用程序来分析流量，而且它是免费软件。

【讨论】：