와이어샤크 사용법

Download Report

Transcript 와이어샤크 사용법 

"The Worldwide Best in Threats Management"
Wireshark 사용법
(주)정보보호기술
Index
Wireshark 란?
Wireshark 메뉴구성
Wireshark 시작
Wireshark 필터링 캡쳐 및 실습
Wireshark 화면출력 필터 및 실습
Wireshark 패킷 리스트 및 내용 보기
2
Wireshark
 Wireshark 란?
 세계에서 가장 널리 쓰이는 네트워크 프로토콜 분석기





무료, 오픈소스 (GNU General Public License)
많은 산업, 교육 기관들 사이에서 사실상 표준으로 자리잡음
Ethereal 이라는 이름에서 2006년 Wireshark로 변경됨
패킷 캡쳐를 위한 pcap 네트워크 라이브러리 사용
tcpdump와 유사하나 GUI와 강력한 기능을 제공
Wireshark를 이용하여 네트워크 패킷을 챕쳐하는 장면
3
Wireshark
 Wireshark 메뉴구성
 File : 캡쳐 파일 관련 메뉴 (열기, 저장, 합치기 등)
 Edit : 패킷의 내용을 찾거나 각 패킷을 체크하여 따로 저장하는 기능 관련 메뉴
(검색 시 Hex, String등으로 원하는 패킷을 찾을 수 있음
패킷을 토글(체크)하여 File 메뉴에서 토글 한 패킷만 따로 저장 가능)
 View : 보기 관련 메뉴 (GUI 설정, 패킷 색깔 표시 설정등)
 Go : 패킷 이동 관련 메뉴 (위아래, 맨처음 , 맨끝 패킷으로 이동)
 Capture : 캡쳐 관련 메뉴 (카드 선택, 옵션 설정, 필터, 시작, 멈춤, 재시작)
 Analyze : 패킷 분석 관련 메뉴 (화면 출력 필터, 디코딩, 스트림 추적등)
Statistic : 통계 관련 메뉴 (요약, 프로토콜별 통계, 입출력 그래프, 응답시간, 패킷길이 등)
 Telephony : 전화 관련 메뉴 (각종 음성관련 프로토콜 패킷을 분석)
 Tools : 방화벽 정책 생성 메뉴
 Help : 도움말 관련 메뉴
4
Wireshark
 Wireshark 시작
클릭
클릭
각 네트워크 카드의 패킷량
각 네트워크네트워크
카드명 카드 선택
총패킷수, 초당패킷수
캡쳐 필터 옵션
Start : 패킷 캡쳐 시작
Options : 두번째 아이콘
열림 출력
캡쳐 시창실시간
Details : 세부내용 확인
여러 개 파일에 캡쳐
메인화면
5
Wireshark
 Wireshark 시작
 실습 : 인터넷에 연결 된 네트워크 카드의 패킷들을 캡쳐한다.
메뉴 -> Capture -> interfaces -> start
click
6
Wireshark
 Wireshark 필터링 캡쳐
 캡쳐를 시작할 때 필터를 적용할 수 있다.
 필터를 적용하지 않고 캡쳐를 시작할 경우 많은 양의 패킷으로 인해 원하는
패킷을 찾기 힘들다.
 캡쳐를 시작한 이후 화면 출력 필터를 적용할 수 있으나 이는 모든 패킷을
캡쳐 후 필터하므로 불필요한 패킷이 캡쳐되어 파일의 크기가 커진다.
1. 네트워크 카드 선택
2. 필터링 입력
필터링 예제
3. 캡쳐 시작
7
Wireshark
 Wireshark 필터링 캡쳐 예제

특정 호스트의 패킷 캡쳐
- host 10.10.50.170
 특정 두 호스트의 통신 패킷 캡쳐
- host 10.10.50.170 and host 10.10.50.15
 특정 포트 패킷 캡쳐
- port 80
 특정 두 포트 전부 패킷 캡쳐
- port 80 or port 1770
 특정 호스트의 특정 포트 패킷 캡쳐
- host 10.10.50.170 and port 80
 특정 패킷만 캡쳐 안함
- not arp
 더 많은 예제는 다음 링크를 참조한다.
http://wiki.wireshark.org/CaptureFilters
8
Wireshark
 Wireshark 필터링 캡쳐 예제
IP가 10.10.50.170 인 패킷만 탐지
Port 445 패킷만 탐지
9
Wireshark
 Wireshark 필터링 캡쳐 실습
 HTTP 패킷만 캡쳐한다.
 ARP 패킷만 캡쳐한다.
 특정 두 호스트 간의 패킷만을 캡쳐한다.
예) 자신 아이피 <-> 211.25.78.12
10
Wireshark
 Wireshark 화면출력 필터




캡쳐를 한 뒤 원하는 패킷만 화면에 출력 한다.
필러링 캡쳐 시 입력하는 필터 문구와 약간 틀리다.
원하는 패킷을 캡쳐한 뒤 세부적인 검사를 하기 위해 쓰인다.
필터 툴바를 이용하거나 Analyze 메뉴에서 Display Filter 를 실행하여 필터링
할 수 있다.
캡쳐 중 필터 입력
필터 툴바
필터링 예제
HTTP 프로토콜만 화면에 출력하는 필터
11
Wireshark
 Wireshark 화면출력 필터 예제

특정 호스트의 패킷 캡쳐
- ip.addr == 10.10.50.15
 특정 두 호스트의 통신 패킷 캡쳐
- host 10.10.50.170 and host 10.10.50.15
 특정 포트 패킷 캡쳐
- tcp.port == 80
 특정 두 포트 전부 패킷 캡쳐
- tcp.port == 80 or tcp.port == 1770
 특정 호스트의 특정 포트 패킷 캡쳐
- ip.addr == 10.10.50.170 and tcp.port == 80
 특정 패킷만 캡쳐 안함
- not arp
 더 많은 예제는 다음 링크를 참조한다.
http://wiki.wireshark.org/DisplayFilters
12
Wireshark
 Wireshark 화면출력 필터 예제
10.10.50.15 와 10.10.50.170 간의 통신 패킷 필터
TCP 포트 80인 패킷만 필터
13
Wireshark
 Wireshark 화면출력 필터 실습
 HTTP 패킷만 출력한다.
 ARP 패킷만 출력한다.
 특정 두 호스트 간의 패킷만을 출력한다.
예) 자신 아이피 <-> 211.25.78.12
14
Wireshark
 Wireshark 패킷 리스트 및 내용 보기
패킷의 헥사값
패킷번호, 시간,
출발IP,
목적IP, 프로토콜
TCP 계층 헤더 내용
내용요약
패킷의 ASCII값
클릭시
상세내용이 펼쳐짐
데이터 페이로드 내용 (HTTP)
15
Wireshark
 Wireshark 패킷 내용 보기
더블클릭
16
㈜정보보호기술 :서울시 강남구 논현동 57-38 원영빌딩 3층 www.infosec.co.kr
17
• 02)6003-0999