KOREA IT CISCO 과정

시스코 다섯 번째 시간

제 5 장 와이어샤크 필터

1.와이어샤크 필터 명령어

▷ 필터 명령어

• 각각의 헤더를 클릭하여 다음 필터 명령어 확인
  
• 필터 관련 기호
  
• 필터 예제
  < TCP & UDP 관련 필터 >
  
  < IP 관련 필터>
  
  < ! 관련 필터 >
  
  < ICMP 관련 필터 >
  
  < Ethernet 관련 필터 >
  
  < ARP 관련 필터 >
  
  < HTTP 관련 필터>
  

2. 와이어샤크 필터 예제

예제 1

PC 192.168.0.201 / 70:85:c2:0a:e8:f6
SERVER 192.168.0.51

arp.opcode
arp.src.hw_mac
arp.src.proto_ipv4
arp.dst.hw_mac
arp.dst.proto_ipv4

• ARP 요청 메시지
  arp.opcode == 1 && arp.src.hw_mac == (pc mac) && arp.src.proto_ipv4
  == (pc IP) && arp.dst.proto_ipv4 == (서버 IP)
• ARP 응답 메시지
  arp.opcode == 2 && arp.src.proto_ipv4 == (서버 IP) && arp.src.hw_mac == (pc mac) && arp.dst.proto_ipv4 == (PC IP)

예제 2

‘192.168.1.201’ TCP 3-way 핸드 쉐이킹 & HTTP(TCP 80) 내용 필터
PC 192.168.1.254
SERVER 192.168.1.201

• ip.src == 192.168.1.254 && ip.dst == 192.168.1.201 && tcp.dstport == 80 && tcp.flags == 0x02 && tcp.seq == 0

• ip.src == 192.168.1.201 && ip.dst == 192.168.1.254 && tcp.srcport == 80 && tcp.flags == 0x12 && tcp.syn == 0 && tcp.ack == 1

• ip.src == 192.168.1.201 && ip.dst == 192.168.1.254 && tcp.srcport == 80 && tcp.flags == 0x10 && tcp.syn == 1 && tcp.ack == 1

예제 3

‘192.168.1.201’ TCP 3-way 핸드 쉐이킹 & FTP(TCP 21) 내용 필터
PC 192.168.1.254
SERVER 192.168.1.201

• ip.src == 192.168.1.254 && ip.dst == 192.168.1.201 && tcp.dstport == 21 && tcp.flags == 0x02 && tcp.seq == 0

• ip.src == 192.168.1.201 && ip.dst == 192.168.1.254 && tcp.srcport == 21 && tcp.flags == 0x12 && tcp.seq == 0 && tcp.ack == 1

• ip.src == 192.168.1.254 && ip.dst == 192.168.1.201 && tcp.dstport == 21 && tcp.flags == Ox10 && tcp.seq == 1 && tcp.ack == 1

예제 4

‘192.168.1.201’ TCP 3-way 핸드 쉐이킹 & telnet(TCP 23) 내용 필터
PC 192.168.1.254
SERVER 192.168.1.201

• ip.src == 192.168.1.254 && ip.dst == 192.168.1.201 && tcp.dstport == 23 && tcp.flags == 0x02 && tcp.seq == 0

• ip.src == 192.168.1.201 && ip.dst == 192.168.1.254 && tcp.srcport == 23 && tcp.flags == 0x12 && tcp.seq == 0 && tcp.ack == 1

• ip.src == 192.168.1.254 && ip.dst == 192.168.1.201 && tcp.dstport == 23 && tcp.flags == 0x10 && tcp.seq == 1 && tcp.ack == 1

예제 5

‘192.168.1.201’ ICMP Echo-Request, ICMP Echo-Reply 내용 필터
PC 192.168.1.254
SERVER 192.168.1.201

• ip.src == 192.168.1.254 && ip.dst == 192.168.1.201 && icmp.type == 8

• ip.src == 192.168.1.201 && ip.dst == 192.168.1.254 && icmp.type == 0

예제 6

PC 에서 ‘192.168.63.1’로 'www.naver.com'에 대한 DNS요청 및 응답 내용 필터
PC 192.168.1.254
SERVER 192.168.63.1

• ip.src == 192.168.1.254 && ip.dst == 192.168.63.1 && udp.dstport == 53
  또는
  ip.src == 192.168.1.254 && ip.dst == 192.168.63.1 && dns.qry.name == www.naver.com

• ip.src == 192.168.63.1 && ip.dst == 192.168.1.254 && udp.dstport == 53
  또는
  ip.src == 192.168.63.1 && ip.dst == 192.168.1.254 && dns.resp.name == www.naver.com