와이어샤크 (Whireshark) 사용법#2 (쉬운 설명, 필터, 캡처, 연산자)

와이어샤크란?

 

오늘은 와이어샤크 사용법에 대해 간단히 알아보겠습니다.

그전에 혹시 와이어샤크에 대해 모르시는 분들은

 

와이어샤크의 개념과 설치법도 함께 적어놨으니

아래 글을 읽어보고 와주시길 바랍니다

https://jdcyber.tistory.com/10

와이어샤크란? #1 (Whireshark) (쉬운 설명, 설치, 정의, 개념, 용도)

---

와이어 샤크 사용법

 

와이어 샤크를 실행하시면 아래와 같은 창이 뜨실겁니다.

 

Capture라고 쓰여있는 곳 아래는

제 화면과 다르게 뜨실 수도 있는데

저곳에 떠있는 내용들은 와이어샤크가

자동으로 찾아준 현재 사용하고 계시는 네트워크를 표시하고 있는 것이니

저와 다르시더라도 걱정하지 마시기 바랍니다.

 

저곳에서 살펴보고 싶은 네트워크를 선택하고

상단 왼쪽에 상어 지느러미를 클릭해 주세요

(이러한 행위를 와이어샤크에서 네트워크를 캡처했다고 부릅니다.)

---

캡처 (Capture)

 

와이어샤크에서 네트워크를 캡처하기 시작하면

해당 네트워크에서 오고 가는

패킷들이 보이기 시작합니다.

 

패킷이 아직 뭔지 모르신다면

아래 글을 읽어주세요!

https://jdcyber.tistory.com/12?category=1076407

패킷(Packet)이란? (쉬운 설명, 구조, 헤더, 인캡슐레이션, 핑, Ping)

 

위 사진이 현재 컴퓨터가 네트워크를 통해 쪼개진 데이터 즉 패킷을 주고받는 모습입니다.

 

(아래 메뉴 및 카테고리 설명은 중요한 내용이 아닙니다)

상단에 메뉴를 먼저 살펴보겠습니다.

Edit : 패킷을 찾거나 표시 / 프로그램 속성 설정 ​ Go : 캡처된 데이터를 특정 위치로 이동 ​ Capture: 캡처 필터 옵션 설정 및 캡처 시작/종료 ​ Analyze: 분석 옵션 설정 ​ Statistics: 통계 데이터 확인 ​ Telephony/Wireless : Telephony 또는 Wireless와 관련된 통계/스트림 확인

 

그 아래 있는 카테고리를 한번 살펴보도록 하겠습니다

 

No. : 패킷을 수집한 순서 ​ Time : 패킷이 수집된 시간 ​ Source : 패킷을 보낸 주소 ​ Destination : 패킷 도착 주소 ​ Protocol : 프로토콜 정보 ​ Length : 패킷의 길이 ​ Info : 패킷 정보

---

필터 (Filter)

 

 

와이어 샤크를 실행하고 배우는 이유는

어떠한 네트워크 상의 문제나 특정 데이터의 흐름을 찾아보고 싶어서 실행한 거잖아요?

그런데 네트워크 상의 모든 내용을 캡처하면 내가 보고 싶은 데이터를 보기가 어려울 수 있습니다.

이때 필요한 기능이 바로 필터라는 것입니다.

패킷 필터를 적용하는 것을 패킷 필터링이라고 부릅니다

(어떻게 부르던 자유니 외우시거나 할 필요는 없습니다)

캡처 방법에는 2가지가 있는데,

원하는 내용만 처음부터 캡처하는 캡처 필터 (Capture Filter)와

전체를 캡처하고 필터를 걸어 검색하는 디스플레이 캡처 (Display Filter)가 있습니다.

우리는 캡처 필터는 사용하지 않겠습니다.

위 방법들이 크게 중요하지도 않고

디스플레이 캡처만 알고 계셔도 됩니다

이런 방법이 있구나 알고만 넘어갑시다.

---

프로토콜 (Protocol) 별 필터 검색

 

프로토콜로 데이터를 검색하는 방법입니다.

DNS: DNS (Domain Name System), 도메인 이름 DHCP: DHCP (Dynamic Host Configuration Protocol), 동적 IP 주소 할당 요청 ICMP: ICMP (Internet Control Message Protocol), 송수신 측의 전송 과정 WLAN: 무선랜

---

논리 연산자 필터 검색

 

eth.addr	원하는 MAC 주소 필터
!(eth.addr)	입력한 MAC 주소 예외
eth.src	출발지 MAC 주소 설정
eth.dst	목적지 MAC 주소 설정
tcp.port	TCP 포트 설정
!(tcp.port)	입력한 TCP 포트 주소 예외
tcp.srcport	출발지 TCP 포트 설정
tcp.dstport	목적지 TCP 포트 설정
udp.port	UDP 포트 설정
!udp.port	입력한 UDP 포트 예외
udp.srcport	출발지 UDP 포트 설정
udp.dstport	목적지 UDP 포트 설정
ip.addr	IP 필터
!(ip.addr)	입력한 IP 주소 예외
ip.src	출발지 IP 주소 설정
ip.dst	목적지 IP 주소 필터

---

쉽게 알려주세요

 

지금 우리가 원하는 건 지금 위의 내용이 아니라

데이터의 흐름을 직접 검색해서 보고 싶어요

 

그래서 어떻게 하는건가요??

정말 쉬운 예시 하나로 같이 살펴볼게요!

CMD 프롬프트 혹은 터미널 Terminal에서

nslookup www.naver.com를 한번 쳐봅시다

 

아이피가 23.35.221.113이네요?

(아이피는 계속 달라지니 직접 nslookup 해보시고 시도해 주세요)

아이피를 알아냈으니 와이어샤크로 검색해 봅시다

 

위에 논리연산자라고 적어놓은 것 중에 IP 필터라고 있죠?

그걸 앞에 입력하고 위와 같이 입력해 봅시다.

ip.addr == 23.35.221.113

(nslookup에 나온 ip를 치시면 됩니다)

필터를 검색하면 해당 아이피와 통신했던 데이터 패킷만 출력되게 됩니다.

 

저희가 검색한 패킷에서 Three Way Hand Shake을

한번 찾아볼까요?

 

3-Way Hand Shake가 뭔지 모르신다면

아래 글을 읽어봐주세요!

(작성 중)

 

위 사진을 보면 오른쪽에 SYN과 ACK를 주고받으며

3-way hand shake를 수행하여 신뢰관계를 맺은 데이터의 흐름을 확인할 수 있습니다.

 

와이어샤크는 얼마나 필터 검색을 잘 하느냐에 따라 전문가와 비전문가로 결정됩니다.

많은 데이터 검색을 해보시고 연산자를 조합해서 원하는 데이터를 검색해낼 수 있다면

성공적인 와이어샤크 전문가가 되실 것입니다.

---

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

구독 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!