你是不是也遇到过USB设备插到电脑上没有任何反应或者USB转串口调试的时候数据老是错乱一查代码觉得逻辑没问题驱动也装了但问题就是反复出现我之前被这种问题折磨了很久后来才知道其实最直接的办法是直接把USB总线上的通信数据抓下来看。没错就是抓包而且用的还是大家熟知的Wireshark只不过这次抓的不是网卡而是USB。很多人以为Wireshark只能抓以太网口的数据其实它配合专用的USBPcap驱动之后完全可以用来抓USB总线上的URB请求与数据包。把鼠标、U盘、串口芯片这些设备一插一拔底层到底交换了什么信息全都能看得清清楚楚。这套方法对做驱动调试、固件开发、USB设备兼容性问题排查、甚至解决一些诡异的串口乱码问题都特别有用。这篇文章我会从环境准备、驱动安装、抓包设置、过滤分析到真实案例一步一步带你走通“Wireshark抓USB包”这条完整链路顺便把我在实践里踩过的坑也一并说清楚。1. 为什么需要抓USB包不仅能看网络也能看总线1.1 哪些场景会让你想抓USB包我最早接触USB抓包是因为一个USB转串口设备丢数据的Bug。代码里读写流程看着完全正常但实际传出来的字节就是不对。那时候我甚至怀疑是线材问题换了好几根线都没用最后被逼到去抓USB总线上的数据才定位到是USB驱动层对数据长度字段处理出了偏差。类似的场景其实非常多USB设备插上后系统不识别但设备本身在别的电脑上能正常工作。设备能识别但功能异常比如摄像头不出图、U盘复制文件总报错。自己写USB固件或者上位机驱动需要确认SETUP请求是否正确发出、端点描述符对不对。排查USB转串口、USB转CAN这类桥接设备的数据错乱问题。分析USB HID设备键盘、鼠标上报的事件是否被正确发送。研究USB电源和枚举过程的交互细节比如设备上电之后第一次重置的时间点。在这些场景里用示波器看信号当然最直接但门槛高、成本也高。用Wireshark加USBPcap的好处是零成本、上手快而且可以拿到完整的USB协议层内容适合大多数开发者日常调试。1.2 抓USB包和抓网络包有什么本质区别网络抓包抓的是IP包、TCP包而USB抓包抓的是URBUSB Request BlockUSB请求块。URB是主机与设备之间的通信单元结构上和网络包完全不同里面包含传输类型控制传输、批量传输、中断传输、等时传输、端点号、传输方向、数据长度、实际数据内容等信息。网络包抓的是“经过网卡的报文”而USB包抓的是“经过USB主机控制器传输的数据”。这意味着你必须在一个能插入USB设备的主机上通过底层的抓包驱动来“旁路”监听USB总线事件。这里要特别强调一个区别网络抓包通常只需要安装Wireshark最多再装个Npcap或WinPcap就能解决。而USB抓包必须额外安装一个USBPcap驱动Windows平台或者使用Linux内核自带的usbmon。否则Wireshark连USB接口都看不到更不用说抓包了。2. 环境准备老老实实把Wireshark和USBPcap装上2.1 不同系统的USB抓包驱动怎么选先说你最常用的Windows。在Windows上Wireshark官方推荐的USB抓包驱动就是USBPcap一个开源的内核级驱动。安装Wireshark的时候安装向导会有一个步骤询问你是否需要安装USBPcap默认是勾选的但很多人会直接点下一步略过它导致之后找不到USB捕获接口。如果你用的是Linux那么不需要额外安装驱动内核原生支持usbmon模块。只要加载usbmon模块Wireshark里就会出现usbmon1、usbmon2等接口分别对应不同的USB控制器。内核模块加载命令是sudo modprobe usbmon有些发行版可能需要先sudo apt install usbmon之类的包。不过很多桌面发行版默认已经加载了。macOS这边就比较麻烦因为macOS对USB底层监听支持比较弱Wireshark官方也没有提供稳定的USB抓包方案通常需要额外的第三方内核扩展而且新版系统权限限制越来越严格。所以我个人建议如果没有特殊需求优先用Windows或Linux做USB抓包。2.2 Windows下安装Wireshark和USBPcap的具体步骤安装过程其实不复杂但有几个容易出问题的地方。我直接写一版我测试过最稳的步骤去Wireshark官网下载最新的稳定版安装包。运行安装包一路Next到“Choose Components”页面找到“USBPcap”选项确保它被勾选。