使用 RawCap、Wireshark 和一些管道实用程序在 Windows 上实时环回接口数据包捕获

Question

在偶然发现另一篇关于 Windows 上环回数据包捕获的超级用户帖子后，我被定向到RawCap，这是一个提供环回数据包伪捕获的实用程序。RawCap 写入 Wireshark 可以读取的 libpcap 文件。这对于捕获然后显示捕获的数据非常有用，但我有一个用例，我想实时查看这些捕获的数据包。

Wireshark 支持来自 STDIN 的流数据包，但 RawCap 不支持将其输出定向到 STDOUT。它只能写入文件。RawCap 确实支持禁用缓冲的选项，将每个数据包写入文件。

是否有我可以使用的第三个实用程序，类似于tail将在 Windows 下写入文件时输出文件的内容，以便我可以实时从 RawCap 捕获文件传输到 Wireshark？

RawCap -> Intermediate File -> Tail-Like Utility for Binary -> Wireshark STDIN

Answer 1

事实证明，我实际上可以仅用tail于此目的。这并不理想，因为它可能\n在输出之前在数据中寻找，但数据包捕获中有足够的数据来使这项工作看起来像。这是我所做的：

1. 安装UnixUtilities以获得 Win32 的尾部端口。
2. 安装RawCap
3. 安装Wireshark
4. rawcap -f 127.0.0.1 localhost.pcap
5. tail -c +1 -f localhost.pcap | wireshark -k -i -

因为 RawCap 需要您的初始终端，所以您需要为尾部启动第二个终端。此外，显然可以替换您需要的任何路径。

有点黑客，但它有效！我只能希望 Wireshark 在未来的版本中将脱壳 RawCap 作为更直接的方法。