抓包文件打不开？etl2pcapng一键把Windows ETL转成Wireshark能读的pcapng

抓包文件打不开？etl2pcapng一键把Windows ETL转成Wireshark能读的pcapng

【免费下载链接】etl2pcapngUtility that converts an .etl file containing a Windows network packet capture into .pcapng format.项目地址: https://gitcode.com/gh_mirrors/et/etl2pcapng

凌晨两点，你刚排查完一个诡异的网络延迟问题，正准备收工，突然想起Windows自带工具抓的包还在那躺着——etl2pcapng要解决的问题，就是从这一刻开始的。

你在命令行里敲下pktmon start --capture，跑完复现步骤再pktmon stop，拿到手的是一份.etl文件。可当你兴冲冲把它拖进 Wireshark，却只得到一个冷冰冰的错误提示。没错，Wireshark 读不了 ETL，这个格式是给 ETW 生态的工具（比如已经停止维护的 Microsoft Message Analyzer）准备的。etl2pcapng就是那座桥：把 Windows 网络抓包文件 ETL 转换为主流分析工具通用的 pcapng 格式，让 Wireshark、Python 和 Rust 的 pcapng 解析库都能直接接住你的数据。

这份 ETL 到底能不能救？先搞清楚工具是干嘛的

简单说，这个开源小工具专门处理两类 Windows 自带组件抓出来的包：

• pktmon：集成在 Windows 系统内核里的抓包组件，能看到数据包穿越系统多个组件时的完整旅程，抓包命令是pktmon start --capture+ 复现 +pktmon stop。
• ndiscap：以 ETW 追踪提供程序形式存在，用netsh trace start capture=yes report=disabled开始、netsh trace stop结束。

这两种方式产出的都是.etl文件，etl2pcapng负责把它们翻译成 pcapng。谁需要它？日常用 Wireshark 做协议分析的网络工程师、被 pktmon 抓包结果难住的安全研究人员、以及想用 Python/Rust 脚本批量分析 Windows 抓包数据的开发同学。⚠️ 顺带提醒一句：它的作者（微软团队）特别建议，出于性能考虑，能用 pktmon/ndiscap 就别用老旧的 WinPcap 方式抓包，这工具正好帮你把这套流程打通。

三步上手：下载、运行、看结果

别担心，全程不需要写代码。核心用法就一条命令，三步走完。

第一步：拿到可执行文件

项目 Releases 里提供了预编译好的etl2pcapng.exe，下载后丢进任意目录就能用。想自己编译的看下面"避坑"小节。

第二步：运行转换命令

把输入文件和输出文件名一起传进去：

etl2pcapng.exe in.etl out.pcapng

如果你懒得指定输出名，也可以只给输入文件，工具会自动把扩展名换成.pcapng：

etl2pcapng.exe in.etl

输入foo.etl，你就会得到一份foo.pcapng。想让转换结果更完整？把输入文件换成 pktmon 抓的包，还会额外保留接口描述、MAC/IP 地址、丢包标记等信息。

第三步：用 Wireshark 打开看成果

双击生成的.pcapng，熟悉的界面就回来了。转换完成后命令行会打印一张映射表，清楚列出 Windows 接口索引和 pcapng 接口 ID 的对应关系，方便你在 Wireshark 里按网卡对号入座。

同样是转换，它凭什么比 pktmon 内置功能更香？

pktmon自己其实带了一个pktmon etl2pcap转换命令，也能产出基础的 pcapng，那 etl2pcapng 还有存在的必要吗？有，而且差别不小。两张表帮你快速对比：

一句话总结：内置转换能出个"能用的文件"，etl2pcapng 则是把 Windows 抓包里的每一点上下文信息都榨干再塞进 pcapng。

常见问题与避坑提示

1. 版本怎么选？

最新 1.12.0 增加了对 pktmon 生成 ETL 的支持，以及把其他提供程序事件写成 systemd journal 导出块；1.11.0 引入了省略输出文件名的便利功能；1.10.0 则把转换速度提升了 10 倍。建议直接上最新版。

2. 包注释里的 PID 千万别当真

工具会给每个包写一条包含 PID 的注释，但它的注释里写得很明白：这个 PID经常不等于真正收发该包的进程 PID。因为抓包提供程序经常在 DPC 中运行，而 DPC 跑在任意进程上下文里。做进程级关联分析时务必谨慎。

3. 报错 "Input ETL file does not contain an ndiscap packet capture"

说明你给的 ETL 文件里没有 ndiscap 抓包内容，或者格式不匹配。检查一下文件是不是 ndiscap/pktmon 生成，另外如果你试图拿它转 pktmon 的 pcap，工具也会提示你别搞错了对象。

4. 想从源码编译？记住三个要点

在src目录下执行：

mkdir build cd build cmake .. cmake --build . --config Release

生成的可执行文件在build/Release/etl2pcapng.exe。要点有三：CMake 版本至少 3.15；CMakeLists 里明确禁止 in-source 构建，务必新建构建目录；链接的是tdh和ws2_32库，并开启了/W4 /WX /sdl /guard:cf等严格编译选项。想看实现细节的同学可以翻src/main.c，转换逻辑分两遍读取 ETL：第一遍收集接口信息，第二遍转换数据包，思路很清晰。

5. 输出文件打不开？

检查目标路径是否存在，路径太长也会导致创建失败；另外工具会提示输出文件"看起来已被打开"，记得先关掉 Wireshark 里占用它的实例。

谁该装一个？以及你的下一步

如果你是网络故障排查党、安全分析爱好者，或者写脚本批量分析 Windows 抓包的开发者，etl2pcapng 值得躺在你的工具箱里。它轻量、免费、一条命令搞定，是 Windows 网络工程师绕不开的实用小利器。

下一步建议很简单：找一台 Windows 机器，用pktmon start --capture抓 30 秒流量，跑一遍上面的三步流程，亲眼看看 ETL 是怎么"复活"成 Wireshark 里一帧帧清晰的数据的。你之前是不是也遇到过 ETL 抓包文件打不开的尴尬？欢迎在评论区聊聊你是怎么处理的。

【免费下载链接】etl2pcapngUtility that converts an .etl file containing a Windows network packet capture into .pcapng format.项目地址: https://gitcode.com/gh_mirrors/et/etl2pcapng