搜索

[16204] 2020-12-13_Winshark：一款用于控制ETW的Wireshark插件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-13_Winshark：一款用于控制ETW的Wireshark插件 W i n s h a r k ： 一 款 用 于 控 制 E T W 的 W i r e s h a r k 插 件 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 2 - 1 3 W i n s h a r k W i n s h a r k 是 一 款 用 于 控 制 E T W 的 W i r e s h a r k 插 件 ， E T W （ E v e n t   T r a c i n g   f o r   W i n d o w s ） 提 供 了 一 种 对 用 户 层 应 用 程 序 和 内 核 层 驱 动 创 建 的 事 件 对 象 的 跟 踪 记 录 机 制 。 为 开 发 者 提 供 了 一 套 快 速 、 可 靠 、 通 用 的 一 系 列 事 件 跟 踪 特 性 。 M i c r o s o f t   M e s s a g e   A n a l y z e r 早 就 已 经 过 时 了 ， 而 且 它 的 下 载 包 早 在 2 0 1 9 年 1 1 月 2 5 日 也 被 微 软 从 其 官 网 上 移 除 了 。 W i r e s h a r k 建 立 了 一 个 庞 大 的 网 络 协 议 剖 析 器 工 具 库 ， 为 了 帮 助 广 大 研 究 人 员 更 好 地 收 集 和 分 析 各 种 类 型 的 网 络 日 志 ， W i n s h a r k 便 应 运 而 生 。 W i n s h a r k 基 于 l i b p c a p 作 为 后 端 来 捕 捉 E T W （ E v e n t   T r a c i n g   f o r   W i n d o w s ） ， 并 且 提 供 了 一 个 生 成 器 来 在 设 备 上 为 已 知 E T W 生 成 所 有 的 解 析 器 。 除 此 之 外 ， 我 们 害 廷 加 了 T r a c e l o g g i n g 支 持 来 覆 盖 绝 大 多 数 的 W i n d o w s 操 作 系 统 日 志 技 术 。 在 W i n s h a r k 以 及 W i n d o w s 系 统 强 大 功 能 的 帮 助 下 ， 我 们 可 以 在 同 一 工 具 下 捕 捉 网 络 和 事 件 日 志 。 在 工 具 使 用 方 面 ， 在 工 具 使 用 方 面 ， W i n s h a r k 的 诞 生 有 着 重 要 意 义 ： 的 诞 生 有 着 重 要 意 义 ： 支 持 混 合 所 有 类 型 的 事 件 ， 包 括 网 络 事 件 和 系 统 事 件 ； 支 持 针 对 事 件 日 志 使 用 W i r e s h a r k 过 滤 功 能 ； 支 持 通 过 进 程 I D 来 跟 踪 网 络 和 系 统 日 志 ； 支 持 捕 捉 p a c p 文 件 中 的 W i n d o w s 日 志 和 网 络 痕 迹 ； 通 过 N p E t w 文 件 系 统 过 滤 驱 动 器 捕 捉 命 名 管 道 ； 工 具 安 装 工 具 安 装 在 使 用 W i n s h a r k 之 前 ， 请 先 安 装 W i r e s h a r k 。 现 在 ， 你 需 要 让 W i r e s h a r k 将 D L T _ U S E R   1 4 7 解 释 为 E T W ， 这 是 因 为 我 们 在 使 用 之 前 还 没 有 从 l i b p c a p 获 取 到 真 实 的 值 ， 之 后 我 们 才 能 发 送 一 个 p u l l 请 求 来 获 取 到 专 门 的 D L T 值 。 在 这 里 ， 我 们 需 要 打 开 E d i t 控 制 面 板 中 的 P r e f e r e n c e s 标 签
页 ， 选 择 P r o t o c o l s 设 置 下 的 D L T _ U S E R ， 然 后 点 击 E d i t 并 填 写 完 对 话 框 中 的 信 息 ： 接 下 来 ， 将 e t w 值 设 置 为 D L T   =   1 4 7 ： 工 具 构 建 工 具 构 建 W i n s h a r k 由 c m a k e 驱 动 ， 工 具 的 构 建 配 置 命 令 如 下 ： 捕 捉 网 络 流 量 捕 捉 网 络 流 量 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / a i r b u s - c e r t / w i n s h a r k   - - r e c u r s i v e m k d i r   b u i l d _ w i n s h a r k c d   b u i l d _ w i n s h a r k c m a k e   . . W i n s h a r k c m a k e   - - b u i l d   .   - - t a r g e t   p a c k a g e   - - c o n f i g   r e l e a s e
为 了 使 用 W i n s h a r k 来 捕 捉 网 络 流 量 ， 我 们 需 要 通 过 n e t s h 来 激 活 网 络 追 踪 功 能 ： 接 下 来 ， 创 建 一 个 跟 M i c r o s o f t - W i n d o w s - N D I S - P a c k e t C a p t u r e 供 应 器 绑 定 的 E T W 会 话 ： 然 后 使 用 管 理 员 权 限 启 动 W i r e s h a r k ， 并 选 择 W i n s h a r k - P a c k e t C a p t u r e 接 口 ： 接 下 来 ， 我 们 就 可 以 开 始 捕 捉 网 络 数 据 包 了 ： 基 于 进 程 基 于 进 程 I D 过 滤 过 滤 E T W 利 用 每 个 数 据 包 的 H e a d e r 来 进 行 数 据 包 标 记 ， 而 H e a d e r 中 总 会 包 含 关 于 数 据 发 送 方 的 某 些 元 数 据 ， 其 中 一 个 就 n e t s h . e x e   t r a c e   s t a r t   c a p t u r e = y e s   r e p o r t = n o   c o r r e l a t i o n = n o l o g m a n   s t a r t   W i n s h a r k - P a c k e t C a p t u r e   - p   " M i c r o s o f t - W i n d o w s - N D I S - P a c k e t C a p t u r e "   - r t   - e t s
是 发 送 工 具 的 进 程 I D 。 我 们 可 以 使 用 下 列 语 句 来 配 置 W i r e s h a r k 的 过 滤 功 能 ： 捕 捉 命 名 管 道 捕 捉 命 名 管 道 安 装 安 装 首 先 ， 我 们 需 要 使 用 下 列 命 令 通 过 测 试 模 式 下 的 驱 动 器 签 名 检 测 ： 接 下 来 ， 安 装 N p E t w S e t u p . m s i ： 【 点 我 安 装 】 ， 然 后 重 启 设 备 。 然 后 使 用 管 理 员 权 限 运 行 “ C : P r o g r a m   F i l e s W i r e s h a r k W i n s h a r k U p d a t e . b a t ” 来 更 新 W i n s h a r k 解 析 器 。 命 名 管 道 捕 捉 命 名 管 道 捕 捉 首 先 ， 使 用 管 理 员 权 限 打 开 一 个 c m d . e x e 命 令 行 窗 口 ， 然 后 使 用 下 列 命 令 开 启 驱 动 器 ： 接 下 来 ， 创 建 一 个 E T W 会 话 ： 现 在 ， 打 开 W i r e s h a r k ， 然 后 选 择 n a m e d p i p e 会 话 即 可 。 e t w . h e a d e r . P r o c e s s I d   = =   1 2 3 4 b c d e d i t   / s e t   t e s t s i g n i n g   o n s c   s t a r t   N p E t w l o g m a n   s t a r t   n a m e d p i p e   - p   N p E t w   - e t s   - r t
项 目 地 址 项 目 地 址 W i n s h a r k ： 【 G i t H u b 传 送 门 】 （ 阅 读 原 文 获 取 ） （ 阅 读 原 文 获 取 ） 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理