如何使用etl2pcapng：3步完成ETL到PCAPNG的高效转换指南

【免费下载链接】etl2pcapngUtility that converts an .etl file containing a Windows network packet capture into .pcapng format.项目地址: https://gitcode.com/gh_mirrors/et/etl2pcapng

etl2pcapng是一款实用工具，能够将包含Windows网络数据包捕获的.etl文件转换为.pcapng格式，让工程师可以使用Wireshark等工具分析网络数据。Windows系统中的pktmon和ndiscap工具生成的ETL文件无法直接被Wireshark打开，而etl2pcapng解决了这一问题，同时提供了比pktmon内置转换工具更丰富的功能。

📌 为什么选择etl2pcapng？

与pktmon自带的"etl2pcap"功能相比，etl2pcapng具有以下增强特性：

• 保留所有使用的组件作为pcapng接口
• 在接口描述块中提供额外信息（名称、描述、IP地址、MAC地址等）
• 保留每个数据包的pktmon pktgroupid用于关联分析
• 标记操作系统丢弃的数据包
• 将额外的跟踪提供程序消息输出为systemd日志导出块

🔍 准备工作：获取etl2pcapng

选项1：下载预构建二进制文件

官方在Releases部分提供了预构建的二进制文件，可直接下载使用。

选项2：从源码构建

如果需要最新版本或自定义构建，可按照以下步骤操作：

1. 在src目录打开命令提示符
2. 执行以下命令：

   mkdir build cd build cmake .. cmake --build . --config Release

3. 生成的二进制文件将位于build/Release/etl2pcapng.exe

🚀 3步完成ETL到PCAPNG的转换

第1步：准备ETL文件

确保你已经通过pktmon或ndiscap收集了ETL格式的网络捕获文件：

• 使用pktmon捕获：

  pktmon start --capture <复现网络场景> pktmon stop

• 使用ndiscap捕获：

  netsh trace start capture=yes report=disabled <复现网络场景> netsh trace stop

第2步：执行转换命令

在命令提示符中运行etl2pcapng，指定输入ETL文件和输出PCAPNG文件：

etl2pcapng.exe in.etl out.pcapng

💡 提示：从1.11.0版本开始，可以省略输出文件名，工具会自动使用输入文件名并将扩展名改为.pcapng，例如：etl2pcapng.exe foo.etl将生成foo.pcapng

第3步：查看转换结果

转换完成后，工具会打印一个表格，显示Windows接口索引与pcapng接口ID之间的映射关系。此时你可以：

• 用Wireshark打开生成的.pcapng文件进行分析
• 使用Python或Rust等语言的pcapng库进行自动化分析

💡 使用注意事项

• 输出的pcapng文件中，每个数据包都会有一个注释，指示记录数据包时当前进程的PID。但请注意，这通常与导致数据包发送或接收的进程PID不同，因为数据包捕获提供程序经常在DPC中运行（在任意进程中）。
• 从1.5.0版本开始，etl2pcapng静态链接了C运行时，因此不需要安装vcredist
• 转换后的文件保留了丰富的元数据，包括接口信息、数据包方向、PID/TID等，有助于深入分析网络问题

📝 历史版本亮点

• 1.12.0：增加对pktmon生成的etl文件的支持，并将其他提供程序事件写为systemd日志导出块
• 1.10.0：性能提升10倍
• 1.5.0：写入接口类型和索引到接口描述块，静态链接C运行时
• 1.2.0：写入每个数据包的方向信息

通过以上简单步骤，你可以轻松将Windows ETL网络捕获文件转换为通用的PCAPNG格式，充分利用Wireshark等工具进行深入的网络分析。etl2pcapng的高效转换和丰富功能使其成为网络工程师处理Windows网络捕获的理想工具。

【免费下载链接】etl2pcapngUtility that converts an .etl file containing a Windows network packet capture into .pcapng format.项目地址: https://gitcode.com/gh_mirrors/et/etl2pcapng