寻找Microsoft-Windows-WinINet-Capture替代方案：捕获非WinINet程序HTTPS明文流量

AI 小北

2026-6-14

解决方案

针对你提到的使用WebClient类的.NET程序，以下是两个Windows自带的ETW（事件跟踪）方案，可替代Microsoft-Windows-WinINet-Capture捕获HTTPS明文流量：

1. 利用Schannel组件的ETW跟踪

WebClient底层依赖Windows的Schannel SSL/TLS库，通过跟踪Schannel的事件可以获取SSL密钥及相关流量信息：

打开管理员权限的命令提示符，执行以下命令创建跟踪会话：

logman create trace SchannelCapture -ow -o C:\SchannelTrace.etl -p "Microsoft-Windows-Schannel" 0xFFFF0000 0xFF

启动跟踪会话：
```
logman start SchannelCapture
```
运行目标程序，触发需要捕获的HTTPS流量
停止跟踪会话：
```
logman stop SchannelCapture
```
解析生成的ETL文件为可读文本：
```
tracerpt C:\SchannelTrace.etl -o C:\SchannelTrace.txt -of TEXT
```
该日志会包含SSL握手、密钥交换细节，结合相关分析可还原明文流量。

如果目标程序基于.NET Core/.NET 5+（或.NET Framework中WebClient底层已切换为HttpClient），可直接跟踪Microsoft-Windows-HttpClient组件，直接获取明文请求/响应：

管理员CMD中创建跟踪会话：

logman create trace HttpClientCapture -ow -o C:\HttpClientTrace.etl -p "Microsoft-Windows-HttpClient" 0xFFFF 0xFF

启动会话：
```
logman start HttpClientCapture
```
运行目标程序产生流量后，停止会话：
```
logman stop HttpClientCapture
```
解析日志：
```
tracerpt C:\HttpClientTrace.etl -o C:\HttpClientTrace.txt -of TEXT
```
此日志会直接记录HTTP请求头、响应头及明文内容，无需额外密钥分析。