在哪里可以找到系统控制中的 WinPcap？（在 Windows 8.1 Pro 64 位上）

Question

我在哪里可以找到系统控制中的 WinPcap，我认为它作为服务运行，但似乎我错了。

我通过命令行（源代码）启动了 WinPcap ：

runas /u:administrator "net start npf"

在启动 WinPcap 之前，Wireshark 没有显示任何捕获接口，之后它显示了。所以我假设它正在运行。但是我在任务管理器的服务列表中找不到它。

为了缩小候选范围，我在启动和停止 WinCap 后比较了正在运行的服务，但没有区别。

如何直接确认此“服务”正在 Windows 8 上运行？

---

C:\WINDOWS\system32>sc query "npf"

SERVICE_NAME: npf
        TYPE               : 1  KERNEL_DRIVER
        STATE              : 4  RUNNING
                                (STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)
        CHECKPOINT         : 0x0
        WAIT_HINT          : 0x0

---

神秘：

sc query列出了 85 个服务——没有一个是“npf”——但sc query npf会找到它。

Answer 1

是的，你是对的，WinPcap 是一个服务（但主要是一个驱动程序），名为NetGroup Packet Filter Driver. 事实是它在Windows Services Manager.

您可以在注册表中找到它：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NPF

未测试，但似乎您可以更改服务启动的方式。导航到上面的注册表项。然后你会发现一个REG DWORD名为的值Start。值是：

• 值0x3：SERVICE_DEMAND_START
• 值0x2：SERVICE_AUTO_START
• 值0x1：SERVICE_SYSTEM_START

在文档中，他们说它只能在 Windows NTx 上运行，但请尝试一下！在我的系统上它设置为0x2.

要在 GUI 中查看它，请转到（我说的是Windows7，希望它能正常工作Windows8）：

1. 跑 msinfo32.exe
2. 然后展开 Software environment
3. 然后选择 System Drivers

在这里您可以获得npf服务的状态（但不能与之交互）

编辑 ：

如何直接确认此“服务”正在 Windows 8 上运行？

您可以从命令提示符使用它来检查服务状态：

sc query "npf"

或者这个，要特别检查它是否正在运行：

sc query "npf" | findstr RUNNING
or 
sc query "npf" | find "RUNNING"

编辑2：

神秘：sc query列出了 85 个服务——没有一个是“npf”——但 sc query npf会找到它。

看起来很正常。关于文档，这是工作的方式sc。

默认情况下，SC只列出服务，不列出驱动程序。 NPF更像是一个司机。

• 获取所有驱动程序：（sc query type= driver将出现 NPF）

• 获取所有（服务 + 驱动程序）：（sc query type= allNPF 也会出现）