一、RAWCAP-本地回路抓包

本地使用wireshark无法抓回路包，为此百度了一下RawCap可以抓回路包，亲测可用。特记录下来。

缺点：有一些系统需要安装Microsoft .NET Framework 4

https://www.microsoft.com/zh-cn/download/confirmation.aspx?id=17718 Microsoft .NET Framework 4下载网址

1.工具下载地址

https://www.netresec.com/?page=RawCap

2.工具使用界面

选择5，回路监听

输入保存文件的名称，回车，即可开始抓包

ctrl+c，结束抓包。（可以用工具everything查一下保存下来的pcap位置）

3. wireshark中使用

将文件从wireshark中打开文件->打开，

https://blog.csdn.net/armwind/article/details/88091903 参考博主

二、wireshark-功能强大的全能抓包、报文查看（推荐）

wireshark想必大多数程序员都不会陌生。wireshark在各个平台都可以安装使用，它可以抓取经过指定网卡的所有协议。wireshark虽然很强大，但是对初学者其实不是很友好。这也正是由于它太强大，它可以抓取所有包，所以初学者在使用时面对茫茫数据流不知所措。初学者需要认真的去学习怎么过滤得到自己感兴趣的包，但是如果不熟悉wireshark的过滤语法，要过滤数据包将举步维艰。

三、fildder（http、手机抓包）

四、tcpview（本地监听和线路状态查看）（推荐）

查看本地所有线路的状态。

优点：查看连接线路状态、查看是否发起连接（本地和外网都可以）

缺点：查看不明显

五、sokit（模拟客户端服务端、转发器）（推荐）

可以模拟客户端、服务端、转发器。一般通过转发器，可以获取到客户端和服务端交互的数据。

六、WSExplorer-指定进程抓包

选择一个进程，可以获取该进程收发数据的内容。

优点：本地回路也可以抓取到

缺点：只能在发送数据的时候查看到包，connect连接或者close断开无法查看

七、区别

	rawcap	wireshark	fidder	tcpview	sokit	wsexplorer
本地连接	√	√	未测	×	转发	×
本地连接状态	×	×	未测	√	转发	×
本地数据传输	√	√	未测	×	转发	√
外网连接	√	√	未测	×	转发	×
外网连接状态	×	×	未测	√	转发	×
外网数据传输	√	√	未测	×	转发	√
特殊点	抓本地包	全能型		查看连接状态	用于模拟	指定进程看数据包发送
缺点	需要net框架	需要依赖工具		不直观		无法查看connect、close包