パケットキャプチャについて

質問

パケットキャプチャについて

wiresharkでパケットキャプチャをやっております。tcpでsynのパケットのみを収集したいのですが、現在では、
(1)ファイルの読み込み
(2)フィルタの条件でtcp.flag.fin == 0 and tcp.fla.syn ==1 and tcp.flg.ack == 0 と入れフィルタリング。
(3)結果のファイルを保存

となって大変時間がかかります。cuiでコマンドライン上で一発ですませられる方法はありませんか？

回答No.1

hiroaki101 · ベストアンサー

こんにちは。下記のページが参考になると思います。コメント欄もご覧下さい。「Wireshark キャプチャ フィルタ syn fin」でインターネット検索しました。

tcpdumpやwiresharkでTCP制御フラグを指定してパケットを収集する方法（Eiji James Yoshidaの記録）
http://d.hatena.ne.jp/EijiYoshida/20080625/1214342918

＞ tcpdumpやwiresharkでTCP制御フラグを指定してパケットを収集する方法
...
＞ SYNフラグのみ設定されたパケットの収集： "tcp[13] & 255 == 2"

WIRESHARK - 簡単なチュートリアル - フィルタ
http://openmaniak.com/ja/wireshark_filters.php

上記をヒントにキャプチャフィルタを設定して試してみては。当方がWindows XP SP3でEthereal（Wiresharkの前身）を使い、 "tcp[13] & 255 == 2"をフィルタとして設定しましたところ、SYNフラグのみのパケットが収集できました。

回答No.2

hiroaki101

申し忘れましたが、

＞ cuiでコマンドライン上で一発ですませられる方法はありませんか？

お使いのOSとバージョンが書かれていませんが、UNIX/Linuxですとtcpdump、WindowsですとWindumpがあります。それぞれの名前でインターネット検索しますと、各種ウェブサイトで解説を見つけることができます。紹介したページ及びコメントによると、tcpdumpでも先ほど引用したフィルタの式や別解（”tcp[tcpflags] & (tcp-syn|tcp-fin) != 0”）が使えるようですね。

お礼

ありがとうございます。本当にありがとうございます。修論の執筆中で膨大なデータの処理に困っていました。大変参考になりました。あつくお礼を申し上げます。