<div id="readability-page-1" class="page"><div><p>
                    일상에서의 Wireshark
                    
                    </p><p>
                        네트워크 문제 해결에 도움이 될 패킷 분석하기
                    </p>
                    
                    
                </div><div v-pre="">
                
                    <p>GUI가 꽤 편하기 때문에 Windows나 macOS에서는
<a href="https://www.wireshark.org/docs/man-pages/wireshark.html">Wireshark</a>를 사용하는 경우가 많습니다.
하지만 여기서는 CLI 환경에서도 사용할 수 있는
<a href="https://www.wireshark.org/docs/man-pages/tshark.html">TShark</a>를 소개합니다.</p>
<h2 id="설치">설치</h2>
<div><pre tabindex="0"><code data-lang="sh"><span><span><span># CLI</span>
</span></span><span><span>sudo apt install tshark
</span></span><span><span><span># GUI</span>
</span></span><span><span>sudo apt install wireshark
</span></span></code></pre></div><p>wireshark 그룹 추가 후 컴퓨터를 재부팅해야 합니다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span><span>sudo usermod -aG wireshark <span>$USER</span>
</span></span></code></pre></div><div><pre tabindex="0"><code data-lang="sh"><span><span>tshark -h
</span></span><span><span><span># TShark (Wireshark) 3.6.2 (Git v3.6.2 packaged as 3.6.2-2)</span>
</span></span><span><span><span># Dump and analyze network traffic.</span>
</span></span><span><span><span># See https://www.wireshark.org for more information.</span>
</span></span><span><span><span># Usage: tshark [options] ...</span>
</span></span></code></pre></div><h2 id="네트워크-인터페이스-조회">네트워크 인터페이스 조회</h2>
<div><pre tabindex="0"><code data-lang="sh"><span><span><span># tshark --list-interfaces</span>
</span></span><span><span>tshark -D
</span></span></code></pre></div><div><pre tabindex="0"><code data-lang="sh"><span><span>1. enp2s0
</span></span><span><span>2. docker0
</span></span><span><span>3. vetha1d3dea
</span></span><span><span>4. any
</span></span><span><span>5. lo (Loopback)
</span></span><span><span><span># ...</span>
</span></span></code></pre></div><h2 id="패킷-분석-시-사용할-수-있는-옵션">패킷 분석 시 사용할 수 있는 옵션</h2>
<h2 id="network-interface">Network interface</h2>
<ul>
<li><code>-i</code>, <code>--interface</code> 인터페이스의 이름 혹은 인덱스를 지정
<ul>
<li><code>-i eth0</code> <code>eth0</code> 인터페이스 캡처</li>
<li><code>-i 2</code> 2번째 인터페이스 캡처</li>
</ul>
</li>
</ul>
<h2 id="processing">Processing</h2>
<ul>
<li><code>-f</code> libpcap filter syntax를 사용하여 패킷 필터링
<ul>
<li><code>-f "tcp port 80"</code> TCP port 80 패킷 필터링</li>
</ul>
</li>
<li><code>-Y</code>, <code>--display-filter</code> Wireshark displa<strong>Y</strong> filter syntax 사용하여 패킷 표시
<ul>
<li><code>-Y "http.request"</code> HTTP request 패킷 표시</li>
</ul>
</li>
</ul>
<h2 id="stop-conditions">Stop conditions</h2>
<ul>
<li><code>-c</code> stop after n packets (def: infinite)
<ul>
<li><code>-c 10</code> - stop after 10 packets</li>
</ul>
</li>
<li><code>-a &lt;autostop cond.&gt; ...</code>, <code>--autostop &lt;autostop cond.&gt; …</code>
<ul>
<li><code>duration:NUM</code> stop after NUM seconds</li>
<li><code>filesize:NUM</code> stop this file after NUM KB</li>
<li><code>files:NUM</code> stop after NUM files</li>
<li><code>packets:NUM</code> stop after NUM packets</li>
</ul>
</li>
</ul>
<h2 id="write">Write</h2>
<ul>
<li><code>-w</code>, <code>--write-file</code> set the filename to write to (or ‘-’ for stdout)
<ul>
<li><code>-w file</code> write to file</li>
</ul>
</li>
<li><code>-e &lt;field&gt;</code> field to print if -Tfields selected (e.g. tcp.port, _ws.col.Info)
<ul>
<li><code>-e tcp.port</code> print the TCP port field</li>
<li>this option can be repeated to print multiple fields</li>
</ul>
</li>
<li><code>-t a|ad|adoy|d|dd|e|r|u|ud|udoy</code> output format of time stamps (def: r: rel. to first)</li>
<li><code>--color</code> color output text similarly to the Wireshark GUI, requires a terminal with 24-bit color support Also supplies color attributes to pdml and psml formats (Note that attributes are nonstandard)</li>
</ul>
<h2 id="read-file">Read file</h2>
<ul>
<li><code>-r</code>, <code>--read-file</code> set the filename to read from (or ‘-’ for stdin)
<ul>
<li><code>-r file</code> read from file</li>
</ul>
</li>
</ul>
<h2 id="diagnostic-output">Diagnostic output</h2>
<h2 id="miscellaneous">Miscellaneous</h2>
<h2 id="패킷-분석">패킷 분석</h2>
<p>기본적으로 특정 네트워크 인터페이스를 지정해서 실시간으로 패킷을 캡처하거나
이미 캡처된 pcap 파일을 열어서 분석할 수 있습니다.</p>
<h2 id="모든-인터페이스-캡쳐">모든 인터페이스 캡쳐</h2>
<h2 id="localhostlo-loopback-주소의-8080-포트-캡쳐">localhost(lo, loopback) 주소의 8080 포트 캡쳐</h2>
<div><pre tabindex="0"><code data-lang="sh"><span><span>tshark -i lo -Y <span>'tcp.port == 8080'</span> --color
</span></span></code></pre></div><p><img src="https://markruler.github.io/images/network/wireshark/wireshark-tui.png" alt="Wireshark TUI"></p>
<h2 id="http-body-출력">HTTP body 출력</h2>
<ul>
<li>전체 body</li>
</ul>
<div><pre tabindex="0"><code data-lang="sh"><span><span>tshark -i lo -Y <span>'tcp.port == 8080'</span> -T fields -e http.file_data --color
</span></span></code></pre></div><ul>
<li>response body만 출력</li>
</ul>
<div><pre tabindex="0"><code data-lang="sh"><span><span>tshark -i lo -Y <span>'tcp.port == 8080 &amp;&amp; http.response'</span> -T fields -e http.file_data --color
</span></span></code></pre></div><h2 id="특정-도메인에서의-패킷-캡쳐">특정 도메인에서의 패킷 캡쳐</h2>
<div><pre tabindex="0"><code data-lang="sh"><span><span><span># youtube</span>
</span></span><span><span>tshark -i any -f <span>'host www.youtube.com'</span> --color
</span></span></code></pre></div><div><pre tabindex="0"><code data-lang="sh"><span><span>tshark -i any -f <span>'host localhost'</span> --color
</span></span></code></pre></div><h2 id="파일로-출력">파일로 출력</h2>
<div><pre tabindex="0"><code data-lang="sh"><span><span>tshark -i any -w capture.pcap
</span></span></code></pre></div><div><pre tabindex="0"><code data-lang="sh"><span><span><span># tshark로 파일 읽기</span>
</span></span><span><span>tshark -r capture.pcap --color
</span></span></code></pre></div><div><pre tabindex="0"><code data-lang="sh"><span><span><span># wireshark GUI로 파일 읽기</span>
</span></span><span><span>wireshark capture.pcap
</span></span></code></pre></div>
                    