继续安装期间Windows会弹出设备驱动安装确认一定要选择“安装”允许安装驱动。安装完成后拔掉所有USB设备再重新插入一次确保USBPcap驱动能捕获到新设备的枚举过程。打开Wireshark你会看到捕获接口列表里多了几个名为“USBPcap1”“USBPcap2”的接口。如果你一个有USB接口的电脑上数量没这么简单可能只有一个也可能有三四个取决于电脑上USB Root Hub的个数。这里要特别提醒大家USBPcap目前对新版本WindowsWin10/11支持是没问题的但如果你用的是Win7最好去网上找老版本USBPcap单独安装包。不过现在还在用Win7调试USB的应该很少了。如果你在安装时漏掉了USBPcap也不用重新装Wireshark。直接去USBPcap官网或者Wireshark插件目录下载对应版本的安装包单独安装一遍就行。装完驱动后最好重启一次系统让驱动真正加载。2.3 我怎么确认驱动已经生效装完之后别着急抓包先验证驱动是否正常工作。这一步很多人会忽略结果一进Wireshark看到没有USB接口就以为是自己操作错了。我通常这样验证按Win R打开运行窗口输入devmgmt.msc打开设备管理器。在“系统设备”或“通用串行总线控制器”类别下找有没有“USBPcap”相关的设备条目。如果能看到说明驱动已经安装成功。以管理员身份运行Wireshark右键以管理员身份运行打开“捕获 选项”看接口列表里是否出现USBPcap1、USBPcap2等条目。注意如果设备管理器里看到了USBPcap设备但Wireshark里没有接口最大的可能是你没有用管理员身份运行Wireshark。USBPcap捕获驱动需要管理员权限才能访问普通权限下Wireshark不会列出这些接口。3. 正式抓包从打开Wireshark到拿到第一份USB流量3.1 选择正确的USB捕获接口当你以管理员身份打开Wireshark后看到USBPcap1、USBPcap2这一串接口时可能会有点懵到底该选哪个最简单的做法是把要抓的USB设备插在电脑上然后看设备管理器里该设备挂在哪个USB Root Hub下面。USB Root Hub对应的编号基本就是USBPcap1或USBPcap2的编号。举个例子我把USB转串口模块插到一个前置USB口上在设备管理器里可以看到它挂在“USB Root Hub (USB 3.0)”下面。我经过测试确认这个Root Hub对应的是USBPcap2所以抓包时候就选USBPcap2而不是USBPcap1。如果你不确定可以分别在每个接口上抓一小段包看看哪个里有这个设备的枚举和通信记录。3.2 捕获选项里的几个关键设置双击选中的USBPcap接口或者在主界面点“捕获选项”会进入详细设置界面。这里的配置和抓网络包时有些相似但也有很多USB特有的参数。我通常关注这几项Capture Filter捕获过滤器在开始抓包前就过滤掉大部分不关心的流量。最常用的过滤条件是usb.device_address 2只抓某一个地址的设备。这个“2”通常是设备枚举后被主机分配的地址一般第一个插入的设备地址是2地址1保留给Root Hub或控制传输的默认地址。Buffer Size缓冲区大小USB数据量可能很大尤其是等时传输或者连续BULK传输缓冲区小了会丢包。我习惯先设成默认值如果发现丢包再调大。Windows下USBPcap的缓冲区大小在驱动安装后已经默认配置在Wireshark里也能调。Promiscuous Mode这个选项在网络抓包里意思是混杂模式在USB抓包里意义不太一样一般保持默认就好我不建议乱动。我要特别提醒一个点USBPcap抓包时会占用一些主机控制器资源如果电脑配置很老会导致USB设备本身不稳定。所以在抓包时最好不要同时跑多个大流量USB设备否则抓到一半设备断连反而更难分析。3.3 开始抓包插拔设备与保存数据设置好之后点击“开始”进入抓包状态。然后我就会做这么一套流程拔掉目标USB设备。等待一两秒再把设备插回电脑。在设备枚举完成后做一些我关心的操作比如打开串口、发送数据、读取U盘文件。操作结束后回到Wireshark点击“停止捕获”然后保存为pcapng文件。这个流程里面最核心的一个动作是“插拔设备”因为USB设备初始化时的枚举过程全是SETUP请求和描述符交互这些信息对于排查识别问题特别重要。如果你只是想在设备已经正常工作后抓后续通信可以不拔插直接点开始抓包再做操作即可。