Wireshark로 패킷 분석하기

소개글

Wireshark로 패킷 분석하기에 대한 보고서 자료입니다.

목차

1.준비하기
-원하는 홈페이지의 IP주소 획득하기
2. 패킷 캡쳐 및 패킷 필터링
1) 필터링 전
2) 필터링 후
-필터링옵션
3. TCP 패킷 캡쳐 1
-Source IP : 자신
3-1. 응용계층부터 링크계층까지 분석
4. TCP 패킷 캡쳐 2
-Destination IP : 자신
4-1. 응용계층부터 링크계층까지 분석
5. 그래프를 그려 트래픽을 분석

본문내용

MAC 주소
송신지 MAC 주소
타입
7c 3e 9d 15 c5 e2
00 26 c7 ac 30 b2
08 00
220.70.2.35
192.168.0.102
IP
5. 소스가 홈페이지 주소이고 목적지가 내 컴퓨터의 IP주소인 TCP 패킷을 캡쳐한다.
-> 188번 패킷 선택
6. 응용계층부터 링크계층까지 어떠한 정보가 저장되어 있는지 설명한다.
1) 응용 계층
HTTP 버전이 HTTP /1.1인것과 응답패킷에서는 상태코드가 200으로 클라이언트 요청이 성공했다는 것을 알 수 있다. 패킷의 생성된 날짜와 시간을 알 수 있다. Server 필드에는 웹서버의 정보를 알 수 있는데, 이 경우 아파치웹서버 1.3.34 버전인 것을 알 수 있다. Last-Modified필드는 요청한 파일의 최종 수정일을 나타내므로 2002년 9월 9일 마지막으로 수정된 것을 알 수 있다. Tag 필드는 캐시 업데이트 정보를 위한 임의의 식별 숫자이다. Content-Length 필드는 헤더 이후 이어지는 데이터(요청한 파일)의 길이를 바이트 단위로 나타낸다. Keep-Alive 필드는 5초 후 timeout이 되었고 최초 연결된 port에 대해서 93회 request를 받겠다는 의미이다. Content-Type필드는 요청한 파일의 MIME 타입이므로 이미지 중 gif 파일임을 나타낸다.
2) 전송 계층
Source Port number는 80번으로 http 통신이고, Destination Port number는 50923번인 것을 알 수 있습니다. Sequence Number는 송신자가 보내는 패킷 번호이다. Acknowledgement Number는 확인응답번호로 수신하기를 기대하는 다음 바이트 번호이다. Header length는 헤더의 총 길이를 말하며 4 바이트 단위로 표시하므로 패킷에 실제로 실리는 값은 5가 된다. Flag bits필드는 TCP 제어 플래그로 TCP 회선 및 데이터 관리 제어 기능을 나타낸다. 이 패킷의 경우 0x018로 0000 0001 1000로 push(수신측은 가능한 빨리 응용프로그램에 이 데이터를 받는 즉시 전달할 것. 즉, 수신측은 버퍼가 찰 때까지 기다리지 않고 수신 즉시 어플리케이션에 전달)와 ack( acknowledgement number가 유효함)값이 1로 세팅된 것이다. Window size필드는 흐름제어를 위해 사용되며 수신측에 의해 능동적으로 흐름제어를 수행하게 한다.
Source Port number
Destination Port number
00 50
c6 eb
80번 포트
50923번 포트
Sequence Number
07 2c 6a b4
acknowledgement number
59 c2 2f 87
Hlen
reserve
u
a
p
r
s
f
Window size
5
0
1
1
fb 7b
20byte
window size가 64379개
Checksum
Urgent pointer
ee 45
3) 네트워크 계층
version 필드는 IPv4 패킷이기 때문에 4가 들어있다. header length 필드는 20~60바이트까지로 가변적이며 워드 단위로 나타내기 때문에 20byte를 5로 표시한다. Total length는 444bytes이다. Identification 필드는 패킷의 ID로 1770이다. 이 패킷 역시 앞서 본 것과 같이 쪼개지지 않은 패킷이다. 처음 설정된 TTL값이 라우터 또는 호스트를 하나씩 지나갈 때 마다 1씩 감소하여 0이되면 해당 패킷을 받은 라우터는 패킷을 버리고 발신지로 ICMP패킷을 보내준다. Protocol 필드는 상위 레이어의 프로토콜이 TCP 프로토콜인 것을 알려주고 있다. Header checksum은 IP패킷의 헤더가 정상적인지 검사하는데 사용되는 체크섬 값이 설정된 필드이다. correct인 것을 보아 정상적인 패킷으로 보인다. Source IP Address필드는 송신지 IP주소로 CNSL연구실 서버 주소인 220.70.2.35의 16진수 값이다. Destination IP Address 필드는 목적지 IP주소로 내 컴퓨터의 192.168.0.102의 16진수 값이다.
version
header length
Type of Service
Total length
4
5
00
01 c3
IPv4
20Bytes
452Byte
Identification
Flag
Flagment Offset
1770
40 00
단편화 되지 않음
Time to live
Protocol
Header checksum
116
06
18 ef
TCP
correct
Source IP Address
dc 46 02 23
220.70.2.35
Destination IP Address
c0 a8 00 66
192.168.0.102
4) 링크 계층
링크 계층의 헤더는 크게 세 가지 필드로 나눌 수 있다. 첫 6Bytes는 목적지 MAC 주소이고, 다음 여섯 Bytes는 송신지 MAC주소이다. 그 다음 2Bytes는 상위계층 프로토콜 종류를 표시한다. 많은 타입을 가지고 있지만 이 패킷에서는 0800으로 IP를 표시하고 있다.
목적지 MAC 주소
송신지 MAC 주소
타입
00 26 c7 ac 30 b2
7c 3e 9d 15 c5 e2
08 00
192.168.0.102
220.70.2.35
IP
5) 데이터 계층
요청된 이미지파일에 대한 정보이다. GIF89a버전을 사용하며 스크린의 너비와 폭은 19, 16이다. Background color index 가 0인 것으로 보아 배경색은 검정색인 것을 알 수 있다. Image드에서는 이미지에 대한 상세한 정보를 알려주고 있다. 왼쪽/오른쪽의 위치 (0,0)과 너비 19, 높이 16인 것을 알 수 있다. LZW는 GIF 파일의 디코드방식으로 공통 비손실 데이터 압축 알고리즘이다. 3bits로 암호화 된 것을 알 수 있다.
7. 그래프를 그려 트래픽을 분석하라
와이어샤크를 통해 그래프를 그려보았다. 그래프는 x축은 0.1초 단위이고 y축은 패킷단위이다. 약 7초동안 패킷을 캡쳐했고, 대략적으로 1초, 3.5초, 5초, 6.8초에서 패킷전송이 활발하게 이루어진 것을 알 수 있다.

키워드

와이어샤크,   wireshark,   패킷 분석,   필터링옵션,   packet ,   tcp,   http