如何在 Windows Server 2008 中捕获环回流量

Question

设置：

• 我有客户端 C 连接到服务器 S
• C 和 S 在同一台机器上
• 在 C 中，服务器地址硬编码为 127.0.0.1。同样，在 S 中，客户端地址硬编码为 127.0.0.1

问题： 我希望能够嗅探客户端和服务器之间的流量。

• 由于配置原因，我无法将客户端和服务器移动到不同的位置（地址是硬编码的）
• 安装环回接口并使用诸如 Wireshark+WinPcap 之类的工具并没有任何结果（实际上是 already known，但值得一试）
• another topic 中建议的 RawCap 不起作用。 IP 127.0.0.1 已列出，但不记录任何流量。
• 使用rinetd 将流量路由到其他地方，正如建议的here 不起作用（无法在127.0.0.1 上绑定）
• 对使用 HTTP 本地代理（例如 Fiddler）不感兴趣，因为我还想捕获其他协议
• 有两个商业工具可以工作，特别是 CommView 和 Local Network Monitor，这意味着必须可以这样做；)

如何才能捕获流量？ 关于我应该使用的函数或我应该阅读的文档的任何指针？

谢谢！

Answer 1

基本上您需要编写一个 TDI 过滤器驱动程序来实现这一点...对于一些指针，请参阅：

• http://msdn.microsoft.com/en-us/library/windows/hardware/ff565685%28v=vs.85%29.aspx
• http://msdn.microsoft.com/en-us/library/windows/hardware/ff563317%28v=VS.85%29.aspx

另一种选择是写WinSock LSP。

注意
从 Windows 8 开始，强烈建议使用 WFP (Windows Filtering Platform) 处理此类事情...

尽管仅使用/购买现有解决方案可能更具成本效益 - 尤其是。如果您不是经验丰富的驱动程序开发人员...

Answer 2

使用RawCap，可以解决你的顾虑，见this