Могу ли я захватить URL-адреса https (CONNECT) с помощью winpkfilter?

Да, это верно, невозможно извлечь полный URL-адрес без MITM. Чтобы организовать это, вам нужно будет использовать WinpkFilter для перенаправления исходящего сеанса HTTPS на локальный прокси-сервер HTTPS и реализовать некоторую проксификацию SSL.

Однако существует ограниченная, но альтернатива. С помощью WinpkFilter вы можете перехватывать DNS-запросы/ответы, и обычно перед любой HTTPS-сессией отправляется DNS-запрос для преобразования доменного имени в IP-адрес. Вы можете использовать сопоставление IP-адреса с доменным именем из ответов DNS, чтобы выяснить, к какому доменному имени пытается подключиться сеанс HTTPS. Например, вы перехватываете исходящий пакет TCP SYN на порт 443 104.16.35.249, но до этого вы видели ответ DNS для www.stackoverflow.com, где 104.16.35.249 был среди IP-адресов, возвращенных для доменного имени. Таким образом, вы можете легко понять, что сеанс HTTPS устанавливается на https://www.stackoverflow.com. Конечно, этот подход не предоставит вам полный URL-адрес, а только доменное имя, например. https://www.stackoverflow.com вместо https://www.stackoverflow.com/questions/18045764/can-i-capture-https-connect-urls-using-winpkfilter.But для некоторых задач может быть достаточно.

HTTPS используется для предотвращения любого подслушивания (которое вы пытаетесь сделать). Следовательно, когда HTTPS настроен правильно, вы ничего не можете сделать. Если у вас есть контроль над клиентским компьютером и программным обеспечением, вы можете установить фальшивый доверенный корневой сертификат в систему пользователя, а затем перехватывать HTTPS-запросы, генерировать сертификат сервера на лету, подписывать его доверенным корневым сертификатом и действовать как посредник. -середина.

Кстати, найдите информацию об атаках посредника и прочитайте их. - это именно то, что вы хотите сделать.