0x00 前言

    我們都知道，wireshark可以實現本地抓包，同時Wireshark也支援remote packet capture protocol（rpcapd）協議遠端抓包，只要在遠端主機上安裝相應的rpcapd服務例程就可以實現在本地電腦執行wireshark 捕獲遠端電腦的流量了。

0x01 windows 上安裝或啟動rpcapd服務

在官網下載WinPcap 後，點選安裝包後，即可按照正常流程進行進行安裝

2 開啟rpcapd服務

開啟方式1：圖形介面開啟

① 首先 同時按鍵 “ win + r   ”  開啟執行視窗，

②然後輸入 “  services.msc  " 開啟” 服務“ 視窗，

③找到 ” Remote Packet Capture Protocol v.0 (experimental) “ ，最後開啟該服務。

開啟方式2 ：命令列開啟

①C:\Program Files (x86)\WinPcap

$ rpcapd.exe -h

# 我們可以看到rpcapd 的預設埠為2002

驗證方式： netstat -an | findstr /i " 2002"                                   

②C:\Program Files (x86)\WinPcap        
$ rpcapd.exe -lnd                     
Press CTRL + C to stop the server...  

#如果我們不再需要該功能時，為了安全起見，應該將該服務關閉。以免其他人非法連結到遠端主機進行流量監聽。當然我們可以根據需求選擇可以進行遠端連線的主機的IIP。如果windows防火牆或者其他軟體禁止該服務，請將該服務新增到白名單。

0x02 linux 上安裝或啟動rpcapd服務

1  編譯安裝

yum install glibc-static
wget http://www.winpcap.org/install/bin/WpcapSrc_4_1_2.zip    # http://www.winpcap.org/archive/  我們也可以在該連線下尋找合適的安裝包
unzip WpcapSrc_4_1_2.zip
cd winpcap/wpcap/libpcap
chmod +x configure runlex.sh
CFLAGS=-static ./configure
make
cd rpcapd
make

2 執行服務

./rpcapd -n -d

# 備註如果無法正常執行，可能要修改iptables ,具體如下：

1. 如果SSH埠是22（這裡不建議用預設埠最好改掉SSH埠）
# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
# /etc/rc.d/init.d/iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

2. 修改iptables開放2002埠 
# iptables -A INPUT -p tcp --dport 2002 -j ACCEPT
# iptables -A OUTPUT -p tcp --sport 2002 -j ACCEPT
# /etc/init.d/iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

3. 檢視iptables的內容
# vim iptables      #或者執行：# iptables -L

4. 重啟iptables
# service iptables restart
iptables: Setting chains to policy ACCEPT: filter          [  OK  ]
iptables: Flushing firewall rules:                         [  OK  ]
iptables: Unloading modules:                               [  OK  ]

5. 執行./rpcapd -n
# ./rpcapd -n
Press CTRL + C to stop the server...
socket(): Address family supported by protocol (code 98)

0x03 基於windows本地主機捕獲遠端主機的流量

1 我們選擇 wireshark （wireshark legacy 為英文版)

2 主介面 --->> 捕獲--->> 選項（Ctrl +k）--->> 捕獲介面--->> 管理介面（右下角）--->>遠端介面--->> 選擇 左下角的 ” + “  進行新增遠端介面。

3 回到主介面，選擇遠端主機的介面，進行捕獲流量。

#小提示，以上是破解版的AWVS開啟時的抓包截圖，從中可以看到每次開啟該程式都會自動連線 www.acunetix.com 【 54.208.84.166 】和 erp.acunetix.com 【 217.115.140.112 】，同時也會發送一些application data 到這兩個網站中去。從而可以推理出，我們使用該破解軟體時，該破解軟體會自動把我們曾經掃描過的網站和這些掃描日誌等資訊上傳到WVS的伺服器器中，該伺服器一般位於德國和美國，為啥要連上去暱，明顯是後門和傳送資料。

歡迎大家分享更好的思路，熱切期待^^_^^ !