                    <hr id="EOF">
		    <p>최종 수정: 2024-12-30</p>
                    
                </div></div>

임창수 블로그

Changsu

임창수 https://markruler.github.io/posts/network/wireshark/ -
GUI가 꽤 편하기 때문에 Windows나 macOS에서는
Wireshark를 사용하는 경우가 많습니다.
하지만 여기서는 CLI 환경에서도 사용할 수 있는
TShark를 소개합니다.
설치
# CLI
sudo apt install tshark
# GUI
sudo apt install wireshark
wireshark 그룹 추가 후 컴퓨터를 재부팅해야 합니다.
sudo usermod -aG wireshark $USER
reboot
tshark -h
# TShark (Wireshark) 3.6.2 (Git v3.6.2 packaged as 3.6.2-2)
# Dump and analyze network traffic.
# See https://www.wireshark.org for more information.
# Usage: tshark [options] ...
네트워크 인터페이스 조회
# tshark --list-interfaces
tshark -D
1. enp2s0
2. docker0
3. vetha1d3dea
4. any
5. lo (Loopback)
# ...
패킷 분석 시 사용할 수 있는 옵션
Network interface
-i, --interface 인터페이스의 이름 혹은 인덱스를 지정
-i eth0 eth0 인터페이스 캡처
-i 2 2번째 인터페이스 캡처
Processing
-f libpcap filter syntax를 사용하여 패킷 필터링
-f "tcp port 80" TCP port 80 패킷 필터링
-Y, --display-filter Wireshark displaY filter syntax 사용하여 패킷 표시
-Y "http.request" HTTP request 패킷 표시
Stop conditions
-c stop after n packets (def: infinite)
-c 10 - stop after 10 packets
-a <autostop cond.> ..., --autostop <autostop cond.> …
duration:NUM stop after NUM seconds
filesize:NUM stop this file after NUM KB
files:NUM stop after NUM files
packets:NUM stop after NUM packets
Write
-w, --write-file set the filename to write to (or ‘-’ for stdout)
-w file write to file
-e <field> field to print if -Tfields selected (e.g. tcp.port, _ws.col.Info)
-e tcp.port print the TCP port field
this option can be repeated to print multiple fields
-t a|ad|adoy|d|dd|e|r|u|ud|udoy output format of time stamps (def: r: rel. to first)
--color color output text similarly to the Wireshark GUI, requires a terminal with 24-bit color support Also supplies color attributes to pdml and psml formats (Note that attributes are nonstandard)
Read file
-r, --read-file set the filename to read from (or ‘-’ for stdin)
-r file read from file
Diagnostic output
Miscellaneous
패킷 분석
기본적으로 특정 네트워크 인터페이스를 지정해서 실시간으로 패킷을 캡처하거나
이미 캡처된 pcap 파일을 열어서 분석할 수 있습니다.
모든 인터페이스 캡쳐
tshark -i any
localhost(lo, loopback) 주소의 8080 포트 캡쳐
tshark -i lo -Y 'tcp.port == 8080' --color
HTTP body 출력
전체 body
tshark -i lo -Y 'tcp.port == 8080' -T fields -e http.file_data --color
response body만 출력
tshark -i lo -Y 'tcp.port == 8080 && http.response' -T fields -e http.file_data --color
특정 도메인에서의 패킷 캡쳐
# youtube
tshark -i any -f 'host www.youtube.com' --color
tshark -i any -f 'host localhost' --color
파일로 출력
tshark -i any -w capture.pcap
# tshark로 파일 읽기
tshark -r capture.pcap --color
# wireshark GUI로 파일 읽기
wireshark capture.pcap
- https://markruler.github.io/posts/network/wireshark/ - Im Changsu 2020 - 2024

일상에서의 Wireshark

댓글