用过 Wireshark、装了 Vivado，或折腾过任何网络抓包工具的朋友，大概都碰到过同一个老大难：系统里那个叫 WinPcap 的东西，死活卸不干净。明明在“卸载或更改程序”里点了卸载，也提示“成功”，可一重启，服务又自动冒出来；或者干脆在卸载时弹出“无法删除 npf.sys”“文件被占用”之类的报错；再严重一点的，想装新版 WinPcap 或者 Npcap，直接被老版本残留卡住，安装失败，连带着 Vivado、Wireshark 全部罢工。我之前帮人清理过好几台这样的机器，自己也踩过不少坑，这篇文章不整虚的，把 Windows 上 WinPcap 卸不干净的常见原因、手动清理驱动的完整链路、以及和各种工具打架的处理办法，一次性说清楚。
先说好，这篇文章针对的是确实需要彻底移除 WinPcap 的场景——比如你决定转向 Npcap，或者某个软件的安装流程被残留版本卡死，又或者你只是希望在系统里把这些历史遗留的驱动和服务清干净。如果你是刚用 Wireshark、对网络协议栈还不熟的新手，照着下面的步骤操作一样能搞定，但每一步我都会解释为什么这么做，避免你瞎删系统文件把网络搞挂。
1. 为什么 WinPcap 总也卸不干净——先搞清楚它到底在系统里藏了什么
WinPcap 不是普通软件，它不是一个放在 Program Files 文件夹里的单一体。它由几个独立的部分组成：用户态的动态链接库（wpcap.dll、Packet.dll）、一个内核态的过滤器驱动（NPF.sys）、一个 Windows 服务（NPF 服务，实际显示名是 “WinPcap Packet Driver (NPF)”）、一组网络适配器的绑定关系，以及一堆注册表项。这也是它卸载不干净的根源——常规卸载程序只处理了其中一部分，剩下的残骸在系统里继续作妖。
1.1 典型残留场景：你以为卸载成功了，其实只是“假装成功”
最典型的案例是这样：你从控制面板执行卸载，进度条走完，提示“Uninstall complete”，重启之后发现 C:\Windows\System32\drivers\npf.sys 依然存在，服务列表里 NPF 服务的启动类型还是“自动”，甚至状态是“正在运行”。为什么会这样？
WinPcap 的官方卸载程序本来应该按顺序完成以下动作：停止 NPF 服务、删除服务注册表项、删除驱动文件、删除 DLL、移除注册表键。但这个卸载程序是老古董了，对 Windows 7 之后的系统兼容性极差，经常在“停止服务”这一步就失败。服务没停掉，文件就被占用，Windows 不允许你删除一个正在运行的驱动程序文件，于是卸载程序只能跳过删除，最后还给你返回一个“成功”的状态码。你看到的是成功，实际上系统里全是没删掉的东西。
另一个常见场景是：你在安装某个软件（比如 Xilinx Vivado 或者老版 Wireshark）时，安装程序自带了一个 WinPcap 的静默安装包。后来你单独卸载了 WinPcap，但那个软件不知道，下次启动时发现 WinPcap 不存在，于是又给你静默装回去一套。这时候你以为是“卸载不干净”，其实是某个依赖它的程序在作怪。
1.2 Npcap 和 WinPcap 的关系是“原罪”之一
这里必须花点篇幅讲清楚 Npcap 和 WinPcap 之间的关系，因为 90% 的“WinPcap 卸载不干净”问题，背后都站着 Npcap。Npcap 是 WinPcap 的继任者，由同一个团队在维护，功能和接口基本兼容，但底层实现完全不同。Npcap 的安装程序有个选项叫“WinPcap Compatible Mode”（兼容模式），勾选之后它会模拟 WinPcap 的接口，让依赖 WinPcap 的程序能继续跑。
问题出在：如果你机器上已经装了 WinPcap，再装 Npcap，Npcap 安装程序会先尝试卸载 WinPcap。但这一步经常失败——因为 WinPcap 的卸载程序在 Npcap 的静默调用环境里根本执行不完整。Npcap 卸载 WinPcap 失败后，安装流程不会中断，而是强行装上去，最后两个驱动的名字不一样（WinPcap 的驱动叫 npf.sys，Npcap 的驱动叫 npcap.sys），但它们都试图绑定同一个网络适配器，系统就会出现冲突，表现就是抓包软件找不到适配器、网络连接断断续续、或者你这次卸载 WinPcap 时干脆报错。
