Wireshark本地主机流量捕获

Question

我写了一个简单的服务器应用程序在C本地主机上运行。如何使用Wireshark捕获本地主机流量？

Answer 1

如果您使用Windows 这不可能 - 请在下面阅读。你可以使用你的机器的本地地址，然后你就可以捕捉东西。见CaptureSetup/Loopback。

总结：你可以捕捉在Linux上 loopback接口上，对 各种BSD系统包括Mac OS X，以及 数字/ Tru64 UNIX的，你可能 能够做到这一点在IRIX和AIX，但是 您绝对是不能这样做 Solaris，HP-UX或Windows。

---

编辑：一些3年后，这个答案已经不再完全正确的。链接页面包含指令，用于在回送接口上捕获。

Answer 2

在Windows平台上，也可以使用Wireshark捕获本地主机流量。 您需要做的是安装“Microsoft回送适配器”，然后在其上嗅探它。

http://support.microsoft.com/kb/839013 

Answer 3

我还没有真正尝试过这一点，但是从网络这个答案听起来前途：

的Wireshark实际上不能在Windows XP由于 捕捉本地的数据包的TCP窗口的性质叠加。当发送数据包并且在同一台机器上接收到数据包时，它们似乎不通过Wireshark监视的网络边界 。

但是有解决的办法，你可以路由当地交通 出通过由您的Windows XP机器上设置一个（临时） 静态路由网络网关（路由器）。

说你的XP的IP地址192.168.0.2是和你的网关（路由器） 地址为192.168.0.1，你可以运行从 Windows XP的命令行下面的命令来强制所有本地流量并重新跨越 网络边界，因此wireshark可以跟踪数据（注意 wireshark会在这种情况下报告两次数据包，一次当他们离开您的电脑时 ，当他们返回时一次）。

route add 192.168.0.2 mask 255.255.255.255 192.168.0.1 metric 1

http://forums.whirlpool.net.au/archive/1037087，刚才访问。

Answer 4

出于某种原因，以前的答案没有在我的情况下工作，所以我会发布一些做到这一点。有一个叫做RawCap的小宝石可以捕获Windows上的localhost流量。优点：

• 只有17 kB！
• 没有外部库需要
• 极其简单的使用（只需启动它，选择loopback接口和目标文件，这一切）

的流量被捕获后，您可以打开它，并检查Wireshark通常。我发现的唯一缺点是无法设置过滤器，即您必须捕获所有可能很重的本地主机流量。也有关于Windows XP中SP 3.

很少有更多的建议一个bug：

• Wireshark wiki

Answer 5

您不能捕获回送在Solaris，HP-UX或Windows，但是你可以很通过使用类似RawCap的工具轻松解决此限制。

RawCap可以捕获任何ip上的原始数据包，包括127.0.0.1（localhost/loopback）。 Rawcap也可以生成一个pcap文件。您可以使用Wireshark打开并分析pcap文件。

有关如何使用RawCap和Wireshark监视本地主机的完整详细信息，请参阅here。

Answer 6

请尝试Npcap：https://github.com/nmap/npcap，它基于WinPcap并支持在Windows上进行环回流量捕获。 Npcap是Nmap的子项目（http://nmap.org/），所以请报告Nmap的开发列表（http://seclists.org/nmap-dev/）上的任何问题。

Answer 7

对于的Windows，

不能在Wireshark的捕获数据包的本地回环但是，你可以使用一个名为RawCap很微小的，但有用的程序;

RawCap

运行RawCap上命令提示符并选择环回伪接口（127.0.0.1），那么只写抓包文件的名称（.pcap）

一个简单的演示如下;

C:\Users\Levent\Desktop\rawcap>rawcap 
Interfaces: 
0.  169.254.125.51 Local Area Connection* 12  Wireless80211 
1.  192.168.2.254 Wi-Fi Wireless80211 
2.  169.254.214.165 Ethernet  Ethernet 
3.  192.168.56.1 VirtualBox Host-Only Network Ethernet 
4.  127.0.0.1  Loopback Pseudo-Interface 1  Loopback 
Select interface to sniff [default '0']: 4 
Output path or filename [default 'dumpfile.pcap']: test.pcap 
Sniffing IP : 127.0.0.1 
File  : test.pcap 
Packets  : 48^C 

Answer 8

你可以拥有它读RawCap的输出即时查看环回流量住在Wireshark的。 cmaynard描述了这个巧妙的approach at the Wireshark forums。我会在这里引用它：

[...]如果你想查看Wireshark的实时流量，你仍然可以通过从一个命令行运行RawCap并从另一个命令行运行Wireshark来完成。假设你有Cygwin的尾巴可用的，这可能会使用的东西，像这样来完成：

cmd1: RawCap.exe -f 127.0.0.1 dumpfile.pcap

cmd2: tail -c +0 -f dumpfile.pcap | Wireshark.exe -k -i -

它需要Cygwin的尾巴，我能不能找到一种方法与Windows做到这一点开箱即用的工具。他的方法对我来说工作得很好，并允许我在捕获的环回流量上使用所有Wireshark过滤功能。