More Related Content Similar to Hokkaido.cap#1 Wiresharkの使い方(基礎編) (20) More from Panda Yamaki (13) Hokkaido.cap#1 Wiresharkの使い方(基礎編)3. パケットキャプチャとは
• ネットワーク上に流れるトラフィックのパケット
(データ通信の固まりの単位)を採取する事
- OSやアプリケーションが行っている通信の中身
(実際に起こっている事)を探る
• パケットを解析することでわかることがある。
ただし、すべてを明らかにできるわけではない。
• どこまでができて、どこからができないのかを見極めて効
率良く調査、解析する。
• 許可なしに第三者の通信(特にインターネット等公共
の通信)をキャプチャすることは犯罪 (ダメ、ゼッタイ)
3
4. キャプチャに必要なもの
• LANアナライザ (Snifferとも呼ばれる)
- Wireshark、tcpdump、Windowsネットワーク・モニタ
Wireshark tcpdump Windows
• 自分宛ての通信以外をキャプチャする場合は以下を準備
- プロミスキャスモード対応NIC
• 自分宛て以外のパケットを破棄せず、受信したすべてのパケットを読
み込むモード
• Wiresharkでは動作モードを選択可 (デフォルト : ON)
- HUB (シェアードハブ、リピータハブ)
• MACアドレスを判別してコリジョンドメインを分割するL2スイッチ
の場合、ポートミラーリング機能を利用するのが一般的
4
5. Wireshark とは
• GPL(GNU Plublic License)で配布されている
オープンソースのLANアナライザ
- 旧名称 : Ethereal
- Windows、Mac OS X、UNIX/Linux で動作
• パケットキャプチャをするためには、パケットキャプチャ
ドライバが必要
- WinPcap : Windows用 (インストーラーに同梱)
- AirPcap : Windows 無線LAN用
LAN
- LibPcap : UNIX/Linux用
http://www.wireshark.org
5
6. Windows版 Wiresharkのインストール
• 最新版を使用すること
- セキュリティパッチが含まれる
- 同梱のWinPcapを使用したほうが無難
• インストール時の選択は通常デフォルトで問題
ない
- ファイルタイプの関連付け : 有効
- インストールするモジュール : すべて
- WinPcapドライバの自動起動 : 有効
• 気になる人は次ページ以降の解説参照
6
7. インストールモジュールの選択
• TShark : Wireshark のコマンドライン版
• Plugin / Extensions
- Dissector Plugin : バイナリ解析用プラグイン
- Tree Statistics Plugin : 詳細ツリー表示用プラグイン
- Mate - Meta Analysis and Tracing Engine : メタ分析、トレースエンジン
(現時点ではexperimental 版 ・・・ 以前のバージョンではチェックが外れていた)
- SNMP MIBs : SNMPで使用されるMIB情報
• Tools
- Editcap : キャプチャファイルの分割、フォーマット変換
- Text2Pcap : パケットのASCIIとHexDumpからキャプチャファイルを生成
- Mergecap : キャプチャファイルのマージ
- Capinfos : キャプチャファイルに関する情報を出力
- Rawshark : libpcapデータのDump、解析
7
9. WinPcap ドライバの自動起動 (補足)
• NPF (NetGroup Packet Filter Driver) サービスのレジス
トリ値で制御可能
- HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet
¥Services¥NPF¥ START (DWORD値)
• 0x2 : SERVICE_AUTO_START
- (前ページ、チェック時のデフォルト)
• 0x3 : SERVICE_DEMAND_START
- (前ページ、チェックなし時のデフォルト)
• 0x4 : SERVICE_DISABLED
- (無効)
9
10. インストール後に登録されるサービス
• Remote Packet Capture Protocol v.0 (experimental)
- WinPcap をインストールすると導入されるRPCAPサーバ
リモートキャプチャを行う場合に利用する
- services.msc の画面より起動制御可能
スタートアップの種類は「手動」のため、勝手に起動することはない
10
13. メイン ウィンドウ 画面構成
• パケット一覧のペイン
- キャプチャデータに含まれるパケットの一覧
• パケット番号 / キャプチャされた時間 / 送信元 / 送信先 / プロトコル /
パケットに含まれる情報
» [Ctrl] + [↑][↓] キーでカーソル移動できる
- プロトコルの種類毎に色分けされる
• 「View」 → 「Coloring Rules」 より設定変更可
• パケット詳細のペイン
- 選択したパケットの詳細をツリー状に表示
• バイナリのペイン
- フォーマットされる前の生のデータを表示
13
15. 設定画面の項目
• User Interface
- 画面のレイアウト、フォント、色の設定
• Capture
- キャプチャ方法の設定
• Printing
- データをプリントアウトする際の設定
• Name Resolution
- MACアドレス、ホスト名、プロトコルの名前解決
• Protocols
- プロトコルの表示方法に関する設定
15
16. カスタマイズ検討項目 : Capture
• Default Interface
- デフォルトでキャプチャするインターフェースの指定
• Capture packets in promiscuous mode
- プロミスキャスモードの ON/OFF
• Update list of packets in real time
- 実際の時間に合わせてパケット一覧部を更新
» 大量キャプチャ、低スペックマシンではOFFにするとよい
