在生产 IIS7 服务器上运行 Wireshark 安全吗？有好的替代方案吗？

Question

我们在 IIS7 服务器上托管了许多 ASP.NET 站点。有时，我们希望能够记录 HTTP POST 数据以解决问题。IIS 允许我们记录查询字符串，但不允许记录 POST 数据 - 至少，我们还没有找到方法。

您认为在生产服务器上使用 Wireshark（或 Netmon 或其他嗅探器）安全吗？我的直觉告诉我“不安全”，但我想听听其他人的看法。

最好使用端口镜像，并在同一交换机上的另一个盒子上运行嗅探器。但不幸的是，该交换机上的所有服务器都是生产服务器……所以我们必须影响其中的一个。

谢谢你的帮助，
理查德

Answer 1

十多年后，请忽略 2009 年的原始帖子，想想 2020 年的情况微软建议人们使用 WireShark。 谢谢贾斯汀在下面的评论中获取提示。

---

Microsoft Pro Support 通常会要求您在生产服务器上安装 Netmon 以帮助追踪问题。如果 MSFT 自己希望您在生产服务器上使用数据包捕获实用程序（在本例中为 Netmon），那么这是一个很好的迹象，表明这是可以的。（我想这句话至少有几个逻辑错误，但我觉得不错。=) ）据我所知，在生产服务器上放置数据包捕获实用程序不会造成任何不稳定。

就我个人而言，我会在 Windows 服务器上使用 Netmon 而不是 Wireshark。第一个原因是，根据我的经验，Pro Support 不支持 Wireshark 捕获。第二个原因是……嗯……我更喜欢 Netmon，但这是主观的。=)

Answer 2

恕我直言，在生产服务器上运行数据包捕获程序并没有什么固有的风险或危害。在许多情况下，问题在于您需要在“源”服务器上运行它来确定问题的原因。

Answer 3

如果您认为员工进行嗅探存在风险（安全性、性能或超出他们的技能水平），那么您会遇到更大的问题。

您希望员工知道如何做这样的事情 - 这会让他们思考得更好，并且会提高他们提出的问题的水平 - 当然，除非您担心服务器人员能够读取 SRC/DST 数据会影响工作安全。

Answer 4

听起来你想要类似的东西智能嗅探。

Wireshark 可以完成这项工作，因为它也使用 WinPcap，但我认为如果您不进行高级跟踪，Smart Sniff 会更简单且更易于使用。

_{（来源：nirsoft.net）}