Что такое USBPcap?
Процесс, известный как Драйвер USBPcap, относится к программному обеспечению USBPcap Sniffer Driver или USBPcap Capture Service от USBPcap.
Описание: USBPcap.sys не является необходимым для ОС Windows и вызывает относительно мало проблем. Файл USBPcap.sys находится в неопределенной папке. Размер файла в Windows 10/8/7 / XP составляет 0 байт.
Драйвер может быть запущен или остановлен из Служб на Панели управления или другими программами. Программа не видна. Сервис не имеет подробного описания. Это не файл ядра Windows. USBPcap.sys имеет цифровую подпись. USBPcap.sys представляется сжатым файлом. Поэтому технический рейтинг надежности 33% опасности .
Деинсталляция этого варианта: Разработчик Gmail предоставляет сайт поддержки для помощи и деинсталлятор (Панель управления ⇒ Удаление программы ⇒ Tomasz Mon или Tomasz Moñ ).
Важно: некоторые вредоносные программы маскируют себя как USBPcap.sys. Поэтому вы должны проверить процесс USBPcap.sys на вашем компьютере, чтобы увидеть, если это угроза. Мы рекомендуем Security Task Manager для проверки безопасности вашего компьютера. Это был один из лучших вариантов загрузки The Washington Post и PC World .
Аккуратный и опрятный компьютер — это главное требование для избежания проблем с USBPcap. Это означает запуск сканирования на наличие вредоносных программ, очистку жесткого диска с использованием 1 cleanmgr и 2 sfc / scannow, 3 удаления ненужных программ, проверку наличия программ автозапуска (с использованием 4 msconfig) и включение автоматического обновления Windows 5. Всегда не забывайте выполнять периодическое резервное копирование или, по крайней мере, устанавливать точки восстановления.
Если вы столкнулись с реальной проблемой, попробуйте вспомнить последнее, что вы сделали, или последнее, что вы установили до того, как проблема появилась впервые. Используйте команду 6 resmon, чтобы определить процессы, которые вызывают вашу проблему. Даже для серьезных проблем, вместо переустановки Windows, лучше восстановить вашу установку или, для Windows 8 и более поздних версий, выполнить команду 7 DISM.exe / Online / Cleanup-image / Restorehealth. Это позволяет восстанавливать операционную систему без потери данных.
Чтобы восстановить поврежденную систему, вам необходимо Скачать PC Repair & Optimizer Tool
Чтобы помочь вам проанализировать процесс USBPcap.sys на вашем компьютере, оказались полезными следующие программы: Менеджер задач безопасности отображает все запущенные задачи Windows, включая встроенные скрытые процессы, такие как мониторинг клавиатуры и браузера или записи автозапуска. Уникальный рейтинг риска безопасности указывает на вероятность того, что процесс является потенциальным шпионским ПО, вредоносным ПО или трояном. B Malwarebytes Anti-Malware обнаруживает и удаляет спящие шпионские, рекламные программы, трояны, клавиатурные шпионы, вредоносные программы и трекеры с вашего жесткого диска.
sasdifsv.sys showbatterybar.exe keycrypt32 (5) .dll USBPcap.sys cpadvai.dll cd.exe googletoolbar2.dll dnsbasic.dll vcfw.exe wincheck.exe vcservice.exe
Мы рекомендуем использовать этот инструмент для решения ошибок на вашем ПК. Эта программа исправляет распространенные ошибки компьютера, защищает вас от потери файлов, вредоносных программ, сбоев оборудования и оптимизирует ваш компьютер для максимальной производительности. Вы можете быстро исправить проблемы с вашим ПК и предотвратить появление других ошибок с этим программным обеспечением.
2.Нажмите «Начать сканирование», чтобы найти проблемы реестра Windows, которые могут вызывать проблемы с ПК.
3.Нажмите «Восстановить все», чтобы исправить все проблемы.
USBPcap — USB Packet Capture For Windows
USBPcap is an open-source USB Packet Capture tool for Windows that can be used together with Wireshark in order to analyse USB traffic without using a Virtual Machine.
Currently, the live capture can be done on “standard input” capture basis: you write a magic command in cmd.exe and you get the Wireshark to capture raw USB traffic on Windows.