所以你在动手卸载之前，先去确认一下系统里到底装的是 WinPcap 还是 Npcap，这决定你后面走哪条路。查看方式是打开“卸载或更改程序”，搜“WinPcap”和“Npcap”。如果 Npcap 和 WinPcap 同时在列表里，优先把 Npcap 卸掉（或者反过来），不要想着两个共存，它们在设计上就不允许共存。
2. 常规卸载卡住的现场——直面“服务停止失败”和“文件占用”
如果你运气不错，控制面板里还能看到 WinPcap 的卸载入口，那先用常规方式走一遍。但大概率你会碰壁，最常见的卡点有两个：服务停止失败和文件被占用。下面直接说怎么处理。
2.1 先手动停服务，再执行官方卸载
在运行框（Win+R）输入 services.msc 打开服务管理器，找到“WinPcap Packet Driver (NPF)”，右键停止。如果这里报错，说“无法停止服务”或者“服务未响应”，说明驱动已经卡死，需要从设备管理器层面处理（这是下一节的内容）。
如果服务能正常停止，接下来打开管理员权限的命令提示符（CMD），手动删除服务：
sc delete npfsc delete会从服务控制管理器的数据库中移除这个服务项。注意，它不会删除驱动文件本身，只是删掉注册表里关于这个服务的配置。所以执行完这一步之后，你还要去 C:\Windows\System32\drivers\ 下面看有没有 npf.sys，有的话手动删。如果提示“文件正在被另一个进程使用”，说明还有程序在调用这个驱动，或者是驱动服务其实没有完全停止。这时候别硬删，继续往下看。
2.2 文件被占用的处理方法——安全模式是最后底牌
删除 npf.sys 时提示“操作无法完成，因为文件已在另一个程序中打开”，这几乎是必然发生的场景。常规解法是先停服务再删，但有些时候服务虽然显示“已停止”，内核驱动仍然挂载在网络栈上，你删不掉。
这个时候有两个办法：
第一个办法是用“重置网络栈”的方式释放驱动引用。管理员权限的 CMD 里依次执行：
net stop npf sc config npf start= disabled第一行尝试停止服务，第二行把这个服务的启动类型改成禁用。改完重启系统，再尝试删除文件。这是因为重启之后驱动没有被任何进程加载，文件锁自然就解除了。
第二个办法是直接进入安全模式删除。Win10/Win11 在“设置 -> 系统 -> 恢复 -> 高级启动”里选择“立即重新启动”，然后在“选择一个选项”界面依次点“疑难解答 -> 高级选项 -> 启动设置 -> 重启”，重启后按数字键 4 进入安全模式。在安全模式下，除了系统核心组件，第三方驱动和服务都不会加载，npf.sys 就处于无人引用状态，你可以直接打开资源管理器把它删掉。
提示：安全模式下删除驱动文件，是通用且有效的做法，不仅适用于 WinPcap，任何顽固的驱动残留都可以用这个思路解决。
到这里，常规卸载流程已经走完了大半。如果你在控制面板里根本找不到 WinPcap 的卸载入口，或者卸载到一半报错“安装程序被中断”，那就直接进入手动清理的阶段，不用再纠结于官方卸载程序了。
3. 手动清理的完整链路——注册表、驱动文件、网络适配器一个都不能少
说实话，我现在自己处理这类问题的时候，已经不太依赖 WinPcap 官方的卸载程序了，因为它实在太老，在 Windows 10/11 上基本就是半残状态。手动清理虽然步骤多一些，但每一步自己都能掌控，反而更可靠。下面就是完整的链路。
3.1 注册表优先清理，服务项和类键都要看
打开注册表编辑器（regedit），按下面的路径逐一排查。
首先是服务项注册表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NPF如果这个键还存在，右键删除。这是 NPF 服务的注册表入口，删掉之后服务管理器里就不会再显示这项服务了。但注意，这个键是“CurrentControlSet”下面的，Windows 还有一个 ControlSet001 和 ControlSet002（或者是 ControlSet002 的备份），这三个控制集对应不同的启动配置。安全起见，你切到 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services 和 ControlSet002\Services 下面，也把 NP F 键删掉。否则某些情况下系统从备份控制集恢复时，这个服务会“复活”。