保存文件时注意命名清晰比如usb-monitor-20240520.pcapng。我习惯一次性多抓几种操作然后保存成多个文件这样后续分析时能快速定位到某一段流程。4. 过滤与分析在一堆URB流里找出关键信息4.1 USB协议基础速览不要被URB吓到刚打开抓到的USB包你会看到一列列URB记录第一眼可能会觉得比网络包还抽象。但只要理解几个基本概念就舒服多了。USB传输有四种类型控制传输Control主要用于设备枚举和配置比如读取描述符、设置配置值。特点是双向、有严谨的SETUP阶段。批量传输Bulk用于大数据量非实时传输比如U盘读写、USB转串口收发。特点是可靠、低速、流量大。中断传输Interrupt用于少量、周期性数据比如鼠标、键盘、游戏手柄。有固定轮询间隔。等时传输Isochronous用于实时数据流比如USB摄像头、音频。可靠性低但带宽有保障。在Wireshark里每一行URB通常包含Source/Destination主机到设备还是设备到主机。Endpoint端点号0号端点通常用于控制传输。Transfer Type上面的四种类型之一。URB Status0表示成功非0表示错误。Length数据长度。Data实际的数据内容。你把USB想象成一个小区设备是一个住户端点就是住户的“门牌号”URB就是门卫送到住户手中的信件信件里装着你要的数据。这样理解包里每一行就是一条“送信记录”。4.2 最常用的过滤条件从茫茫包海里捞针抓下来的USB包很容易就是几千上万条直接翻是翻不过来的。所以我每次都是先写过滤条件再仔细看。下面这几个Display Filter是我使用频率最高的usb只看USB协议相关包。不过USBPcap接口下通常都是USB相关的这个条件基本没用只是兜底。usb.device_address 2只看某个设备地址的数据。这个最常用一下子就能把无关设备全部屏蔽掉。usb.transfer_type 0x03只看BULK传输。0x03是BULK的协议编码0x02是中断0x01是控制0x04是等时。usb.endpoint_number 0x81只看某个端点号。注意端点号通常带方向高位置1是IN设备到主机所以0x81和0x01可能对应同一个端点的两个方向。usb.urb_type URB_SUBMIT只看提交的请求不看完成包。usb.urb_type URB_COMPLETE只看完成包这个能看到设备返回的实时数据。usb.data_len 0只看有数据载荷的包过滤掉纯控制信息的URB。组合使用效果更佳。比如我想看某个串口芯片的批量传输数据就写成usb.device_address 2 usb.transfer_type 0x03 usb.urb_type URB_COMPLETE这样过滤出来的基本都是真实收发数据。4.3 识别设备端点与URB时序把数据串成故事只看单条URB无法分析出完整业务逻辑所以下一步要关注端点上的数据流。Wireshark有一个“Follow”功能右键点击某一条USB记录选择“Follow USB/UART Stream”具体名称取决于你的协议可以直接把某个端点上的连续数据序列列出来。不过如果你只是用标准USBPcap这个Follow功能对串口类数据不一定好用所以我更倾向于直接看URB的Data列。我常用的方法是通过usb.device_address过滤出目标设备。通过usb.transfer_type过滤出想看的传输类型。通过usb.endpoint_number将数据按方向拆开。然后看URB Status如果出现非0状态基本能定位到问题。再看usb.data_len和实际数据内容比对逻辑。举个具体例子我之前调试一个USB转串口芯片代码里发送的是0x01 0x02 0x03三个字节但设备返回的ACK频率不对。抓包后我看到BULK OUT请求的Data就是0x01 0x02 0x03发送完全正常。再看BULK IN的返回设备回了0x06这就说明问题出在设备端返回逻辑上和主机驱动无关。这种判断只需要几秒但如果你没有抓包可能得拿串口助记打印半天才能确定。5. 实战案例用USB抓包定位一次USB转串口通信失败5.1 复现问题并抓包一次典型的丢数据排查背景是这样的我拿一块FT231X芯片做的USB转UART模块接在一台电脑上用串口助手向目标板发送十六进制数据。