USBPcapDriver has three “hats”:
- Root Hub (USBPCAP_MAGIC_ROOTHUB)
- Control (USBPCAP_MAGIC_CONTROL)
- Device (USBPCAP_MAGIC_DEVICE)
What you won’t see using USBPcap
As USBPcap captures URBs passed between functional device object (FDO) and physical device object (PDO) there are some USB communications elements that you will notice only in hardware USB sniffer.
USBpcap что это за программа
Это программы, позволяющие прослушать и декодировать данные, передаваемые по шине USB на интересующее устройство.
Такой инструментарий позволяет отладить программное обеспечение, работающее с USB, разобраться в деталях работы устройства, получить подробную информацию от устройстве USB и т. п.
USBlyzer. Стоит около $200 [1].
USBTrace. Стоит около $195.00 [2].
SnoopyPro-0.22 — бесплатный и весьма толковый снифер [3]. Давно не поддерживается, документация практически отсутствует, но вполне себе работает.
[Как пользоваться Snoopy Pro]
Краткая справка HOWTO, как установить и запустить прослушивание пакетов для произвольного устройства USB.
1. Скачайте архив программы [3]. В архиве один-единственный исполняемый файл SnoopyPro.exe, который не требует установки (очень люблю такие программы!). Распакуйте его в произвольное место (папку) на диске, например в папку c:Program FilesSnoopyPro.
2. Запустите файл SnoopyPro.exe. Появится окно USB Devices со списком установленных в Windows устройств. Выберите в меню File -> Unpack Drivers, затем выберите File -> Install Service.
3. Выберите в списке интересующее вас устройство (оно должно быть подключено к компьютеру). Устройство проще найти, зная VID и PID устройства. В столбце VID/PID списка текст будет как раз содержать эти VID и PID. К примеру, Ваше устройство имеет VID 0x0B9B и PID 0x4012, тогда строка в списке, соответствующая искомому устройству, будет иметь вид «USBVid_0b9b&Pid_4012. «. Щелкните на эту строку правой кнопкой, и выберите Install and Restart.
4. Во втором окне программы SnoopyPro запустится окно лога. Окно лога можно также запустить через меню File -> New. В лог будут накапливаться прослушанные пакеты, и число пакетов в левом верхнем углу пакета будет постоянно увеличиваться.
5. Остановите сбор лога, и тогда Вы сможете его просмотреть. Для остановки сбора лога нажмите кнопку с черным квадратиком.
Собранный лог можно сохранить в файл (File -> Save As. ) или экспортировать в XML (File -> Export. ).
[Free USB Analyzer]
Программа также называется Device Monitoring Studio (т. е. у неё бывают опции для мониторинга не только USB, но и последовательных портов, сети). Опция для мониторинга сети называется USB Monitor.
В бесплатной версии возможности сильно урезаны, но вполне достаточны, чтобы проанализировать обмен пакетами. USB Monitor также имеет 3 платные версии, обладающие дополнительными возможностями.
Установка Free USB Analyzer большой сложности не вызывает благодаря наличию удобного инсталлятора. Однако требуется перезагрузка, и в системе при перезагрузке добавляются значительные изменения. Поэтому рекомендуется перед установкой сделать контрольную точку восстановления системы.
USBpcap что это за программа
Привет, друзья! Приятно видеть, что вы нас читаете и комментируете! Это значит, что пишем не зря. Сегодня я проводил весьма интересные эксперименты и хотелось бы поделиться некоторыми результатами.
Нас интересуют данные, передаваемые по шине USB. Можно ли как-то “прослушивать” этот трафик? Оказывается, можно.
Качаем программу USBPcap, устанавливаем:
Теперь запускаем файл USBPcapCMD.exe с правами администратора:
Запуск USB сниффера
Мониторить мы будем работу с флешкой, которую я заботливо вставил в порт 3 первого корневого хаба. В программе он определился под номером 2. Вводим цифру 2. Затем вводим результирующий файл (1.pcap), в него будет записываться все, что происходит на этой шине.
Немножко модифицируем содержимое текстового файла на флешке:
Запишем наглядную последовательность в файл
После этого завершаем консольное приложение сниффера нажатием клавиш Ctrl+C и открываем файл 1.pcap (появился в каталоге программы) через WireShark:
Команды обмена данными с USB устройством
Ух ты! Какое удобное представление данных! В формате нашего любимого сниффера. Попробуем разобрать некоторые команды. Увы, я не очень хорошо знаю спецификацию USB, поэтому все, что я сейчас буду описывать – это лишь мое мнение, которое может быть неполным или ошибочным. Если кто может уточнить – пишите в комменты.