然后是这个网络类键：
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\WinPcap以及：
HKEY_LOCAL_MACHINE\SOFTWARE\WinPcap这两个是 WinPcap 的应用配置键，64 位系统上 WOW6432Node 那个是 32 位程序视角的注册表，容易漏。如果键名还带版本号的话，一并删除。
还有一个经常被忽略的位置，是服务 DLL 的 Association 注册表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NPF\Associations如果你在 Services 层删除了 NPF 整个键，这个 Associations 键会跟着消失，不用额外处理。但如果前面那个键你只删了一半，比如保留了 Enum 子键，设备管理器里的幽灵网卡就没法彻底清掉。
3.2 驱动文件层面的清理，不只是 npf.sys 一个
WinPcap 的驱动文件散落在好几个地方，手动清理时别只盯着 System32：
- C:\Windows\System32\drivers\npf.sys —— 这是核心驱动文件，也是最难删的那个
- C:\Windows\System32\Packet.dll —— 用户态库
- C:\Windows\System32\wpcap.dll —— 用户态库，Wireshark 抓包时调用的就是它
- C:\Windows\SysWOW64\Packet.dll 和 wpcap.dll —— 32 位版本的用户态库
- C:\Windows\System32\Npcap\ —— 如果你之前装过 Npcap，它默认装在 System32 下而非 Program Files，有些人把 Npcap 的文件夹残留误认为是 WinPcap 的
Packet.dll 和 wpcap.dll 这两个文件最容易被忽略。它们虽然不像驱动那样参与网络栈，但属于注入到应用程序进程里的关键 DLL。你在删之前，可以先用管理员 CMD 执行：
tasklist /m wpcap.dll如果列出了一堆进程名（比如 Wireshark.exe、tcpdump.exe），说明这些程序正在引用它。等这些程序全部退出，或者重启后，再删除 DLL 文件。
drivers\npf.sys删不掉时，用安全模式的方法处理。删完之后顺手检查一下 C:\Windows\System32\Npcap 这个目录是否残留，有就一起删了。
3.3 设备管理器里的幽灵网卡，以及网络适配器绑定关系
这是最隐蔽的一步。WinPcap 安装时会在系统里添加一个隐藏的“WinPcap 环路网卡”（名字通常是 “WinPcap Packet Driver (NPF)” 对应的适配器实例，或者显示为 “NdisWan” 相关的旧设备）。你打开设备管理器，在菜单栏点“查看 -> 显示隐藏的设备”，展开“网络适配器”，找一个名字里带 WinPcap 或者显示为灰色图标的旧设备，右键卸载，勾选“删除此设备的驱动程序软件”。
如果没有这个设备，那还有一个隐藏得更深的绑定关系——WinPcap 的驱动会绑定到每个网络适配器的“NetLbfo”或者“Ndis 过滤器驱动”列表上。查看是否还有残留，用管理员 CMD 执行：
netsh int show interface如果显示的网络接口里出现一个奇怪的“Loopback”或者“NPF”相关的接口，说明绑定关系还在。清理方法是用注册表编辑器删除 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Network{4D36E972-E325-11CE-BFC1-08002BE10318}\ 下面所有包含 “npf” 子键的适配器实例键。这个操作比较敏感，删除前一定要先备份注册表（右键导出 .reg 文件）。如果你觉得改注册表太危险，另一个处理方式是通过设备管理器的“扫描检测硬件改动”来触发重新枚举，借助驱动的回滚机制把绑定清掉——但实测效果不如注册表删除来得彻底。
4. 升级到 Npcap 还是继续用 WinPcap——版本冲突的取舍与迁移
WinPcap 自从 2013 年之后基本没有大的更新，官方自己都推荐大家迁移到 Npcap。所以你卸载 WinPcap，大概率是要装 Npcap。这里有个非常关键的细节：卸载和安装的顺序绝对不能反。