目标板正常回包时串口助手里能看到返回值但当时经常出现“发送一次数据目标板没反应再发一次才正常”的情况。我一开始以为是目标板程序问题但烧录逻辑检查了很多遍都没毛病。后来决定用Wireshark把USB总线上的数据抓下来看看到底发生了什么。过程是这样以管理员身份打开Wireshark选择对应USBPcap接口开始捕获。先在串口助手发送一笔正常数据记录时间点。停掉捕获保存为文件。再做一次异常复现发送数据后不反应然后再发一次保存文件。对比两个文件的差异。对比的时候我先用usb.device_address过滤出FT231X的地址。然后把两次文件里同类型BULK传输的URB记录并排看结果发现异常情况时第一次发送的数据根本就没出现在USB总线上。这个发现很关键——问题不是目标板没回而是主机端压根没把数据发出来。我马上把注意力从目标板移回串口助手和驱动设置最后确认是串口助手在特定波特率设置下缓冲区数据写入时机和USB批量传输的调度频率没有对齐导致漏了一次发送。换了一个串口助手程序问题消失。这个案例里USB抓包直接改变了排查方向省了很多无脑试验。5.2 从包内容还原一次完整的握手过程还有一个我印象很深的例子是排查一个U盘被电脑识别但经常读写报错的问题。抓包后我看到了主机对U盘的完整枚举过程主机发出Reset信号然后通过控制传输读取设备描述符。这个阶段在Wireshark里能看到GET DESCRIPTOR Device请求。主机分配地址这里一般能看SET_ADDRESS请求。主机再次Reset并通过新地址读取配置描述符。在这个序列里如果某条控制传输的URB状态是STALL协议错误那就说明设备返回了错误。我那次抓到的现象是SET ADDRESS之后配置描述符读取请求一直返回超时最后定位到设备的配置描述符长度字段算错了。你要还原这样的过程不需要线分析工具就在Wireshark里按时间顺序看过滤后的控制传输就能看出来。即使是几百条URB你只要按照协议阶段分组很快就能把“设备从插上到枚举成功”的过程梳理出来。5.3 怎么把USBPcap的包和业务行为对上这里有个技巧抓USB包时最好同时做一个操作记录。因为USB包本身没有业务层的直观语义你看到的就是URB和数据如果不记录“我此刻做了什么”后期很难对号入座。我在实际中是这样做的开一个记事本抓包时每做一个操作就按一下回车键在记事本里打一个数字然后马上在Wireshark里记下当前包序号。比如1插入设备2打开串口3发送数据AA554发送数据DATA15关闭串口这样后期分析时看到包序号区间就能知道那段流量对应什么操作。虽然听起来原始但这个方法在调试复杂USB协议时非常管用。6. 常见问题与排查技巧USB抓包的翻车现场总汇6.1 Wireshark不显示USBPcap接口怎么办这是第一次接触USB抓包的人遇到最多的问题。我整理了一下可能的原因和对应的解决办法可能原因检查方法解决办法没安装USBPcap驱动看Wireshark安装组件列表单独安装USBPcap没以管理员身份运行Wireshark标题栏没有“管理员”右键以管理员身份运行USBPcap驱动未加载设备管理器看不到USBPcap设备重启电脑或重装驱动接口被隐藏捕获选项里点“管理接口”查看显示隐藏接口主板开启了USB Legacy SupportBIOS里关闭重启进BIOS设置我自己遇到最多的是前两种。尤其是装完Wireshark后忘记勾选USBPcap然后一直在“接口列表”里找USB接口折腾了好半天。6.2 抓包时USB包滚得太快电脑卡住USB总线的数据量可以非常夸张如果不加过滤直接开抓几秒钟就能生成上百万条URB。Wireshark会直接卡死连“停止”按钮都没反应。解决办法有两个一是抓到前就设置捕获过滤器。捕获过滤器比显示过滤器更早生效在源头把不需要的数据挡掉。比如我只想抓某个设备就写usb.device_address 2。二是使用Wireshark的自动停止功能。在“捕获选项”里可以设置“在多长时间后停止”或“在多大数据量后停止”。我一般设置成“超过500MB自动停止”这样即使忘看屏幕也不会把电脑搞崩溃。另外还要注意USBPcap驱动在抓包时对系统性能有一定影响。如果抓包时其他USB设备出现卡顿这是正常的不是系统坏了。尽量抓包时不使用其他大流量USB设备。6.3 USBPcap抓到包但看不到USB 3.0流量怎么办这里要特别说明一个容易踩的坑USBPcap对USB 3.0SuperSpeed的支持在某些芯片组上有问题。