Question

我正在使用procmon来分析程序的行为我可以看到该程序通过TCP在本地与另一个程序进行通信：

此“Windows进程监视器”不记录两个程序之间发送的实际内容。因此，我将使用Wireshark并嗅探每个可用的捕获接口（LAN是我期望看到消息流量的地方）。

不幸的是，Wireshark没有记录procmon声称的任何流量。

我尝试了各种过滤器，我相信我不会忽视Wireshark生成的结果。

(tcp.port == 60882)
(ip == 127.0.0.1)

是否有理由说Wireshark无法嗅探这些消息？有没有什么可以看到procmon和Wireshark之间的免费结果？

Answer 1

如果您希望在Windows上嗅探环回流量，则存在一些挑战。基本上，WinPcap是Wireshark在Windows上依赖捕获数据包的常用数据包捕获库，但不支持此功能。

Wireshark CaptureSetup/Loopback维基页面为您提供了一些选项，最好的两个选项（在我看来）是卸载WinPcap并改为使用npcap，或者只使用RawCap用于捕获，然后使用Wireshark进行捕获后分析。

您还可以使用Microsoft的Network Monitor工具或较新的Microsoft Message Analyzer。这两个工具都应能够捕获环回流量。