• Automatic scrolling in live capture
- パケットキャプチャに合わせて自動スクロール
» 大量キャプチャ、低スペックマシンではOFFにするとよい
• Hide capture info dialog
- パケットキャプチャの際に表示されるキャプチャ状況パネルを非表示
16
17. カスタマイズ検討項目 : Name Resolution
• Enable MAC name resolution
- MACアドレスの上位3オクテット(ベンダーID部)をベンダー名に変換
Example : "02:A0:C9:05:04:03" to "Intel_05:04:03"
• Enable network name resolution
- IPアドレスをホスト名に変換
(Enable concurrent DNS name resolution が有効の場合は複数の名前
解決要求をDNSサーバに送信)
Example : "10.5.6.7" to "mail-07.example.com"
» ONにするとDNSを参照するため、名前解決の負荷がかかる
• Enable transport name resolution
- トランスポート層のポート番号をアプリケーション名に変換
Example : "25" to "smtp"
17
19. 補足 : Checksum Offload について
• Wiresharkでは、問題のあるパケットは赤色、黒色で表示される。自PCから送
信する要求パケットだけが赤や黒で表示される場合、Checksum Offload (OS
で行っているTCPチェックサムの計算をNICのハードウェアで処理する機能)
によって、チェックサムエラーを起こしている場合がある。
• 実際の通信エラーが発生し
ておらず、再送処理が発生
していない場合、パケットを
取得するうえでは問題ない。
19
21. パケットの検索
• 「Edit」 → 「Find Packet」 または [Ctrl] + [F]
- 次候補検索 : [Ctrl] + [N] 前候補検索 : [Ctrl] + [B]
- フィルタ式、16進数、文字列 を指定して検索が可能
21
22. パケットのマーキング
• 右クリック → 「Mark Packet」 または [Ctrl] + [M]
- マーキングしたパケットは黒背景に白文字になる
- マーキングしたパケットのみ保存したい場合などに使用
22
23. キャプチャデータの保存とエクスポート
• 保存
「File」 → 「Save As」
→ pcap形式で保存
• エクスポート
「File」 → 「Export」
→ 「File」
→ 「Objects」
→ txt, csv, html
etc …
23
24. 時間の表示フォーマット
• 「View」 → 「Time Display Format」
- デフォルトはキャプチャ開始時間からの相対時間で表示される
Default
Date and Time of Day
24
25. 2 種類のフィルタ
• キャプチャ フィルタ
- パケットをキャプチャする際に適用するフィルタ
- 条件に合致したパケットのみ記録
• ディスプレイ フィルタ
- キャプチャファイルを閲覧する際に適用するフィルタ
- 条件に合致したパケットのみ表示
• 上記2つのフィルタは構文が異なる
25
26. キャプチャ フィルタ
• 「Capture Option」 → 「Capture Filter」 へ条件式を入力
- ファイルサイズは抑えられるが、キャプチャしながらフィルタするため、
負荷は多少高くなる
- 原因のわからないネットワーク トラブル調査などでは、むやみにフィルタ
しないほうがよい
26
27. キャプチャ フィルタ 書式
• 構文とフィルタ例
Protocol Direction Host(s) Value Logical Other
Operations Expreession
tcp dst portrange 80-88 and dst host 192.168.0.2
⇒ プロトコルがtcpで送信先ポートが80~88番であり、かつ送信先IPが192.168.0.2 をキャプチャ
(省略) (省略) host 192.168.0.1 and port 80
⇒ 送信元または送信先IPが192.168.0.1であり、かつ送信元または送信先ポートが80番 をキャプチャ
• 有効な値の例
- Protocol : ether, ip, arp, tcp, udp (省略時:すべてのプロトコル)
- Direction : src, dst, src and dst, src or dst (省略時: src or dst)
- Host(s) : net, port, host, portrange
- Logical Operations : not, and, or (not は構文の先頭に付けることも可)
notによる否定は最も優先順位が高く、or とand は同じ優先順位で左から順に処理される
例: 「not host 192.168.0.1 and port 23」は「 (not host 192.168.0.1) and port 23」に等しい
27
29. ディスプレイ フィルタ
• Filter テキストボックスへ条件式を入力
- 構文が正しい場合 : テキストボックスの背景が薄緑色に変化
- 構文が正しくない場合 : テキストボックスの背景がピンク色に変化
• 元のキャプチャデータは変更せずに条件に合致するパ
ケットだけが表示される
29
30. ディスプレイ フィルタ 書式
• 構文とフィルタ例
Comparison Logical Other
Protocol String1 String2 operator
Value Operations Expreession
・ ・
ftp. Passive. ip == 192.168.0.1 or http
⇒ ftpのパッシブIPが192.168.0.1 または httpのパケットを表示
• Expression ダイアログで構
文を生成することも可能
30
31. 比較演算子 と 論理演算子
• 比較演算子 • 論理演算子
英語表記 記号表記 説明 英語表記 記号表記 説明
eq == 等しい and && 論理積
ne != 等しくない or || 論理和
gt > 大なり xor ^^ 排他的論理和
lt < 小なり not ! 否定
ge >= 以上
