Wireshark でカラムを追加する方法

[yushimaz]

はじめに

キャプチャしたパケットを解析するツールとして有名なソフトに Wireshark があります。
シスコサポートコミュニティ内で Wireshark と検索すると多数の投稿があるように、 Wireshark はトラブルシューティングにおいて必須ツールとなっています。

今回は、Cisco 製品に特化した Wireshark の使用方法ではなく、知っていると便利な Wireshark 使用方法 (カラムを追加し、自分が表示したい値を出力する方法) について 紹介したいと思います。

用意したキャプチャファイルは、localhost に対して cookie 付で HTTP リクエストを送信しています。
下記 Cookie: test=aaa というのが送信している cookie の値になります。
これは、No.4 のパケットですが、同様に 1 つ 1 つ packet の中身を見て、cookie の値を確認するのは大変なので、今回は、Protocol と Length の間に cookie というカラムを追加し、 どのような cookie がセットされているのかを一目でわかるようにしたいと思います。
 

設定手順

設定手順は下記になります。

1. Edit > Preferences を選択 (もしくは Ctrl+**bleep**+P)
2. User Interface > Columns を選択
3. Add を選択し、カラムを追加
4. Title を New Column から cookie へ変更後、ドラッグ&ドロップし、Protocol と Length の間に移動
5. cookie の Field type を Custom へ Field name を http.cookie へ変更し、OK をクリック
6. cookie が表示されるようになります。
7. http.cookie でフィルタすると、cookie が存在する行のみ表示されます。

1) Edit > Preferences を選択 (もしくはショートカットキー Ctrl+**bleep**+P を使用)

2) User Interface > Columns を選択

3) Add を選択し、カラムを追加

4) Title を New Column から cookie へ変更後、ドラッグ&ドロップし、Protocol と Length の間に移動

5) cookie の Field type を Custom へ Field name を http.cookie へ変更し、OK をクリック

今回は、cookie を表示させるため、Field name を http.cookie にしましたが、この値を変更することで自分が表示したい項目をカラムに追加可能です。 Field name は、ディスプレイフィルタと同じ値が使用できます。


6) cookie が表示されるようになります。

7) http.cookie でフィルタすると、cookie が存在する行のみ表示されます。

今回のキャプチャでは、3 回に 1 回 test=aaa という cookie 付 HTTP リクエストが送信され、3 回に 2 回 test=bbb という cookie 付 HTTP リクエストが送信されていることが簡単に確認できます。

補足

今回のキャプチャは、linux 上で下記のようなスクリプトを実行しています。

yushimaz@ubuntu1404:~$ cat cookie.py
#!/usr/bin/env python

import requests

for i in range(30):
  if i % 3 == 0:
    cookies = dict(test='aaa')
  else:
    cookies = dict(test='bbb')
  r = requests.get('http://127.0.0.1', cookies=cookies)

取得手順は下記になります。

yushimaz@ubuntu1404:~$ sudo tcpdump -i lo -w cookie.pcap &
[1] 16079
yushimaz@ubuntu1404:~$ tcpdump: listening on lo, link-type EN10MB (Ethernet), capture size 65535 bytes

yushimaz@ubuntu1404:~$
yushimaz@ubuntu1404:~$ ./cookie.py
yushimaz@ubuntu1404:~$
yushimaz@ubuntu1404:~$ jobs
[1]+  Running                 sudo tcpdump -i lo -w cookie.pcap &
yushimaz@ubuntu1404:~$ fg
sudo tcpdump -i lo -w cookie.pcap
^C300 packets captured
600 packets received by filter
0 packets dropped by kernel
yushimaz@ubuntu1404:~$
yushimaz@ubuntu1404:~$