Windows 设备抓包操作

1.    在CA服务器和客户端上分别运行以下命令开启网络包
netsh trace start traceFile=c:\netmon.etl capture=yes 
Ipconfig /flushdns
nbtstat -RR
klist purge

2.    在客户端上通过MMC申请证书（指定特定CA）重新问题，然后在两边运行以下命令停止抓包
Netsh trace stop

3.    并在客户端上运行以下命令导出信息。
wevtutil epl system C:\%computername%_sys.evtx
wevtutil epl Application C:\%computername%_app.evtx
msinfo32 /nfo C:\%computername%_SYSSUM.NFO /categories +systemsummary