Question

在开了windows防火墙的机器上使用网络抓包工具依然能抓到包

在开了windows防火墙的机器上使用网络抓包工具依然能抓到包，防火墙没有提示允许此软件访问网络，我也没手动添加此软件到防火墙白名单，那么它是怎么能够访问网络获取到包的？它跟一般的应用程序不一样？

Answer 1

目标主机位置看：

1.目标主机在交换机上，分为一下几种情况：
1.做端口镜像：不管是否在同一vlan下都能抓到
2.不做端口镜像（本地抓包）：
1.在同一vlan下，并且和目标主机有通信，那么在本地主机上可以抓到
2.在不同vlan下，并且和目标主机有通信，那么这台交换机是三层设备
做过vlan间路由，那么无法抓到目标主机的mac地址，你抓到的包里
的mac地址是交换机的地址。
2.目标主机不在交换机上，而在远端：无法抓到目标mac地址。抓到的包里的mac地址
是网关地址。

原理：不同网段的主机通信是要通过三层设备通信的（路由器或者三层交换机），这时候
数据包从一个网段到另一个网段会改写二层mac地址，这个地址变成网关的mac地址。

总结：在不同网段下，端口镜像这种方法可以抓到。

如果有其他的方法，还请完善，本人也在学习中，上述只是实际中的总结。

追问

百度知道就是毁在这种不看问题，1分钟copy的低劣的答案上的，早晚完蛋

Answer 2

wireshark抓取的是网卡上的数据包，所以被防火墙过滤掉的数据包还是可以抓取到的