le <= 以下
31
32. ディスプレイ フィルタ の例
• HTTPリクエストのパケットを表示
- http. request
• ICMPのパケットを表示しない
- !icmp
• IPアドレス192.168.0.1と192.168.0.2のパケットを表示
- ip.addr == 192.168.0.1 && ip.addr == 192.168.0.2
• IPアドレス 192.168.0.1 のパケットを表示しない
- !(ip.addr == 192.168.0.1)
ip.addr != 192.168.0.1 ではないので注意
32
35. プロトコルの分析 : Decode As
• 既定のポート以外の通信(例:137番ポートでのFTPなど)では、自動
解析の結果が期待どおりとならないため、手動でプロトコルを指定し
て解析する
• 分析したいパケットを右クリック → 「Decode As
Decode As」
35
44. 統計情報 – IOグラフ
• 「Statistics」 → 「IO Graphs 」
クリックするとメインウィ
ンドウが該当する時間
帯へ移動する
44
45. 統計情報 – Flowグラフ
• 「Statistics」 → 「Flow Graphs 」
クリックするとメインウィ
ンドウが該当する時間
帯へ移動する
45
49. 参考資料
• 実践パケット解析 - Wiresharkを使ったトラブ
ルシューティング
- http://www.oreilly.co.jp/books/9784873113517
- ISBN978-4-87311-351-7
• Wireshark - Documentation
- http://www.wireshark.org/docs
• The Wireshark Wiki
- http://wiki.wireshark.org/FrontPage
49
52. サンプル キャプチャファイル
• http.cap
- 一般的なHTTPセッションのキャプチャファイルです。
• telnet-raw.pcap
- Raw(per-character)モードtelnetセッションのキャプチャファイ
ルです。
• ftp-netbios3.pcap
- セッションで紹介したFTPポート偽装ファイルです。
- Decode As機能を試してみましょう。
• test1.pcap, test2.dmp
- サーバへの攻撃パケットをキャプチャしたファイルです。
- 使用されている攻撃手法を当ててみましょう。
52
53. パケットヘッダ と Ethernet フレーム
パケットヘッダの階層構造
Ethernet Header (IP Header) (TCP Header) Data
Ethernet ではデータ
IP Header (TCP Header) Data
IP ではデータ
TCP Header Data
Ethernetフレームフォーマット
Destination Source
MAC Address MAC Address Type Data FCS
(6byte) (6byte) (2byte) (46~1500byte) (4byte)
53
54. IPv4 ヘッダフォーマット
0 34 78 15 16 31(bit)
Version IHL Type of Service Total Length
(バージョン) (ヘッダ長) (サービスタイプ) (パケット長)
Identification Flags Flagment Offset
(識別子) (フラグ) (フラグメントオフセット)
Time To Live Protocol Header Checksum
(生存時間) (プロトコル番号) (ヘッダチェックサム)
Source IP Address
(送信元IPアドレス)
Destination IP Address
(宛先IPアドレス)
Option + Padding
(オプション + パディング)
Data
(TCP,UDP,ICMPなどのプロトコルのヘッダとデータ)
54
55. TCP ヘッダフォーマット
0 34 9 10 15 16 31(bit)
Source Port Destination Port
(送信元ポート番号) (宛先ポート番号)
Sequence Number
(シーケンス番号)
Acknowledgement Number
(確認応答番号)
Data Reserved U A P R S F
Window Size
R C S S Y I
Offset (予約領域) (ウィンドウサイズ)
G K H T N N
Checksum Urgent Pointer
(チェックサム) Code bit (緊急ポインタ)
Option + Padding
(オプション + パディング)
Data (データ部)
55
56. TCP コネクション管理
SYN (コネクション確立要求)
ACK (SYNに対する確認応答)
SYN (コネクション確立要求) コネクション確立
(3 -Way Handshake)
ACK (SYNに対する確認応答)
コネクション確立後 データデータ転送開始
FIN/ACK (コネクション切断要求)
ACK (FINに対する確認応答)
FIN/ACK (コネクション切断要求) コネクション切断
ACK (FINに対する確認応答)
56
57. TCP ヘッダ Codebit
Codebit 説明
URG このビットが1の場合、緊急処理すべきデータが含まれることを意味する。
(Urgent)
ACK このビットが1の場合、確認応答番号のフィールドが有効であることを意
(Acknowledgement) 味する。コネクション確立時の最初のSYNセグメント以外は必ず1である必
要がある。
PSH このビットが1の場合、受信したデータをすぐに上位のアプリケーションに
(Push) 渡す。0の場合はバッファリングを許す。
RST このビットが1の場合、コネクションが強制的に切断される。
(Reset) 何らかの異常を検出した場合に送信される。
SYN このビットが1の場合、コネクション確立の意思表示を表す。また、シーケ
(Synchronize) ンス番号のフィールドに格納されている番号でシーケンス番号の初期化
が行われる。
FIN このビットが1の場合、今後送信するデータがないことを意味する。それぞ
(Fin) れのFINに対して確認応答されるとコネクションが切断される。
57