wireshark 사용법

1. wireshark 설치

2. wireshark에 Time since previous frame in this TCP stream컬럼 추가
 ->패킷을 선택하고 상세창에서 Transmission Control Protocol->Timestamps->Time since previous frame in this TCP stream 에서 오른클릭하고 Apply as column 선택

3. wireshark에 Stream index추가
 ->패킷을 선택하고 상세창에서 Transmission Control Protocol->Stream index 에서 오른클릭하고 Apply as column 선택
4. wireshark 레코딩 시작 후 컨트롤러 수행

5. wireshark 레코딩 스탑

6. 서버 ip를 통해 필터링 ip.addr==133.186.195.XX

7. 지연 트래픽에 대한 Stream index 확인, Time since previous frame in this TCP stream 컬럼으로 오더바이
8. 지연 Stream index로 필터링 ip.addr==133.186.195.XX and tcp.stream==1599

 

# 고급 필터
tcp[13]==1 FIN 플래그 필터
tcp[13]==2 SYN 플래그 필터
tcp[13]==4 RST 플래그 필터
tcp[13]==8 PSH 플래그 필터
tcp[13]==16 ACK 플래그 필터
tcp[13]==18 URG 플래그 필터
tcp[13]==32 SYN-ACK 플래그 필터
tcp[13]==11 FIN-ACK 플래그 필터

 

 

# 필터링

ip.addr==133.186.195.36 and tcp[13]==11 FIN&ACK만 출력

 

ip.addr==133.186.195.36  and tcp[13]==11 and tcp.port==59913

 

ip.addr==133.186.195.36   and ( tcp[13]==2 or tcp[13]==11 ) and tcp.port==59918

 

ip.addr==133.186.195.36 and tcp.port==1440 특정포트만 찾기

 

# 용어설명

[ tcp squrious retransmission ]

기본적으로 "스퓨리어스 재전송"은 수신자가 이미 확인한 데이터가 다시 전송되었음을 의미하며, 이는 우리가 자체 전문가 시스템에서 "불필요한 재전송"이라고 부르던 것입니다. "Needless"는 기술적으로 충분히 이상하게 들리지 않으므로 이러한 재전송에 대한 논문에서는 "가짜"로 분류되었습니다. https://bugs.wireshark.org/bugzilla/show_bug.cgi?id=8614에 패치가 언급 된 버그 보고서가 있습니다. 스퓨리어스 재전송이 표시되는 경우 수신자가 확인 패킷을 보냈음에도 불구하고 보낸 사람이 패킷이 손실되었다고 생각하고 다시 전송했음을 의미합니다.

 

#지연탐지 https://g-idler.tistory.com/35

[와이어샤크 #5] 지연 탐지