1)winpap 在大数据量的情况下容易丢包，原因是数据包从网卡到应用程序需要经过多次copy,首先从网卡拷贝到内核缓冲区，从内核缓冲区copy到应用缓冲区；在PC cpu低的情况下丢包很明显，尤其是做千兆网络数据包捕获的时候就更加显现出来了。
2)winpcap 是旁听模式，所以无法阻断UDP应用，无法流量限制，并容易数据丢包；阻断规则有可能引起网络中断或无效；
3)wincpap 即使被你的应用程序截取后，数据包也会继续往上层传递，比如wireshark也能抓到你的数据包;
网络监控软件大都采用大都采用WINPCAP作为驱动程序，只是开发上层一些界面应用而已因此大同小异，所以原理上决定只能采用旁听模式也必然性能低下、功能缺乏；
WINPCAP驱动是工作在协议高层所以必须接受火墙的管理因此首先效率很低、性能提高也就成了奢望；网络监控最核心的关键部分就是引擎驱动部分,所以要解决这个问题,还是得从源头下手,因为winpcap是一个Ndis协议驱动,所以寻在固有的缺陷,在如今的大数据时代，彻底解决该问题,只能编写自己的Ndis中间层过滤驱动。
NDIS(NetworkDriverInterfaceSpecification)是网络驱动程序接口规范的简称。它横跨传输层、网络层和数据链路层，定义了网卡或网卡驱动程序与上层协议驱动程序之间的通信接口规范,屏蔽了底层物理硬件的不同,使上层的协议驱动程序可以和底层任何型号的网卡通信。
NDIS的主要目的就 是为NIC（网络接口卡，Netwok Interface Cards）制定出标准的API接口。MAC（介质访问控制，Media Access Controller）设备驱动封装了所有的NIC硬件 实现，这样一来所有的使用相同介质的NIC就可以通过通用的编程接口被访问。 NDIS同时也提供一个函数库（又时也称作wrapper），这个库中的函数可以被MAC驱动调用，也可以被高层的协议（例如TCP/IP）驱动调用。这些wrapper函数使得MAC驱动和协议驱动的开发变得更加容易。
NDIS支持三种类型的网络驱动：
（1） 网络接口卡或NIC驱动（Network interface card or NIC drivers）。
NIC驱动直接管理着网络接口卡（NIC）。NIC驱动接下边与硬件连接，从上边表现为一个接口，该接口允许高层发送数据包到网络上，处理中断，重置NIC，停止NIC，查询和设置驱动的运行特征。NIC驱动可以是小端口（miniport）或完全的NIC驱动（full NIC driver）。
Miniport驱动仅仅实现了管理NIC的必要操作，包括在NIC上发送和接收数据。对于所有最底层的NIC驱动的操作由NDIS提供，例如同步（synchronization）。小端口（miniport）不直接调用操作系统函数，它们对于操作系统的接口是NDIS。小端口仅仅是向上传递数据包给NDIS并且NDIS确保这些数据包被传递给正确的协议。
完全NIC驱动（Full NIC driver）完成硬件细节的操作和所有由NDIS完成的同步和查询操作。例如，完全NIC驱动维持接收到的数据的绑定信息。
（2） 中间层驱动（Intermediate drivers）
中间层驱动位于高层驱动（例如协议驱动）和小端口之间。对于高层驱动，中间层驱动看起来像是小端口；对于小端口，中间层驱动看起来像协议驱动。一个中间层协议驱动可以位于另一个中间层驱动之上，尽管这种分层可能对系统性能带来负面影响。开发中间层驱动的一个关键原因是在现存的遗留协议驱动（legacy protocol driver）和小端口之间形成媒体的转化。例如，中间层驱动可以将LAN协议转换成ATM协议。中间层驱动不能与用户模式的应用程序通信，但可以与其他的NDIS驱动通信。
（3） 传输驱动或协议驱动（Transport drivers or protocol drivers）
协议驱动实现了网络协议栈，例如IPX/SPX或TCP/IP，在一个或多个网络接口卡上提供它的服务。在协议驱动的上面，它为应用层客户程序服务；在它的下面，它与一个或多个NIC驱动或中间层NDIS驱动连接。
微信
支付宝
