WinDump:Windows 的tcpdump工具

最强有力和最广泛使用的Unix命令列工具-Windows端口事实上相当普遍。我用过各种Windows版本搜索工具，例如grep。其中最有用的就是tcpdump-为进一步分析记录、报告网络传输中数据包页眉的一种工具。Cace Technologies的工作人员已经编译一Windows端口程序命名为WinDump，它具有基于Unix系列的所有特征。方便你编译自定义界面，该程序所有的源代码也包括在内。

　　网络流量的倾销有许多可能的应用。我已经用其判断恶性软件是否已经安装到已给的机器上，就是通过观察无任何程序运行的计算机中数据包是否播散(它也可以识别页眉信息和目的地)。除登记所有可用的流量外，该程序仅记录、报告页眉中有某些匹配信息的信息包――如果你已经知道你在找什么并仅仅要这些，那么这个工具很有用。

　　安装和基本用途

　　WinDump分两部分。第一部分是WinPcap一系列网络记录驱动，是WinDump用来获得计算机中信息包到网络界面的信息。第二部分是程序本身，windump，在安装WinPcap library后从命令列中调用。

　　当你运行windump时你第一个想要使用的选项是-D,它会列出目前系统中所有可使用的网络界面。默认情况下程序听从第一可用界面，但是在Windows中，它是典型的软件拨号配置器，不是实体网络配置器。-D的结果通常如下:

　　1./Device/NPF_GenericDialupAdapter (Generic dialup adapter)

　　2./Device/NPF_{707E0236-BEE4-4097-93B1-56DEC35564AA} (Intel DC21140 PCI Fast Ethernet Adapter (Microsoft's Packet Scheduler) )

　　要使用专门的配置器，用-i命令和配置器号运行程序。例如，如果你想使用上述Ethernet配置器，用windump -i 2。这要比通过GUID向配置器提交简单得多，但是要注意如果新硬件或软件配置器增加，那么配置器号不是保持固定不变的。

　　Windump具有通过详细标准过滤已记录数据的能力――详细的网络协议，主机或端口――通常在命令列中有详细说明。其中的语法相当复杂。在程序文件中有详细解释，这有一些例子:

　　windump -i 2 port 80

　　通过端口80从界面#2记录所有流量

　　windump -i 2 host im-chat.com

　　记录所有从the host im-chat.com.或来或到界面#2的流量

　　windump -i 1 net 127

　　这些参数也可以自由组合。

　　输出记录

　　默认情况下，程序的输出记录存在控制台。除非，你使用程序仅仅是为了观察网络流量，你都想用-w<filename> 命令将结果记录到文件。默认情况下，程序用这个名字记录已存在的文件，所以注意不要用这种方式擦掉已记录的数据!

　　如果你打算在程序运行时查看输出文件，用-U选项。它使得程序将每一已接收信息包写到输出文件中。默认情况下，程序为数据保留1MB的缓存空间。

　　默认情况下，windump只记录每个信息包的标题，不是full payload。-s 0选项使程序为每个信息包堆积整个raw payload。如果你和-A选项一起用，你可以以ASCII格式记录结果。例如，用这种方式记录网页，服务器会提供可读形式，不会以gzip/deflate形式发送记录。

　　另一个有用的选项, -C <filesize>,将数据记录到multiple files，每一个文件的长度都不多过<filesize>。每一个连续文件是递增编码的。<filesize>是以MB校对；如果你用-C 5，每一个文件的长度都将是5,000,000字节。

　　当你停止程序(通过点击Ctrl-Break)时，程序向控制台提交一份报告列出所记录、阻止、丢弃(由于缺少缓存空间)的信息包数。如果程序开始丢弃信息包，你可以向记录缓冲器增加分配空间，通过-B <size>命令，其中<size>是分配的千字节数。默认缓存大小是1MB。

　　高端性能

　　WinDump一个更强有力的用途就是它能通过IPsec将已加密的网络数据流解密。这不是简单的操作，她要求你有IPsec加密的ESP密匙，同时将tcpdump应用软件与密码使用法选项结合才能解密(一些本文以外的内容)。

　　如果你想将有滤镜参数的外部文件列入清单，你可以用-F <filename>选项。注意这会使程序忽略命令列中提供的任何滤镜参数。

　　最后，如果你想使程序阅读、过滤之前已标记的数据而不是网络适配器上的现时数据，使用-r <filename>选项。

文章引用自：