4.1 先卸旧再装新，但 VIVADO 这类软件会“反向插入”
我遇到过的最头疼的情况是：用户装了 Xilinx Vivado，这个工具在安装时默认会装一个自定义版本的 WinPcap（用于 JTAG 和硬件调试链路的网络通信）。你卸载这个 WinPcap 之后，Vivado 启动时会检测到“缺少依赖”，然后自动触发修复安装，重新把 WinPcap 拉回来。
处理这种“反向插入”的方法有两个。第一种是卸载 WinPcap 之后立刻把 Vivado 的自动修复机制停掉——打开 Vivado 的安装目录，找到一个叫 xsetup.exe 的文件，右键把它设置为以兼容模式运行，同时禁用以管理员身份自动修复。这个方法治标不治本，因为 Vivado 的库文件会直接调用 wpcap.dll，你把这个 DLL 删了，它启动时就可能报错。
第二种更稳妥的办法：装 Npcap。因为 Npcap 有兼容模式，它既提供 WinPcap 风格的接口，又能在驱动层面排除 WinPcap 的残留。这样 Vivado 启动时，找不到 WinPcap 也能正常调用 Npcap 的兼容接口，不会再触发“自动重新安装 WinPcap”的逻辑。
具体操作是：先确保系统里完全没有 WinPcap 的文件和服务残留，然后运行 Npcap 安装包，安装界面出现“Support Raw 802.11 Traffic”和“WinPcap Compatible Mode”选项时，勾选后者。安装完成后，你可以在 C:\Windows\System32\Npcap 目录下看到一个叫 wpcap.dll 的兼容层 DLL——注意它只是在文件名上伪装成 WinPcap，供老软件调用，实际实现是 Npcap 的。这就是 Vivado、老版 Wireshark 这类程序在升级到 Npcap 后还能继续跑的原因。
4.2 实测安装顺序对系统网络的影响
这里给一个我实测过的对照表，方便你理解顺序的重要性：
| 操作顺序 | 结果 |
|---|---|
| 直接安装 Npcap，不卸载 WinPcap | 失败，提示“WinPcap 已安装”，或者装上后两个驱动互相抢占适配器，导致抓包看不到任何流量 |
| 先卸载 WinPcap，不清理注册表和驱动文件，再装 Npcap | 装完能抓包，但重启后有概率出现 NPF 服务启动失败的报错，因为服务项还在引用不存在的 npf.sys |
| 彻底清理 WinPcap（含注册表和驱动文件），再装 Npcap 并勾选兼容模式 | 最稳定，所有依赖抓包的老软件和新软件都能正常工作 |
其中第二种情况特别容易在 Windows 上出现一个典型报错：“WinPcap Packet Driver (NPF) 服务启动失败”。这个报错的本质就是：服务管理器里 NPF 服务项的启动命令仍然指向 c:\windows\system32\drivers\npf.sys，但文件已经不存在了，服务启动时找不到驱动入口，于是报错。解决方法是回到注册表把 Services\NPF 整个键删掉，或者用 sc delete npf 清理，具体操作参考第 3 节。
4.3 如果你完全不搞抓包，只是想删掉 WinPcap 提升系统干净度
这种情况最简单，但也要注意一点：不要只删文件和服务，就把网络适配器的绑定丢了。虽然 WinPcap 在大多数系统里不会明显拖慢网络，但它毕竟是一个内核驱动，内核驱动占用的系统资源和潜在的攻击面，该清就清。
按照第 3 节的清理链路走一遍，然后用第 5 节的验证方法确认清干净了，就算完事。不需要额外安装任何替代软件。
5. 卸载完成的验证清单——别让残留“诈尸”
清理完之后，必须验证一次，否则很容易出现你前脚刚清理完，后面某个程序一调用，它又“诈尸”了。下面是完整的验证步骤。
5.1 命令行验证清单
管理员权限的 CMD 里依次执行以下命令，每一条都有对应的预期结果：
sc query npf预期结果：显示“指定的服务未安装”。如果显示“服务已停止”甚至“正在运行”，说明服务项没删干净，回第 3.1 节继续删注册表。
dir C:\Windows\System32\drivers\npf.sys预期结果：系统找不到指定文件。如果文件还在，说明驱动文件没删干净。
