Wireshar filter & Date format 바꾸기

월요병을 극복하고자 글을 하나 짧게 올릴려고 한다..

요즘 현업이 너무 바빠서 블로그에 임시저장 한 글만 다섯개인듯

언제 정리해서 올리지

 

그래서 소소하게 짧은 글만 후딱 올리고 다시 일하러 가려고 한다

오늘의 팁은 Wireshark 간단 사용법이랑 시간 형식 바꾸기이다

 

---

1. Wireshark란?

 

귀여워

 

학교 다닐 때는 왜 이걸 쓰는가,, 하고 과제할 때만 썼었는데

이렇게 유용하고 고마운 프로그램이 없다

특히 bit 단위나 로그로 남기기 힘든 내용을 상세하게 보고 싶을 때 정말 많이 쓴다

 

와이어샤크는 패킷 분석 프로그램이다

네트워크 상에서의 문제/분석/프로토콜 등등을 개발하거나 교육할 때 쓰는 오픈 소스 프로그램이다

원래 이름은 Ethereal이었는데 상표 문제로 이름을 바꿨다고 한다

(출처: 위키백과)

 

크로스 플랫폼으로 사용자 인터페이스를 제공하고,

확장자 pcap (packet capture)을 이용하여 패킷을 잡을 수 있다

참고로 pcap API는 C로 작성 되어 있다고 한다

 

---

 

2. Filter 사용법 몇 가지

 

 

pcap으로 뜬 파일의 예시이다

onvif 메시지 보내는 것을 테스트 중이었고, 이 걸 예시로 자주 쓰는 filter를 적어보겠다

그리고!! 여러 필터를 적용할 때는 && 연산자를 사용해서 검색하면 되니까 돈워리

 

---

 ip.addr == "검색할 ip 주소" 

얘는 정말 많이 쓰는데, source/destination 포함해서 검색할 ip 주소를 찾을 수 있는 필터다

만약 찾는 ip 주소가 111.111.111.111 이라면

ip.addr == 111.111.111.111 >> 이렇게 적어주면 된다

 

 http.request.uri contains "검색할 문자열" 

http 프로토콜을 많이 다루는 분이라면 꽤 유용한 필터다

Request URI에 있는 문자열을 검색할 수 있는 필터다

만약 찾고자 하는 검색어가 test 라면

http.request.uri contains "test" >> 이렇게 적어주면 끝.

http 필터에는 더 다양한게 많기 때문에 구글링하면서 사용하길 -☆

 

ip.src == "source ip 주소"

메시지를 보낸 source 쪽의 ip 주소를 검색할 수 있는 필터다

위에서 먼저 말했지만 ip.addr로 전체 검색하는걸 더 많이 쓰긴 하는 것 같다

 

ip.dst == "destination ip 주소"

메시지를 수신하는 destination 쪽의 ip 주소를 검색할 수 있는 필터다

 

 

검색할 프로토콜 명

 

 

위 예시처럼, http를 검색하고 싶다면 http를 검색하면 된다

rtsp나 다른 프로토콜 검색시에는 rtsp라고 검색해주면 끝

 

 

---

 

3. Time 시간 형식 바꿔서 보기

 

 

아마 처음 아무 설정을 하지 않았을 때는 Time 형식이 위와 같이 보일 것이다

이건 Seconds Since Beginning of Capture 형식으로 설정이 되어있기 때문이다

 

말 그대로, 패킷이 캡쳐되고 나서 소요한 시간을 보여주는 것이기 때문에

저게 몇시에 발생한 사건(?)인지는 보기가 힘들다;;

 

 

 

얘는 메뉴의 View 탭 → Time Display Format → Seconds Since Beginning of Capture

에서 설정이 되어있다

 

 

 

그렇다면 이 형식을 바꿔주기만 하면 된다 ㅋ

나는 맨 위에 필터를 많이 쓰는데, 여러가지 적용해보면서 필요한거 쓰면 된당

 

 

실제 이 패킷이 캡쳐된 시간으로 나오는 것을 확인할 수 있다

 

그럼 이만 -☆ ヽ(✿ﾟ▽ﾟ)ノ