ネットの裏側を探る（キャプチャ）（BNS 補助資料）

本章では、外部ソフトウェアを使ってネットワークを通っていく通信（トラフィック） をモニターしたり情報収集したりする方法を扱う。

実習1 キャプチャリング

1. Wireshark でパケットキャプチャ
   • パケットキャプチャを行う汎用ソフトウェア
   • ドライバソフトウェアとして npcapがインストールされている必要がある。
     • npcap は、以前よく使われていた WinPCap を継承していて、今はこちらが安定しているようだ。
     • winPcap は、Chocolateyで導入できる（Scoopのbucketには見つからない）が、 npcap は、サイトからダウンロード・インストールすることになる。
   • 起動したら、画面中央にキャプチャ可能なネットワークデバイスの一覧が表示されるので、適切なもの（おそらくWiFi）を選択すれば キャプチャリングが開始される。
   • このソフトの名前は、電線に噛みつくShark(サメ）のイメージから来てるようだ。
2. Fiddler で HTTPのキャプチャ
   • HTTPに特化したキャプチャリングツール
   • この版は日本語化はされていないようだ

• インストール：

  Scoopなら：

  # パッケージ名を確認する
  scoop search wireshark
  scoop search fiddler
  # インストールするには
  scoop install wireshark
  scoop install fiddler

  Chocolatyなら：

  # パッケージ名を確認する
  clist wireshark
  clist fiddler
  # インストールするには
  cinst wireshark -y
  cinst winpcap -y      # または npcap をサイトから入れる
  cinst fiddler -y

  

• 起動の方法： いずれも [win] または [win]+s のあと、アプリケーション名 （の最初の何文字か）を入力すればいい。 （スタートメニューやスタート画面からも探し出して起動できる）

解説

• 前に紹介したブラウザの「開発ツール」（の「ネットワーク」機能）は、 ブラウザの、現在対象にしているページに拘る通信だけを 表示するが、
• ここで導入する２つのアプリケーションは、ブラウザの外で動作し、
• （右上図のイメージのように）当該PCを出入りする通信を（Wiresharkは、すべて; Fiddlerは、HTTP関連のものすべて）拾い出して分析・表示する。
  • Fiddlerは、HTTP（および、HTTPSなどHTTPから派生したプロトコル）での通信を、
  • １つのHTTPセッション（要求を送り、応答を受け取る、という一往復分）単位で、
  • その送信先サーバ名（Host欄)、要求した資源（URL欄）などを表にして表示する。
• Fiddlerの動作をさっきの右上図よりも詳しく示したのが右図。
  • 学内ではもともと学内LANとインターネットの境界付近にプロキシが動作していて、HTTPの通信を中継しているが、
  • Fiddlerを起動するとFiddlerが内部的に工作をして、間に挟まるべく、動作しているブラウザのプロキシ設定を変更する。
  • この状況を確認するためには、ブラウザの設定メニューから（開き方はブラウザによって違うが）「プロキシの設定」を表示してみるといい（デフォルトでは Fiddlerが待ち受けるアドレス 127.0.0.1:8888 に設定されている筈; 以前は 8080だったが）。
• 一方、WireSharkでは、コンピュータからLANに送り出されるパケットを、ネットワークデバイス（インタフェースとも呼ぶ）に仕掛けを施すことによって、拾い上げ（Tappingとも呼ぶ）るソフトウェア（WinPCapがそれ）が暗躍する。
  • WinPCapが拾い上げたパケットをWireSharkに送り、WireSharkがそれを画面に表示したり分析したりする、という仕組み。
• WireSharkは、パケット（IPパケット等）単位での表示になる。
  • １つのHTTPセッションでも送信と受信は（当然）別のパケット
  • さらに長いデータは複数パケットに分割（フラグメンテーション）して送受信されるのでパケット数は増える。
  • 各パケットについて、発信元（source)、送信先（destination) などの情報を表示している。

  

  これらの記述をフィルタのパラメータ内で使う時は３文字に略して使う ことが多い（ネット界の周辺での伝統的な文化として）ことを認識しておくといい。
• なお、WireSharkは、膨大な量の通信を表示してしまうので、 フィルターを適切に使うことを覚えると有効な道具になる（右図赤矢印）。
  • たとえば、図のような指定をこの欄に入力すると、（TCPでなく）UDPで、ポート番号53番（= サービス名はdns）の通信に限定してキャプチャされる。
  • 他にどんな指定の仕方があるか、様々な情報源があるので検索してみて下さい。