关于在远程桌面下抓包，无法抓到3389的数据包

sec-exp

通过 3389在远程桌面上 启动 wiresharek，等软件，为何抓不到，3389端口的流量。是不是微软针对这种情况做了处理，还是winpcap工作原理，就是这样，请高手指点！！

sec-exp

详细说一下，我登陆某一ip的3389，在远程开启wireshark，按说这应该一直有流量的，为什么没有呢？？？？？
微软做的手脚，还是winpcap的原因？？？？？

高手指点一下，点了那么多，会的那么少！！！

[ 本帖最后由 sec-exp 于 2008-5-16 16:16 编辑 ]

zhaojunling

你需要分析wireshark的建立，以及之后数据传递进程。
你是揭示这个原因的最佳人选，just tell us. you are great.

oldjiang

可以抓到3389端口的流量
1、参照 http://article.pchome.net/content-7029.html "实战演习Windows XP远程桌面连接" 设置后，本机就在TCP3389侦听


2、在本机运行科来，从另一个机器连接本机，协议是MSRDP（Microsoft's Remote Desktop Protocol）



3、先远程登录后运行科来也能抓到3389的包，只是少了MSRDP的同步包。

[ 本帖最后由 oldjiang 于 2008-5-20 08:38 编辑 ]

ctop17

gggggggggggggggggggg

lvfengg

难道楼主，使用wireshark的时候，不看过滤器设备吗？wireshark远程登录抓包时，自动添加过滤设备not tcp 3389……