一次异常上行排查：揪出一个后台抓包的服务

刚才单位网管通知我，说我电脑一直在跑上行，差不多 870 KB/s。我心想不至于吧，我浏览器就开了几个标签页以及开发常用的软件，什么下载上传都没干。

但我也确实不会排查这种东西。就把情况描述了一下，让 OpenCode 帮我去查。

它看了一下网络连接。返回的结果里排第一的进程叫 StudioCheck，69 个活跃连接。我平时用得最多的企业微信也才 46 个。顺着进程路径翻过去，在 C:\Program Files (x86)\hik\update_server\ 下面，hik 这名字一看就是海康威视的东西。

目录里除了 exe，还躺着几个 sys 文件：npf.sys、WinDivert64.sys，还有 wpcap.dll。懂一点网络的人应该都知道，这是 WinPcap 全家桶——抓包用的内核驱动。

然后查到驱动状态，一个叫 NPF 的内核驱动正在跑，显示名 "Sadp Driver (NPF)"，位置在 D:\萤石云\Ezviz Studio\，开机自启。

翻了下一个叫 LocalConfig.xml 的配置文件，里面就写了两行：

<CenterServerInfo ServerUrl="https://api.ys7.com" DclogUrl="log.ys7.com"/>

直接连着萤石云的服务器，API 和日志都往那走。

我又看了一眼它的 data 目录，存了 5 个多 GB。全是些十六进制命名的文件和一个 swap 文件，不知道在写些什么，反正挺能存的。再看整机网卡统计，系统跑了 15 天，累计发出去 4 GB，收进来才 1.3 GB，上行是下行三倍。

到这里其实已经不需要什么技术判断了：一个装在内核驱动的抓包软件，开机就跑，读着你网卡上所有的流量，存了 5 GB 本地缓存，还连着一个云端服务器持续上传。

海康这软件名义上是 SADP——设备搜索协议，用来在局域网里发现摄像头的。但设备搜索广播包能有多大？几 KB 的事。它直接装了一个 WinPcap 驱动，能抓到的东西可远不止局域网广播了。你的 HTTP 请求、DNS 查询，只要没加密的通信，理论上全能被它读走。

卸载的时候更搞笑，控制面板里找不到，注册表卸载项里也没有，活脱脱一个甩不掉的狗皮膏药。最后是靠删注册表自启项、停内核驱动、手动删文件夹才弄干净，顺手回收了 5.2 GB 磁盘空间。

一个设备搜索工具，做到了内核驱动抓全量网络包、5GB 本地缓存、持续云端上传、没有卸载入口。我只能说，这种做法的边界感也太差了。

别的不想了，反正已经删干净了。