netsh trace ETL 文件轉 PCAP：TDH 解析與 Libpcap 寫入完整方案

問題背景

使用 `netsh trace start capture=yes tracefile=test.etl` 抓取網絡數據，生成 `.etl` (ETW) 文件。需離線解析 ETL，提取數據包與進程 ID，生成標準 `.pcap` 供 Wireshark 分析。

核心技術棧

• TDH (Trace Data Helper) API：Windows 官方 ETW 事件解析庫 (`tdh.h`, `tdh.lib`)，支持實時/離線解析 `.etl`。
• Libpcap / WinPcap / Npcap：標準數據包捕獲/寫入庫，保證 PCAP 格式合規。
• 目標提供者：`Microsoft-Windows-TCPIP` (GUID: `{9A280AC0-C8E0-11D1-84E2-00C04FB998A2}`) 及 `Microsoft-Windows-NDIS`。

完整工程步驟

1. 打開 ETL：`TdhOpenTrace(&trace, L"test.etl", NULL, NULL, NULL)`。
2. 枚舉事件：循環 `TdhEnumerateTraces` / `ProcessTrace` 獲取 `EVENT_RECORD*`。
3. 過濾網絡事件：檢查 `EventHeader.ProviderId` 是否為 TCPIP/NDIS，`EventHeader.EventId` 為 Send/Receive (具體 ID 需查詢 manifest 或實驗確定)。
4. 提取負載：使用 `TdhGetEventInformation` 獲取事件結構描述，再 `TdhGetProperty` 提取 `Payload` (原始幀數據)、`PID` (`EventHeader.ProcessId`)、時間戳 (`EventHeader.TimeStamp`)。
5. 按 PID 分文件寫入：為每個 PID 創建 `pcap_dump_open`，調用 `pcap_dump` 寫入包頭與數據（參考 文章 32739、文章 32752）。
6. 進程名稱解析：ETL 僅含 PID。方案：
   • 同步調用 `OpenProcess` + `GetModuleFileNameEx` (需 `Psapi.h`)。
   • 或記錄 PID，事後用 `Task Manager` / `wmic process get ProcessId,Name` 導出映射表，離線關聯。

關鍵代碼骨架

// 參考文章 32752 的 PcapWriter 結構與 write_packet 函數

void process_etl(const wchar_t* etl_path) {
    TRACEHANDLE trace = 0;
    EVENT_TRACE_LOGFILE log = {0};
    log.LogFileName = (LPWSTR)etl_path;
    log.ProcessTraceMode = PROCESS_TRACE_MODE_EVENT_RECORD;
    log.EventRecordCallback = on_event_record;
    
    trace = OpenTrace(&log);
    if (trace == INVALID_PROCESSTRACE_HANDLE) return;
    
    ProcessTrace(&trace, 1);
    CloseTrace(trace);
}

void WINAPI on_event_record(PEVENT_RECORD record) {
    // 1. 過濾 Provider
    if (!IsEqualGUID(record->EventHeader.ProviderId, TCPIP_GUID)) return;
    
    // 2. 提取 Payload (簡化：假設 UserData 直接是幀數據)
    // 實際需用 TdhGetProperty 解析結構化負載
    PBYTE payload = (PBYTE)record->UserData;
    ULONG payload_len = record->UserDataLength;
    if (payload_len == 0) return;
    
    // 3. 獲取 PID 和時間戳
    DWORD pid = record->EventHeader.ProcessId;
    ULONGLONG timestamp = record->EventHeader.TimeStamp.QuadPart;
    
    // 4. 寫入對應 PID 的 PCAP
    PcapWriter* writer = get_writer(pid);
    write_packet(writer, payload, payload_len, timestamp);
}

避坑指南

現成工具推薦（避免重複造輪子）

• etl2pcap (Microsoft 官方開源)：C# 實現，直接將 `.etl` 轉 `.pcap`，支持 PID 映射，生產可用。
• tshark：Wireshark 命令行工具，新版本支持 `tshark -r test.etl -w out.pcap` 直接轉換 (需 Npcap 支持)。
• WinPcap/Npcap：包含 `Packet.dll` 可直接讀取 ETW 會話。

「如果你已經獲取十六進制或者二進制數據，那麼請看：https://ask.csdn.net/questions/199693」—— 指向同一完整解決方案，避免分散碎片化知識。

1. 上一篇文章： C語言字符串處理：getchar/scanf 緩衝區殘留換行符導致邏輯錯誤修復
2. 下一篇文章： JavaScript for 循環中順序執行異步 AJAX 請求的正確模式

程式設計綜合問答

C/C++ 過濾中文全角標點符號的實現方法

基於 Unicode 碼表的標點識別與剔除 中文全角標點在

VC6.0 MFC 程式關閉時彈出「已停止工作」0xC0000005 解決

錯誤代碼含義 0xC0000005 = 存取違規，通常是野指

Android ScrollView 子控件 TextView findViewById 返回 null 的排查

常見原因 ID 未生成：檢查 R.id.textview_

C 語言 do-while 逐詞倒序：指針遍歷與單詞邊界交換

代碼先整體倒序字符串，再用 do-while 掃描逐詞倒序還