Периодический опрос USB устройства
Итак, нетрудно заметить, что периодически (примерно раз в секунду) происходит опрос USB устройства:
Мы это видим как Test Unit Ready LUN . Моментально приходит отклик. Таким образом система узнает, что к хабу подключено устройство.
Листаем дальше. А вот и команда Write(10) . Посмотрите, я выделил там красным маркером – есть параметр LBA. Насколько я понимаю, это абсолютный адрес блока. Ниже идёт пакет непосредственно с данными для записи. Приглядимся. Да это же 0-ой сектор! Со всеми вытекающими. Файловой системой (FAT) и окончанием 0x55AA
Команда на запись USB устройства
Ладно. Идём дальше. Следующая команда на запись уже поинтереснее. Я выделил маркером LBA адрес: 0x000001F0 . Надо сказать, что тут у меня было некоторое замешательство. 0x000001F0 адрес – это как раз окончание загрузочного сектора. Зачем что-то писать сразу после него? Тем более, что не совсем соответствуют данные (переданные в следующем пакете) тем, что находятся за 0-ым сектором. Посмотрите, я там выделил синими стрелками. Последовательность 0xE5 , 0x78 , 0x00 , 0x74 ,…. и так далее. И кстати, вот я подумал, а что если адреса LBA – это не совсем то, что указано?
Запись корневого каталога FAT
Мои ожидания оправдались! Путём несложных арифметических преобразований получаем:
0x000001F0 *200 = 0x0003E000
Открываем флешку в WinHEX и идём по адресу. Видим корневой каталог! Чтож, всё логично!
Корневой каталог FAT
Здесь у меня остался некоторый мусор от переименованного файла “Новый текстовый документ.txt“, смещения с 0x0003E000 по 0x0003E07F . Игнорируем. Представим, что 0x0003E080 адрес – это на самом деле 0x0003E000 ! На практике так оно и есть.
Очищеный корневой каталог
Запись данных в файл на флешке
Следующая команда на запись – в блок 0x00000210 . Видим, что записывается последовательность 0x31 , 0x31 , 0x31 , 0x32 , 0x32 ,… Ага!
Умножаем блок на 200:
0x00000210 * 200 = 0x00042000 , переходим на этот адрес:
Содержимое файла на флешке
Ну точно! Это как раз кластер, которые занимает файл 1.txt, и с этого смещения начинается его содержимое 111222333444. Именно ASCII коды этих символов и выглядят как 0x31, 0x31, 0x31, 0x32,…. Всё сошлось!
Смотрим следующую команду на запись:
Запись в таблицу FAT
Интересно. Конечно, у меня есть догадка, но лучше бы её проверить. Видим LBA 0x00000004 .
Умножаем на 200, получаем адрес 0x00000800
Поясняю, F8 – идентификатор носителя (жесткий диск). Далее идёт два байта заполнителя FFFF. А дальше – FFFF – это запись нашего файла. Это означает, что в таблице размещения файлов наш файл занимает один единственный кластер и это первая запись FAT. Посмотрите ссылку, чтобы разобраться.
Следующее смещение на предыдущем скрине – 0x0000000FA . Разбирать не будем, просто скажу, что это вторая копия FAT-таблицы (резервная).
Вот, в общем-то и всё. Надо сказать, я до этого не совсем понимал, как происходит запись на носители типа USB. Теперь это становится понятным. Существуют методические материалы по программированию USB устройств и драйверов, у меня же есть одна замечательная идейка, которую я хочу воплотить в жизнь. Для этого нужно написать небольшую программку, наподобие этого сниффера.
USB Analyzer
Мониторинг USB портов и
анализ активности USB-устройств
USB Analyzer — это простая в использовании программа для мониторинга данных USB-устройств для ОС Windows. Она предлагает простой, но всеобъемлющий режим отображения мониторинга и анализа активности USB-устройств.
USB Analyzer может отслеживать, записывать, отображать и анализировать входящие и исходящие данные между приложениями и любым USB-устройством, подключенным к вашему компьютеру. USB Monitor может успешно применяться при разработке приложений, драйверов USB-устройств или аппаратного обеспечения. Это ваша фундаментальная платформа для эффективного кодирования, тестирования и диагностики USB портов.
