패킷 캡쳐 방법 ( wireshark 이용 )

Wireshark 설치

○ wireshark 다운로드

wireshark를 다운로드 하기 위해서는 wireshark.org 사이트에 접속합니다.

 Windows Installer (64-bit)
 Windows Installer (32-bit)

 

○ wireshark 설치

- 다운받은 Wireshark-win64-3.4.8.exe 를 실행합니다.

- 기본 체크된 것 그대로 Next를 누룹니다.

- Install WinPcap 4.1.3 를 체크하시고 Next를 누룹니다. ( winpcap = 패킷 라이브러리 )

- 설치를 맞칩니다.

 

○ wireshark 실행 및 패킷 캡처

설치된 wireshark 를 실행하여 메뉴 > capture > option 을 눌러서 네트워크 카드(Lan 카드)를 선택하고,

Start 버튼을 눌러서 패킷을 캡쳐하면 됩니다.

 

wireshark 기본 설정

wireshark는 기본적으로 Seconds Since Beginning of Capture(시간이 실행시간 부터 증가하는 타임)으로 설정되어 있는데, 이 설정은 시간을 보기가 힘들기 때문에 시간 설정을 아래처럼 date and time of day 로 변경합니다.

 

○ 표시 시간 변경 메뉴 View -> Time Display Format -> Date and Time of Day

 

wireshark 패킷 화면 필터

캡쳐된 패킷을 분석시 화면에 보여주는 패킷에 대해서 검색을 하려고 할때 사용하는 옵션입니다.

 

화면필터

○ ip.addr==192.168.0.13

     ip주소가 192.168.10.13이 있는 패킷 검색

○ ip.dst_host==192.168.0.13

    도착지가 해당 IP인 패킷 검색

○ ip.dst_host==192.168.0.13 and http

    도착지가 해당 IP이면서 프로토컬이 http 것만 검색

○ frame.len <=128

    프레임 길이가 128보다 작거나 같은 것만 검색

 

논리 연산자

○ and or xor not 사용 가능

○ tcp.port==80

     tcp port가 80인 것만 검색

 

패킷 분석 – 통신 IP 확인

전체 패킷에서 사용된 IP를 확인할 때는 아래 그림과 같은 방법을 이용하면 편리합니다.

메뉴 > Statistics > IPv4 Statistics > All Addresses

 

○ 결과 화면