WinPcap과 Ethereal을 이용한 원격 호스트의 패킷 분석

WinPcap 을 사용하는 어플리케이션들이 대부분 remote packet capture 를 지원합니다. 실제는 WinPcap이 Remote Capture 기능을 제공하고 있다고 보는 것이 더 정확합니다.

대표적으로 Ethereal이 이러한 기능을 제공하죠...

사용방법을 보면 다음과 같습니다.

<<< 사용 방법 >>>

1). Packet Capture 를 할 대상 호스트에 rpcapd 라는 데몬을 설치합니다.
윈도우용은 WinPcap이 설치된 디렉토리에 winpcap.exe 라는 이름의 파일이 이 데몬입니다.
리눅스용은 http://www.pawelko.net/xmedia/divers/rpcapd.gz 를 받아서 사용하시면 됩니다. WinPcap에서 공식적으로 나오는지는 확인이 되지 않았습니다.

그리고 보안을 위해서 인증을 지원하는데, ethreal이 이를 지원하지 않기 때문에, 이 부분은 넘어가야 할 것 같습니다. 그래도 접근 가능한 호스트를 제한할 수 있는 기능이 있음으로 이를 이용하면 그나마 괜찮으리라고 생각합니다.

 실생방법은 단순합니다. 인증없이 데몬으로 실행할 경우에는 아래와 같이 하시면 됩니다.

rpcapd  -n –d

-n : 인증을 하지 않음

-d : 데몬 형태로 작동

2). 데몬의 설치가 끝났다면 etheral 의 메뉴에서 Capture/Option 을 선택하고,
Capture  에서 Interface 입력란에 아래와 같이 써 줍니다.

rpcapd:://IP 주소/Interface 이름 

형태로 입력합니다.

그리고 Capture Filter 에

모니터링 하는 자신의 IP 를 제하도록 설정합니다. 자신의 IP를 포함시킬 경우

리모트 캡쳐하는 내용도 ethreal에 표시되기 때문에 반드시 해주는게 좋습니다.

좀더 자세한 설정 내용은 아래 그림을 참조하세요...