Реверс протокола USB устройства
Возникла такая задача.
Есть USB приставка типа осциллографа, и программа под winXP, от его разработчика, которая запускает измерения, устанавливает частоту дискретизации, получает и отображает данные.
Ни исходников программы, ни описания протокола, по которому она с устройством общается, нет.
Возникла необходимость разработки своего приложения род Linux для работы с осциллографом, автоматической обработки данных и передачи результата в OpenScada.
Нужно выяснить, как программа общается с устройством. Думаю использовать сниффер USB. Кто-нибудь имеет такой опыт? Какую лучше программу-сниффер использовать под XP? Как удобнее тестировать полученный таким образом результат под Linux?
USBPcap – USB Packet Capture For Windows
USBPcap is an open-source USB Packet Capture tool for Windows that can be used together with Wireshark in order to analyse USB traffic without using a Virtual Machine.
Currently, the live capture can be done on “standard input” capture basis: you write a magic command in cmd.exe and you get the Wireshark to capture raw USB traffic on Windows.
USBPcapDriver has three “hats”:
- Root Hub (USBPCAP_MAGIC_ROOTHUB)
- Control (USBPCAP_MAGIC_CONTROL)
- Device (USBPCAP_MAGIC_DEVICE)
What you won’t see using USBPcap
As USBPcap captures URBs passed between functional device object (FDO) and physical device object (PDO) there are some USB communications elements that you will notice only in hardware USB sniffer.
- Bus states (Suspended, Power ON, Power OFF, Reset, High Speed Detection Handshake)
- Packet ID (PID)
- Split transactions (CSPLIT, SSPLIT)
- Duration of bus state and time used to transfer packet over the wire
- Transfer speed (Low Speed, Full Speed, High Speed)
Moreover, you won’t see complete USB enumeration. You will only see the USB control transfer send to device after the device has been assigned its address.
USB capture setup
This page is about capturing raw USB traffic, e.g. the packets a USB mouse will generate on the Universal Serial Bus.
Table of contents
USB attached network interfaces
A special case are network interfaces connected to a host computer through an USB cable. The operating system «converts» the raw USB packets into the network traffic (e.g. Ethernet packets) and provides a network interface that looks like an ordinary network interface. So you can capture from:
- the USB device for raw USB traffic (if supported)
- the network device for «normal» network packets
The USB bus will add additional overhead, so the raw USB traffic will have higher volume than the network traffic, even if the only active USB devices on the system are network adapters. (If there are other active USB devices, the raw USB traffic will include traffic to and from those devices, so it will obviously have higher volume than Ethernet traffic.)
Linux
Capturing USB traffic on Linux is possible since Wireshark 1.2.0, libpcap 1.0.0, and Linux 2.6.11, using the Linux usbmon interface.
First, check if you belong to the wireshark group with:
To add yourself to the wireshark group, run the below command, then logout and login.
sudo adduser $USER wireshark
Then ensure that non-superusers are allowed to capture packets in wireshark. Select <Yes> in the below prompt:
sudo dpkg-reconfigure wireshark-common
The next two commands may need to be re-run after every reboot:
To dump USB traffic on Linux, you need the usbmon kernel module. If it is not loaded yet, run this command as root:
To give regular users privileges, make the usbmonX device(s) readable:
sudo setfacl -m u:$USER:r /dev/usbmon*
On some Linux distributions (Arch Linux, Debian, Ubuntu, possibly others), the above command may not be necessary if you already belong to the wireshark group. See CaptureSetup/CapturePrivileges: Most UNIXes.
With Linux kernels prior to 2.6.23, you will also need to run this command as root:
mount -t debugfs none /sys/kernel/debug
and, with those kernels, the usbmon mechanism’s protocol limits the total amount of data captured for each raw USB block to about 30 bytes. With a 2.6.23 or later kernel, and libpcap 1.1.0 and later, that size limitation is removed. Use uname -r to check your kernel version.
In libpcap 1.1.0 and later, the devices on which you can capture are named usbmonX , where X is the USB bus number. On Linux 2.6.22 and later, the special «usbmon0» interface receives a combined stream of events from all USB buses. In libpcap 1.0.x, the devices were named usbX .
