PKTMON - Cheat Sheet Administrateur Windows
PKTMON (Packet Monitor) est un outil natif Windows permettant de capturer et d'analyser le trafic réseau sans installer de logiciel tiers.
Vérifier la configuration actuelle
Afficher les filtres actifs :
pktmon filter list
Afficher les composants monitorés :
pktmon comp list
Afficher l'aide :
pktmon help
Nettoyer les filtres
Supprimer tous les filtres :
pktmon filter remove
Capturer un port spécifique
UDP
Capturer le port UDP 20500 :
pktmon filter add -p 20500
TCP
Capturer le port TCP 443 :
pktmon filter add -p 443
Lister les filtres :
pktmon filter list
Capture temps réel
Démarrer une capture en temps réel :
pktmon start --etw -m real-time
Arrêter la capture :
pktmon stop
Capture vers un fichier
Démarrer l'enregistrement :
pktmon start --capture --pkt-size 0
Arrêter :
pktmon stop
Fichier généré :
PktMon.etl
Export de capture
Conversion en texte
pktmon format PktMon.etl -o Capture.txt
Conversion Wireshark
pktmon etl2pcap PktMon.etl -o Capture.pcapng
Exemples de lecture
Trafic entrant
Direction Rx
192.168.1.10.50000 > 10.0.0.10.20500
Signification :
Client : 192.168.1.10
Port : 50000
Serveur : 10.0.0.10
Port : 20500
Le serveur reçoit un paquet.
Trafic sortant
Direction Tx
10.0.0.10.20500 > 192.168.1.10.50000
Le serveur répond au client.
Validation d'un flux fonctionnel
Rx
192.168.1.10.50000 > 10.0.0.10.20500
Tx
10.0.0.10.20500 > 192.168.1.10.50000
Interprétation :
✓ Trafic reçu
✓ Application joignable
✓ Réponse envoyée
Filtrer par adresse IP
Capturer uniquement une IP :
pktmon filter add -i 192.168.1.10
Capturer plusieurs IP :
pktmon filter add -i 192.168.1.10
pktmon filter add -i 192.168.1.20
Capture pour analyse Wireshark
Méthode recommandée :
pktmon filter remove
pktmon filter add -p 20500
pktmon start --capture --pkt-size 0
Faire le test.
pktmon stop
Convertir :
pktmon etl2pcap PktMon.etl -o Capture.pcapng
Ouvrir directement dans Wireshark.
Rechercher une application liée à un port
UDP
Get-NetUDPEndpoint |
Where-Object LocalPort -eq 20500
TCP
Get-NetTCPConnection |
Where-Object LocalPort -eq 443
Associer un PID à un processus
Get-Process -Id 1234
Ou :
(Get-Process -Id 1234).Path
Résultat :
C:\Program Files\Application\App.exe
Vérifier rapidement le pare-feu
Règles contenant un port :
Get-NetFirewallRule |
Where-Object DisplayName -match "20500"
Ports ouverts :
Get-NetFirewallPortFilter |
Where-Object LocalPort -eq 20500
Workflow recommandé
1. Supprimer les filtres
pktmon filter remove
2. Ajouter le port
pktmon filter add -p 20500
3. Démarrer la capture
pktmon start --etw -m real-time
4. Réaliser le test applicatif
5. Vérifier
Rx uniquement
→ Requête reçue.
Rx + Tx
→ Communication bidirectionnelle.
Aucune trace
→ Le trafic n'arrive pas sur le serveur.
6. Arrêter
pktmon stop
Commandes essentielles à retenir
pktmon filter remove
pktmon filter add -p 20500
pktmon start --etw -m real-time
pktmon start --capture --pkt-size 0
pktmon stop
pktmon format PktMon.etl -o Capture.txt
pktmon etl2pcap PktMon.etl -o Capture.pcapng