最近有朋友问我，想看看电脑上某个程序到底在跟哪些端口打交道，有没有什么顺手的工具。我第一反应就是Portmon。这软件年纪不小了，但在端口监控这块一直挺能打，尤其适合排查串口、并口通信问题，或者盯着某个进程的端口读写情况。下面我就把自己平时用Portmon的一些经验和踩过的坑，按顺序聊一聊，新手照着做基本能少折腾半天。
Portmon是什么，适合哪些人用
简单说，Portmon是微软早期出品的一款端口监控工具，主要用来捕获和记录系统里串口、并口的通信数据。它不像那些花里胡哨的商业软件，界面朴素得很，但胜在免费、轻量、看得清楚。适合谁呢？一是搞嵌入式开发、调试串口设备的同学；二是想监控某个程序端口行为的安全爱好者；三是纯粹好奇自己电脑端口在忙啥的普通用户。不过要注意，它在较新的Windows系统上跑起来可能需要兼容模式，这点后面会提。
下载安装与兼容性那点事
找Portmon下载的时候别乱点，网上不少捆绑包。建议去正规的软件站或者微软官方文档里翻，认准原版压缩包。解压后其实不用安装，直接运行exe就行，绿色得很。但如果你用的是Win10或Win11，双击可能没反应或者报错，这时候右键属性，在兼容性里勾选以Windows XP模式运行，再给个管理员权限，基本就能打开了。我第一次用的时候卡在这一步，折腾了十几分钟才发现是权限问题，大家别重蹈覆辙。
界面认识与第一次抓包
打开Portmon，界面分两大块，上面是菜单和工具栏，下面是日志列表。想开始监控，先点菜单里的Capture，再选Ports，把你要盯的端口勾上，比如COM1或者LPT1。然后点工具栏那个小三角开始抓。这时候你去操作目标程序，Portmon就会把每一次端口读写都记下来，包括时间、进程名、数据长度和具体内容。第一次看可能觉得密密麻麻，别慌，先看Process那一列，找到你关心的程序名，其他的先忽略。
过滤和搜索，别让日志淹了你
抓一会儿日志就刷屏了，这时候Portmon过滤功能就派上用场。菜单里有个Filter，可以按进程名、按端口号、按事件类型来筛。我通常先按进程名过滤，只留目标程序的数据，清爽很多。另外工具栏有个放大镜，支持关键词搜索，找特定十六进制数据特别快。还有个小技巧，抓包前先把日志清空，不然历史记录混在一起容易看花眼。这些Portmon使用技巧看着不起眼，但真能省不少时间。
日志保存与数据分析
抓完的数据可以保存成日志文件，方便回头慢慢看或者发给同事。菜单里File下面有Save，支持存成文本或者CSV。存成CSV后用Excel打开，按时间排序、按进程筛选都行，做端口监控记录挺方便。不过要注意，Portmon抓到的数据里有些是十六进制的，看的时候结合右侧的ASCII显示对照着理解。我一般会把关键段落复制出来，标注一下时间点，免得后面忘了当时在测什么。
几个容易踩的坑和替代思路
最后说几个实际用下来的坑。一是Portmon对新硬件的支持有限，USB转串口的设备有时候抓不全，这时候可以试试换驱动或者用别的工具辅助。二是长时间抓包日志会很大，记得定时保存清空，不然软件会变卡。三是别指望它做复杂的协议解析，它就是个记录工具，分析还得靠自己。如果你主要监控网络端口而不是串口并口，那Portmon可能不太对路，得换网络抓包工具。总之，把它当成一个轻量的端口监控工具来用，心态就对了。
好了，关于Portmon的使用教程和技巧就聊到这。工具虽老，用顺手了还是挺香的。新手建议先拿个虚拟串口或者简单设备练练手，熟悉了再上真实环境，稳一点。
喜欢 
高兴
鬼脸
呵呵
无聊
伤心