Simple MITM hardware with Linux
If the USB host is a black-box device such as a game console and you cannot capture USB traffic on the host’s operating system, here are two DIY-projects that help you build a simple MITM device to intercept and relay USB messages on the USB cable.
is designed to intercept USB HID traffic. Originally made for the GIMX project (which lets you connect PC game controllers to the PS4 by converting the HID protocol messages). You will need a Linux computer to capture the HID messages and an Arduino-based USB dongle. Parts are cheap. If you don’t like soldering, you can buy ready-made «GIMX USB adapters» from the developer and from enthusiasts on eBay and elsewhere.
intercepts USB traffic with a standalone Beaglebone Black, which is reconfigured to act as a USB gadget emulating the device connected to the 2nd USB port. Unlike SerialUSB, this solution works with higher-speed non-HID USB traffic as well (within the hardware limitations of the Beaglebone device).
macOS
Capturing USB traffic on macOS is possible since Wireshark 2.4.0, libpcap 1.9.0, and macOS High Sierra, using the XHC20 interface.
In order to capture on that interface, you will first have to run the command
ifconfig XHC20 up
as root, for example by running
sudo ifconfig XHC20 up
Windows
You can capture raw USB traffic on Windows with USBPcap. The Tools page lists some other options for Windows USB capture.
A word of warning about USBPcap
There have been problems with using USBPcap in the past, and while these problems should be resolved now, you may wish to familiarize yourself with these earlier problems, in the event you are still affected by it.
Wireshark Bug 11766 — USBPcap prevents mouse and keyboard from working
USBPcap Issue #3 — Windows 7 — USB bus not recognized after restart after USBPcap installation
Microsoft Security Advisory 3033929 — Availability of SHA-2 Code Signing Support for Windows 7 and Windows Server 2008 R2
You can also capture and debug USB traffic on a virtual Windows machine under VirtualBox. In some ways this is more convenient than working with a separate Windows box.
In this example, an embedded Linux device running g_ether (RNDIS ethernet gadget) connects to Windows. e.g. an NSLU2 with a USB slave modification http://www.nslu2-linux.org/wiki/HowTo/AddDeviceSideUSBPort but it should work for almost any USB device.
With this method, Linux recognises the USB device (i.e. >lsusb will still show them), but VirtualBox hooks it into Windows but Wireshark on linux still gets to snoop on all the packets.
1. Install a VirtualBox Windows guest on your Linux host. Start up the virtual Windows session.
2. Plug-in the embedded slave device via a USB cable, which itself should be either a device Windows already knows about (or in this case it was running a valid g_ether gadget stack and needed a .inf file)
3. Run >lsusb and take a note of which bus the device connects.
- e.g
- «Bus 003 Device 003: ID 0525:a4a2 Netchip Technology, Inc. Linux-USB Ethernet/RNDIS Gadget»
4. On linux side,run >ifconfig usb0 down — this prevents both the linux system and the windows system from fighting over the device
5. On the Windows virtual machine, on VirtualBox menus click the checkbox
[Devices]->Usb devices>[x]Your device
to let windows see the USB device.
6. Now Windows should recognise the device and proceed with the «plug-and-pray» session for driver initialisation.
I worked from the instructions on http://docwiki.gumstix.org/index.php/Windows_XP_usbnet to install the driver.
7. In this example, I had to set up the networking options for IP address, Gateway etc on Windows to match the IP network on the gadget but for other USB device types there will be no extra setup. In any case this is just normal Windows behavior.
8. On Linux, startup Wireshark and using the Bus number given earlier from >lsusb command to sniff for packets.
Hints for developing something like a Windows native «USBPcap»: a kernel mode filter device driver has to be written. An older Driver Development Kit (DDK) is available which at least can compile kernel mode binaries. The most important functions to install the filter driver are CreateService() and SetupDiSetDeviceRegistryProperty() function with SPDRP_LOWERFILTERS parameter.
Discussion
Why was the note about inaccurate time stamps removed. — UlfLamping
The timestamps should be ok now since libpcap works around the issue by explicitly calling gettimeofday()- ronnie
Well, the inaccuracies I had in mind was about the «delta» involved between the data is received from the USB device and actually timestamped from the kernel. This delta will be substantially lower for e.g. PCI based nic’s than for USB ones — and should be mentioned. Or am I just wrong on this topic and this can be ignored — which should be mentioned then too? — UlfLamping
There’s «capturing on USB-attached networking interfaces» and there’s «capturing USB traffic»; this page is for the latter, but it sounds as if the time stamp delta is an issue for the former. — Guy Harris