有时候你明明插的是USB 3.0接口设备也是USB 3.0设备但抓到的包全是USB 2.0的枚举流量看不到3.0的高速率传输。我遇到过的情况是一些老的Intel USB 3.0控制器USBPcap确实只能看到部分流量。这种时候有两个选择把设备换到USB 2.0接口上抓一波USB 2.0的包做分析。虽然速率不同但协议层逻辑是一样的很多问题依然能暴露。换一台主机或换一个USB控制器再抓。比如我可以换用AMD平台的电脑USBPcap在AMD的USB 3.0控制器的兼容性在某些版本下反而更好。如果你一定要抓USB 3.0的超速流量那可能就得使用专门的USB分析仪硬件了这不是软件抓包能覆盖的范围。6.4 抓包之后分析数据时如何避免被噪声干扰抓到包以后我发现很多人翻包时特别容易陷进去看到什么包都点一下半天找不到重点。我的个人经验是先做“瘦身”。打开文件后第一件事就是用显示过滤器把目标设备地址过滤出来然后关掉所有软件自带的颜色规则只看自己关心的传输类型。如果目标设备有多个端点我会分别过滤出IN端点和OUT端点先把两个方向的数据链路理清楚再去看具体内容。如果文件特别大建议使用Wireshark的“统计 协议分层”功能看一下USB协议的比例快速确认哪个传输类型是主力。这样能帮你快速确定分析重心。6.5 其他值得注意的小坑USB抓包无法做到百分百不丢包。USBPcap毕竟是软件抓包在极端流量下可能丢URB所以抓到缺失数据时先别急着下结论多抓几次确认。不要用抓包来做实时监控。USBPcap抓包时会显著降低USB吞吐实时监控业务是不现实的更适合的是事后分析。注意抓包文件大小。一个pcapng文件动辄几百MB分析起来很吃力。我一般抓一小段流程就保存一个文件不要一直在同一个文件里持续几个小时。7. 超过抓包本身更高阶的USB调试思路7.1 把USBPcap和USB逻辑分析仪搭配使用软件抓包能拿到协议层数据但看不到物理层信号比如信号幅值、时序抖动、差分阻抗这些问题。如果你怀疑是硬件层面导致的不稳定那么USBPcap是无能为力的这时候就需要USB协议分析仪或者逻辑分析仪来帮忙。我平时软件抓包定位业务逻辑、协议流程、驱动问题硬件分析仪用来查看电气特性和物理层完整性。两者配合基本能解决绝大多数USB疑难杂症。7.2 从USB抓包到驱动开发调试如果你在写USB驱动抓包的作用就更大了。在Windows上开发驱动时你往往无法用winpcap直接看到内核态URB但USBPcap可以。因为USBPcap是一个内核驱动它是在USB总线附近做的监听所以用户态和内核态之间的URB都能捕获到。我之前写一个自定义HID设备的上位机驱动时用USBPcap确认了设备端是否正确处理了GET_REPORT请求。如果不抓包这个问题很可能要花上几天才能通过日志定位。7.3 Linux下的usbmon和Wireshark组合如果你是在Linux上做嵌入式开发usbmon是更轻量的选择。它的使用方式和USBPcap很不一样首先需要加载usbmon模块然后用Wireshark选择usbmon0、usbmon1这些接口。usbmon抓到的URB格式跟USBPcap有些不同但Wireshark会自动识别过滤语法基本一致。usbmon更大的优势在于可以用命令行配合tshark做自动化。比如我可以在脚本里写tshark -i usbmon1 -f usb.device_address 2 -w output.pcapng这样抓包分析可以完全无人值守特别适合长时间监控USB总线是否出现异常错误。8. 我的个人体会与一个压箱底的小窍门USB抓包这件事其实比我预想中简单但确实也不是那种开箱即用的功能。很多人卡住不是因为操作有多难而是因为不知道还需要装USBPcap驱动也不知道得用管理员权限运行Wireshark。只要你把环境这步搞通了剩下的事情完全可以把USB协议当成一种“有线网络”来分析和理解。压箱底的小窍门送给做串口调试的朋友当你调试USB转串口设备时如果怀疑数据被“吞”了不要只看接收区的数据一定要同时抓USB总线上OUT和IN两个方向的数据。很多丢数据、乱数据的问题其实在OUT阶段就已经错了但你一直盯着IN方向看永远找不到根因。另外抓包文件我建议只要还有可能复查就暂时别删。我一个项目里好几次遇到这种情况隔了几天发现新问题回头翻过期的pcapng文件才从当时的包数据里找到了联系。包不会骗你记录的越全后面的排查越省力。