FAQ

COM Sniffer ist ein leistungsstarkes Windows-Tool, mit dem sich serielle Ports passiv und kontinuierlich (24/7) protokollieren, sniffen und überwachen lassen. Es analysiert den Datenverkehr deiner Anwendungen oder von Drittsoftware mit maximaler Stabilität. Es bietet eine einfache, intuitive Oberfläche und ist kompatibel mit allen seriellen Ports, sowohl physisch als auch virtuell (einschließlich USB-Seriell). Du kannst auch den Datenverkehr auf COM-Ports überwachen, die bereits von anderen Programmen verwendet werden.

COM Sniffer ist derzeit ein integriertes Modul von SerialTool, der plattformübergreifenden Suite für die serielle Kommunikation (Windows, macOS, Linux) mit vielen erweiterten Funktionen. In Zukunft könnte COM Sniffer auch als eigenständige Version veröffentlicht werden; derzeit ist es ausschließlich mit SerialTool verfügbar.
Bei Fragen wende dich bitte direkt an das SerialTool-Team.

COM Sniffer ist derzeit nur für Windows verfügbar, wo ein zuverlässiger Sniffer auf Kernel-Treiber und eine komplexe technische Implementierung angewiesen ist. Unter macOS und Linux gibt es hingegen alternative Lösungen, die keine Kernel-Treiber benötigen und im Userspace arbeiten.

Nach dem Herunterladen ist COM Sniffer im SerialTool-Paket enthalten. Das Installationsprogramm installiert automatisch alle erforderlichen Treiber, ohne manuelle Konfiguration. In wenigen Minuten bist du bereit für die serielle Überwachung unter Windows.

Da COM Sniffer Teil des SerialTool-Pakets ist, läuft es auf allen 64-Bit-Windows-Systemen.

COM Sniffer funktioniert mit jedem vom PC erkannten seriellen Port: physisch oder virtuell (auch über USB–Seriell-Adapter). Wenn der Port in Windows als COM registriert ist, kann COM Sniffer den gesamten Datenverkehr abfangen und analysieren (einschließlich RS-232, RS-422 und RS-485), ohne das Verhalten der Hauptanwendung zu ändern.
Sobald ein COM-Port geöffnet wird und Daten austauscht, ist die Überwachung passiv und nicht invasiv: COM Sniffer erfasst Pakete und Parameter in Echtzeit und gewährleistet zuverlässiges Sniffen und Logging.

COM Sniffer ist keine serielle Kommunikationssoftware: es sendet und empfängt keine Bytes über die COM-Schnittstelle und öffnet oder steuert keine Ports. Es dient ausschließlich dem passiven Monitoring/Sniffen und Logging des seriellen Verkehrs.
Zum Senden und Empfangen von Daten, zum gleichzeitigen Öffnen mehrerer Ports und für erweiterte Kommunikationsfunktionen ist COM Sniffer in SerialTool integriert, das alle seriellen Operationen übernimmt.

Es ist möglich, mehrere serielle Ports gleichzeitig zu überwachen. Um Stabilität und effiziente Speichernutzung zu gewährleisten, begrenzt COM Sniffer die Anzahl praktisch auf bis zu 32 gleichzeitige COM-Ports.

Das Überwachen, Sniffen und Protokollieren von Daten, die über einen bereits geöffneten COM-Port laufen, ist der Hauptanwendungsfall, für den COM Sniffer entwickelt wurde.
Wenn die serielle Schnittstelle von einer anderen Software genutzt wird, fängt COM Sniffer den gesamten Datenverkehr in Echtzeit ab und zeigt ihn zusammen mit Konfigurationsparametern (Baudrate, Parität, Daten/Stopbits, RTS/DTR, Timeouts) sowie Low-Level-Aufrufen (Kernel-IOCTL/IRP) an. So kannst du das Verhalten der Anwendung analysieren, ohne die bestehende Umgebung zu ändern, und schnell Anomalien oder Bugs erkennen.

Typischerweise alle Signale, die in der Windows Low-Level-Bibliothek ntddser.h enthalten sind, sowie die IRP Major Functions (IRP_MJ) READ und WRITE.

Du kannst alle Daten in einer Datei speichern und auswählen, welche Datentypen einbezogen werden sollen (z. B. Sitzungsprotokoll, Read/Write, Dump, IOCTL). Auf dem Hauptbildschirm kannst du schnell auswählen, was exportiert werden soll, und es in die Zwischenablage im ASCII- oder Hexadezimal-Format kopieren.

Mit COM Sniffer kannst du die Payload des seriellen Datenverkehrs – eingehend (IRP_MJ_READ) und ausgehend (IRP_MJ_WRITE) – im PCAP-Format speichern und exportieren, um Protokolle (z. B. Modbus) mit WireShark zu analysieren. Die integrierten Filter ermöglichen es dir, relevante Pakete schnell zu isolieren und an erweiterte Tools weiterzugeben, die das verwendete Protokoll korrekt erkennen und dekodieren können.
Diese Funktionen sind ideal für die Entwicklung und das Debugging deiner Anwendung oder für gezieltes Reverse Engineering von Drittsoftware.

Um den gesamten Datenverkehr einer bereits geöffneten seriellen Schnittstelle sniffen zu können, ist es nicht möglich, den Port erneut aus dem Userspace zu öffnen. Es ist ein Kernel-Filtertreiber notwendig, der alle Anfragen und Daten (IOCTL/IRP, READ/WRITE) an die serielle Schnittstelle abfangen und filtern kann.
Ein effektiver Kernel-Treiber muss stabil, gut entwickelt und von Microsoft digital signiert sein (Attestation/WHQL), damit er sicher auf allen unterstützten Windows-Versionen geladen werden kann (kompatibel mit Secure Boot, aktivem DSE).
Anwendungen ohne Kernel-Treiber (deren Entwicklung sehr komplex ist) können nicht das gleiche Maß an Monitoring, Sniffen und Logging auf einem bereits verwendeten COM-Port erreichen.

Ohne Kernel-Treiber besteht die einzige Alternative für Logging, Monitoring und Sniffen einer seriellen Schnittstelle (COM) darin, physisch an die TX- und RX-Pins anzuschließen. In der Praxis werden USB–Seriell-Adapter verwendet und die Kontakte direkt auf der Leiterplatte angelötet oder mit Clips verbunden. So kannst du mit Software wie SerialTool die übertragenen Bytes sehen.
Einschränkungen dieses Hardware-Ansatzes:

• Man kann nicht beobachten, wie die Originalsoftware den Port nutzt: Öffnen/Schließen, dynamische Änderungen von Baudrate, Parität/Daten/Stopbits, Timeouts, Handshake.
• Steuersignale (z. B. RTS/DTR) und deren Zustandsänderungen bleiben unsichtbar, obwohl sie oft für Reset oder Flow Control verwendet werden.
• Low-Level-Aufrufe (IOCTL/IRP) sowie die genaue Abfolge der Betriebssystemoperationen sind nicht sichtbar.
• Es sind invasive Eingriffe (Löten) erforderlich, die Risiken für Hardware/Garantie bergen und auf elektrische Pegel (RS-232/422/485) achten müssen.

Nur ein Kernel-Filtertreiber in Kombination mit spezieller Software ermöglicht ein genaues und zuverlässiges Sniffen bereits geöffneter COM-Ports – mit voller Sicht auf Payload, Konfigurationsparameter und IOCTL/IRP.