Armoris日記 pcap分析編 その1 ~Wiresharkの使い方~

このブログは、N高等学校を卒業して、かぷかぷ笑っている株式会社Armorisのアルバイトkuramubon_8810が書いています。

あるもりすぶろぐの内容は個人の意見です。

やっていくこと

初めてpcap分析をやろうとすると最初何をすればいいのかが全くわからず、なかなか手が動かないと思います。
今回はpcap分析を行う為の導入として、ツールの使い方や問題への取り組み方を紹介していきます。

第一回目である本ブログでは「pcap分析編 その1」ということで、pcap分析に使用するツールであるWiresharkの使い方や機能を紹介します。

ブログ内で使用するもの

今回はWiresharkを使用して下記サイトの問題を例題として紹介しています。

• Wireshark V3.2.3

  • Wireshark
  • 公式 User Guide

• ブログで扱うpcap分析の問題文

• 問題の中で扱うデータ

そもそもpcapファイルとは？

PCAPとは「Packet CAPture」の略称で、文字通りパケットをキャプチャ(caputure: 捕らえる)したデータファイルのことです。

• パケット(packet)とは？
  • データの通信をする際、送信するデータを小分けにしたもののことです

Wiresharkの基礎知識

UI

Wiresharkでpcapファイルを開くと以下のような表示になります。
各フィールドについてわかりやすく説明するため色付きの枠で区別しています。

Filter ツールバー : Wireshark リファレンス

• 条件文を入力することでディスプレイフィルタを設定できます。
• "wireshark display filter cheat sheet" とGoogleで検索することで様々な条件文を調べられます。

例

• dnsと入力することでDNSでのやりとりのみを表示します。

• ip.dst == 10.11.10.149と入力することで10.11.10.149に対して送られたパケットのみを表示します。

Packet List ペイン : Whireshark リファレンス

• パケット単位でリスト表示します。
• パケット単位で情報を確認する際に使用します。

表示項目

• No
  • パケット番号
• Time
  • パケットキャプチャを開始してから、何秒後にキャプチャしたかという経過時間
• Source
  • パケットの発信元(ソースアドレス)
• Destination
  • パケットの送信先(デスティネーションアドレス)
• Protocol
  • プロトコルの種類(TCP, HTTP, DNSなど)
• Length
  • フレーム長(パケットの長さ)
• Info
  • その他の情報

Pakcet Details ペイン: Wireshark リファレンス

• レイヤー毎の細かな詳細が確認できます。

例

• 1つ目のパケットを選択すると以下のような情報が確認できます。

• ネットワークインターフェース層を確認します。

• インターネット層を確認します。

• トランスポート層を確認します。

• アプリケーション層を確認します。

Packet Bytes ペイン: Wireshark リファレンス

• バケットの実際のデータが確認でき、左からデータオフセット、HEX、ASCIIの順に表示されています。

例

• 1つ目のパケットデータの全体を確認します。

• ネットワークインターフェース層のデータを確認します。

• インターネット層のデータを確認します。

• トランスポート層のデータを確認します。

• アプリケーション層のデータを確認します。

追跡

• ストリームを追跡できます。
• ストリームとは
  • データのやり取り(送受信)のことです。

例

• わかりやすいhttpストリームを例に追跡してみます。
• 対象のパケットを選択後、下記画像の操作で追跡を行います。

• Wiresharkの画面が画像のようになり、相互に通信が行われているのが確認できます。

• 下記画像のダイアログを開くと以下のように指定した形式でデータを表示することができます。
  • デフォルトではASCII形式でデータを表示します。

エクスポート

• パケットデータを様々な方法で抽出することができます。

例

• 例としてわかりやすいオブジェクトのエクスポートを試します。
• 今回は下記画像の操作でHTTPオブジェクトのエクスポートを行います。
  • IMFを選択してメールの添付ファイルをエクスポートしたりすることもできます。

• 下記画像のダイアログが開き、他にもhtmlファイルやimgファイルがあることが確認できます。
  • これらのファイルを実際にダウンロードすることもできます。

ダウンロードしたファイルをむやみに開いたり実行することはとても危険です

色付け

• Wiresharkには色付け(colorization)というものがあり、プロトコルやイベント、エラーごとに色分けしてくれる機能があります。

• これを使用することでどのような通信が行われているのか、どのようなエラーが出ているのかを色で簡単に確認することができます。

終わりに

自分もまだまだ使いこなしきれてはいませんが、Wiresharkは使いこなせるようになるととても楽しいです。

今回、初めてブログを書きましたが、何かを順序立てて説明しようと思ったらしっかりとした知識と理解がなければできないということに気づきました。 それにより説明することが自分の学びにもつながるということを実感できました。

次回は解く際に行うと良い準備や、実際の問題でどのような手順で答えを導いていくのかといった、問題への取り組み方を説明していきます。