C:windowssystem32> netsh trace start capture=yes tracefile="e: est.etl"
*开始关联（就是在抓取 当前计算机上de网络数据包）
C:Wndowssystem32> netsh trace stop
生成test.etl文件，可以使用NetWork Monitor 3.4打开查看，网上也有很多教程，请问有人对etl文件进行过处理吗？
我在网上查阅资料之后使用tdh库函数可以获取etl里的文件。
想做的工作就是自己把etl文件里的内容拿出来，就相当于自制一个NetWork Monitor可是，这是最终的目标。现在出现很多问题。
我现在可以拿到网络数据以及PID(不知道怎么获取进程名称)，就是从以太帧头开始到数据所有的十六进制字符串。
现在把他们都按照pcap文件的格式写进pcap文件，命名方式为Pid_etl.pcap，希望成果是使用wireshark打开，并且能够查看对应五元组的信息，也就是source address,dest address, source port, dest prot。 （以及Pid。）
UDP的数据包有些正确有些则显示错误，TCP的数据包写好之后有些正确，有些就被wireshark截断，报错说超出最大的长度。
请大神求救…刚毕业找到工作的菜鸟，希望不吝指点啊…..
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请联系我们，一经查实，本站将立刻删除。
如需转载请保留出处：https://51itzy.com/kjqy/147606.html