dir C:\Windows\System32\wpcap.dll预期结果：找不到文件。如果存在，进一步查看它的版本信息——右键属性，如果“文件说明”里写的是 “Npcap” 而不是 “WinPcap”，说明这是 Npcap 的兼容层 DLL，不是残留，不用动。
reg query HKLM\SYSTEM\CurrentControlSet\Services\NPF预期结果：错误，找不到指定的注册表项或值。如果还能查到，回注册表清理步骤。
tasklist /m wpcap.dll预期结果：信息: 没有运行的任务匹配指定条件。如果列出进程，说明某个程序还在调用 WPcap.dll，这个问题要追到那个程序头上，不能硬删。
5.2 常见的残留后遗症：“代码 31”和“设备无法启动”
清理完 WinPcap 后，有的机器会出现网络适配器旁边一个黄色感叹号，错误代码 31：“由于 Windows 无法加载这个设备所需的驱动程序，导致这个设备工作异常。”这个情况通常是你在清理时误删了和网络适配器相关的绑定。
解决办法是：打开设备管理器，找到那个带感叹号的网络适配器，右键“卸载设备”，勾选“删除此设备的驱动程序软件”，然后点菜单栏的“操作 -> 扫描检测硬件改动”，让 Windows 重新安装标准网卡驱动。绝大多数情况下，重新扫描之后适配器就会恢复正常。
如果重新扫描后还是代码 31，那说明系统里有残留的、无法正确加载的驱动绑定。去注册表里把 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class{4d36e972-e325-11ce-bfc1-08002be10318} 下面每个子键里的 “FilterList” 值中，把包含 npf 的那一项删掉。这个操作需要一定注册表基础，如果你不确定自己在干嘛，可以先用 dos 命令pnputil /enum-drivers查看驱动列表，找到 winpcap 相关的 oem*.inf，然后用pnputil /delete-driver oemXX.inf /uninstall /force强制删除。pnputil 这种方式比手改注册表更安全，适合不太熟悉注册表结构的读者。
6. 一些实际踩坑的补充经验
写到这里，顺手再分享几个我实际帮别人清理时遇到的怪现状，希望你能少走弯路。
第一，有些系统预装了 Dell 或 Lenovo 的诊断工具，它们自己带了一份旧版 WinPcap，安装位置不是标准路径，而是放在 C:\Program Files\Dell\ 这类目录下。清理这种版本时，文件和服务名可能和标准版不完全一样（比如服务名是 npf 但文件路径变了），这时候可以用 pnputil /enum-drivers 先摸清所有驱动包列表，找到描述里带 “Packet Capture” 或者 “winpcap” 的 oem inf 文件，再针对性删除。
第二，从 Windows 10 升级到 Windows 11 时，有的人会发现 WinPcap 在“已安装的应用”里消失了，但服务还在。这是升级过程中古老的卸载程序没有被执行导致的。处理方式跟手动清理完全一样，不需要纠结为什么它消失了。
第三，如果你是在虚拟机的 Windows 环境里遇到 WinPcap 卸载问题，比如 VMware 或 VirtualBox 里装的 Windows，要注意虚拟网卡（VMnet1、VMnet8 等）也可能被 WinPcap 绑定。清理完再刷新网络适配器时，虚拟网卡可能短暂断连——不用慌，重启虚拟机的网络服务或直接重启系统就能恢复。
第四，也是最玄学的：手动清理完成后，先用第 5 节全部验证一遍，再打开一次 Wireshark（如果你装的是新版），确认它能正常列出网络接口。这一步比任何命令行验证都直观——如果 Wireshark 能抓到包，说明系统当前的抓包环境健康，Npcap 工作正常；如果显示“No interfaces found”，大概率是 NPF 服务又被残留的 WinPcap 注册项干扰了，回去再查注册表。
搞定这些之后，WinPcap 在现代 Windows 系统上就算真正“退位”了。以后遇到别家的抓包软件要求装 WinPcap 而系统进度条卡住的情况，这篇文章的思路也完全能复用——记住核心的那句话：它不只是一款软件，更是一套驱动和服务，清理时必须软件、服务、驱动、注册表、适配器绑定五个层面同步处理，缺一个都会“诈尸”。
