와이어샤크 실행

이 블로그는 제가 공부한 것을 바탕으로 정리 목적으로 사용되고 있습니다.

작성 내용중 부족한 부분이나 잘못된 부분을 지적해주시면 감사하겠습니다 (꾸벅)

와이어샤크 실행

와이어샤크를 각 OS환경에 맞게 설치한 후에 실행하면 아래와 같은 화면이 뜬다. 

1. CAPTURE 영역

[Interface List]를 클릭하면 패킷을 캡퍼할 수 있는 LAN카드 리스트 목록이 열린다. 아래에는 와이어샤크에 인식된 LAN카드가 텍스트박스 목록으로 표시되며, 그 중에 패킷 캡처하려는 네트워크 인터페이스를 하나 클릭하거나 control 키를 누르면 여러개의 네트워크 인터페이스를 클릭해서 선택한다. 다음은 상어지느러미 아이콘으로 표시된 [Start]를 클릭하면 선택된 인터페이스에서 캡처를 바로 시작할 수 있다. [Capture Option]를 클릭하면 각종 설정을 수행하는 캡처 옵션 화면이 열린다.

2. Files 영역

[Open]을 클릭하면 열고자 하는 캡처 파일을 선택하는 화면이 표시된다. [Sample Captures]를 클릭하면 와이어샤크 위키의 샘플 캡처 페이지가 표시되며, 캡처 파일의 샘플을 다운로드할 수 있게 되어 있다.

3. Online 영역

[Website]를 클릭하면 와이어샤크 홈페이지에, [User's Guide]를 클릭하면 와이어샤크 사용 설명서가 표시된다. [Security]를 클릭하면 와이어 샤크위키가 표시되며, 보안에 관련한 항목을 살펴볼 수 있게 되어 있다.

4. Capture Help영역

[How to Capture]를 클릭하면 와이어샤크의 위키가 표시되는, 웹에서 패킷 캡처 과정을 볼수 있다. [Network Media]를 클릭하면 와이어 샤크로 패킷 캡처가 가능한 이더넷이나 무선 LAN고 같은 네트워크 미디어와 그 사양이 운영체제별로 표시된다.

와이어샤크 커맨드라인 툴

와이어샤크를 설치하면 동시에 커맨드라인 툴도 같이 설치가 된다. 이 툴을 사용하면 GUI에서 처리하지 못하는 일을 수행가능하다.(일괄 처리나 파일 변환 등등)

와이어샤크의 프로그램 폴더 위치를 확인하려면 와이어샤크 메뉴에서 [Help] - [About Wireshark]를 선택하고 Folders탭을 선책한다. 그리고 각 링크를 클릭하면 된다.

이번에는 커맨드라인 툴 설치를 확인해보자.

우선 terminal을 킨다. 그리고  위의 그림에 보이는 Program 폴더의 주소를 "cd /Application/Wireshark.app/Contents/Resources/bin" 친다. 그리고 명령어 ls을 치면 다음 화면과 같이 보이게 된다.

이제 각각의 툴들이 무슨 역할을 하는지 알아보자.

capinfo

capinfo 명령은 캡처 파일에 관한 정보를 표시해주는 프로그램이다. 즉 캡처 파일을 열지 않아도 파일 내용을 확인할 수 있어 편리하다. 필요한 정보만 추출해서 탭, 콤마, 스페이스 등으로 구분한 CSV형식으로 저장할 수 있는 형태로 출력할 수도 있다. 

tshark / rawshark / dumpcap

이 세개의 명령들은 커맨드라인에서 패킷 캡처를 수행하는 프로그램이다. 이 중에서 tshark를 살펴보면 문자 표시만으로 동작하는 와이어샤크 명령이다.

tshark는 GUI를 필요로 하지 않는 텔넷 접속에 의한 패킷 캡처가 가능하다. 예를 들면 본사에서 와이어샤크가 설치된 지점 서버에 텔넷으로 접속해서 해당 지점의 단말의 패킷을 캡처할 수 있다. 

editcap

editcap 명령은 기존 캡처 파일(캡처한 패킷이 저장된 파일 .pcapng)을 정리하고 중복된 패킷을 제거, 패킷 사이즈를 변경하는 등 작업을 하고 다른 캡처 파일로 출력하는 프로그램이다.

mergecap

mergecap 명령은 복수의 캡처 파일을 읽어들여 하나의 캡처 파일로 정리해주는 프로그램이다.

text2cap

text2cap 명령은 아스키 형식의 패킷의 16진수 덤프(패킷 캡처 데이터의내용을 직접 16진수로 표시한것. HEX 덤프라고 한다.)를 읽어들여 와이어 샤크 표준인 tcpdump형식으로 변환하는 프로그램이다.

맨위에 나온 명령들 중에 설명안된 것과 더 자세히 그리고 예시를 보고 싶다면 아래의 링크를 참조하는 것이 좋을 것 같다.

https://www.wireshark.org/docs/man-pages/

<출처 : 와이어샤크를 이용한 패킷 캡처 철저 입문 ; 저자 : 타케시타 메구미 >