Wireshark localhost capture du trafic

sur la plate-forme Windows, il est également possible de capturer le trafic local avec Wireshark. Ce que vous devez faire est d'installer la "carte de bouclage Microsoft", puis renifler.

http://support.microsoft.com/kb/839013

pour une raison quelconque, aucune des réponses précédentes n'a fonctionné dans mon cas, donc je vais poster quelque chose qui a fait l'affaire. Il ya un petit bijou appelé RawCap qui peut capturer le trafic localhost sur Windows. Avantages:

• seulement 17 ko!
• pas besoin de bibliothèques externes
• extrêmement simple à utiliser (il suffit de le démarrer, choisir l'interface de loopback et le fichier de destination et c'est tout)

après que le trafic a été capturé, vous pouvez l'ouvrir et examiner en Wireshark normalement. Le seul inconvénient que j'ai trouvé est que vous ne pouvez pas définir des filtres, i.e. vous devez capturer tout le trafic localhost qui peut être lourd. Il y a aussi un bug concernant Windows XP SP 3.

quelques conseils de plus:

• Wireshark wiki

Je n'ai pas vraiment essayé, mais cette réponse du web semble prometteuse:

Wireshark ne peut pas réellement capturer les paquets locaux sur windows XP en raison de la nature de la pile TCP de windows. Quand les paquets sont envoyés et reçu sur la même machine ils ne semblent pas traverser le réseau la limite des moniteurs wireshark.

cependant, il ya un moyen de contourner ce, vous pouvez acheminer le trafic local via votre réseau passerelle (routeur) par la mise en place d'un (temporaire) route statique sur votre machine windows XP.

dites que votre adresse IP XP est 192.168.0.2 et votre passerelle (routeur) l'adresse est 192.168.0.1 vous pouvez exécuter la commande suivante depuis ligne de commande windows XP pour forcer tout le trafic local à l'extérieur et en arrière à travers la limite du réseau, donc wireshark pourrait alors suivre les données (note que wireshark signalera les paquets deux fois dans ce scénario, une fois quand ils quittent votre pc et une fois quand ils reviennent).

route add 192.168.0.2 mask 255.255.255.255 192.168.0.1 metric 1

http://forums.whirlpool.net.au/archive/1037087 , consulté tout à l'heure.

please try Npcap: https://github.com/nmap/npcap , il est basé sur WinPcap et prend en charge la capture de trafic loopback sur Windows. Npcap est un sous-projet de Nmap ( http://nmap.org / ), veuillez signaler tout problème sur la liste de développement de Nmap ( http://seclists.org/nmap-dev / ).

Pour Windows ,

vous ne pouvez pas capturer de paquets pour Loopback Local dans Wireshark cependant, vous pouvez utiliser un programme très petit mais utile appelé RawCap ;

RawCap

Exécuter RawCap sur invite de commande et sélectionnez le "151920920 de" Bouclage Pseudo-Interface (127.0.0.1) alors il suffit d'écrire le nom du fichier de capture de paquets ( ).pcap )

Une simple démo est comme ci-dessous;

C:\Users\Levent\Desktop\rawcap>rawcap
Interfaces:
 0.     169.254.125.51  Local Area Connection* 12       Wireless80211
 1.     192.168.2.254   Wi-Fi   Wireless80211
 2.     169.254.214.165 Ethernet        Ethernet
 3.     192.168.56.1    VirtualBox Host-Only Network    Ethernet
 4.     127.0.0.1       Loopback Pseudo-Interface 1     Loopback
Select interface to sniff [default '0']: 4
Output path or filename [default 'dumpfile.pcap']: test.pcap
Sniffing IP : 127.0.0.1
File        : test.pcap
Packets     : 48^C

vous pouvez voir le trafic loopback en direct dans Wireshark en le faisant lire RawCap sortie de l 'instantanément. cmaynard décrit cette ingénieuse approche aux forums Wireshark . Je vais le citer ici:

[...] si vous voulez voir le trafic en direct dans Wireshark, vous pouvez toujours le faire en exécutant RawCap à partir d'une ligne de commande et Wireshark à partir d'une autre. En supposant que vous ayez la queue de cygwin disponible, cela pourrait être accompli en utilisant quelque chose comme cela:

cmd1: RawCap.exe -f 127.0.0.1 dumpfile.pcap

cmd2: tail -c +0 -f dumpfile.pcap | Wireshark.exe -k -i -

il nécessite la queue de cygwin, et je n'ai pas pu trouver un moyen de le faire avec Windows' out-of-the-box tools. Son approche fonctionne très bien pour moi et me permet d'utiliser toutes les capacités de filtrage Wiresharks sur le trafic loopback capturé en direct.

vous ne pouvez pas capturer loopback sur Solaris, HP-UX, ou Windows, mais vous pouvez très facilement contourner cette limitation en utilisant un outil comme RawCap .

RawCap peut capturer des paquets bruts sur n'importe quelle ip incluant 127.0.0.1 (localhost/loopback). Rawcap peut également générer un fichier pcap . Vous pouvez ouvrir et analyser le fichier pcap avec Wireshark .

voir ici pour plus de détails sur la façon de surveiller localhost l'aide de RawCap et Wireshark.