wireshark

frame 구조 

Netid -> subnet mask 를 알아야 알수 있음 

-> 네트워크의 크기 확인 가능 

routing : 최단 경로 설정 

forwarding : 보내기 

사설 IP 대역 

NAT

ARP - IP를 가지고 MAC을 알아 오는 것 

 -> 전체 한테 확인( arp request)  -> 해당 ip응답(arp reply) -> arp table 등록 ->  1:1통신 

TCP -> 3 way handshaking

 -> syn, ack, 

 or -> 운영 소프트웨어로 

UDP 

syn - 요청

rst - 재전송, 초기화, 강제 전송

fin - 정상 종료 

port 

20,21,22,25,53,80,3306,3389

ftp는 포트가 임의로 요새는 바뀜 

posrt scanning 

포트를 확인하여 OS나 서비스 파악 가능 

unicast

multicast 

broadcast 

-------------------

wireshark

winpcap - promiscuous 모드 활성화 

패킷 필터 

ip.src==192.168.0.140 && ip.dst==192.168.0.1

ip.src eq 192.168.0.140 and ip.dst eq192.168.0.1

(ip.dst==192.168.0.140) && (ip.src==192.168.0.1)

ip.src==192.168.0.140 || ip.src==192.168.0.1

http&&(ip.src==192.168.0.140 || ip.src==192.168.0.1)

!(ip.dst==192.168.0.1)

----------------------

Follow stream  -> 같은 류의 패킷 따라가기  -> session 범위

ctl + F

ctl + G

--------------------

dns && ip.src==192.168.0.140  -> follow stream 

IP주소로 필터 

ip.addr= 출발지 또는 도착지 

ip.src= 출발지

ip.dst=도착지 

포트로 필터 

tcp.port

tcp.dstport

맥주소로 필터 

eth.addr==[맥주소]

eth.src==

---------

follow stream -> save as