Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Windows の標準コマンドでパケット キャプチャ

16,337 views

Published on

2015/4/27 第27回「ネットワークパケットを読む会(仮)」でのセッション用スライドです

Published in: Technology
  • Be the first to comment

Windows の標準コマンドでパケット キャプチャ

  1. 1. Windows の標準コマンドで パケット キャプチャ hebikuzure aka Murachi Akira This material provided by CC BY-NC-ND 4.0. See http://creativecommons.org/licenses/by-nc-nd/4.0/
  2. 2. About me • 村地 彰 aka hebikuzure • http://www.murachi.net/ • http://www.hebikuzure.com/ • https://hebikuzure.wordpress.com/ • MicrosoftMVP(InternetExplorer)Apr.2011~ 2015/4/27 2© 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27
  3. 3. 標準機能でパケット キャプチャ • UNIX / Linux 系なら TCPDUMP • Windows では? 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 3
  4. 4. Windows なら netsh • netsh コマンドでパケット キャプチャ • Windows 7 / Windows Server 2008 R2 以降で機能追加 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 4
  5. 5. 書式 netsh trace start [[scenario=]< scenario1, scenario2>] [[globalKeywords=]keywords] [[globalLevel=]level] [[capture=]yes|no] [[report=]yes|no] [[persistent=]yes|no] [[traceFile=]path¥filename] [[maxSize=]filemaxsize][fileMode=]single|circular|append] [[overwrite=]yes|no][[correlation=]yes|no|disabled][capturefilters] [[provider=]providerIdOrName][[keywords=]keywordMaskOrSet] [[level=]level] [[provider=]provider2IdOrName] [[keywords=]keyword2MaskOrSet] [[level=]level2] ... netsh trace start /? でヘルプ表示 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 5
  6. 6. キャプチャの開始 • 管理者コマンド プロンプトを起動 • netsh trace start capture=yes • ・・・キャプチャ取得・・・ • netsh trace stop でキャプチャ終了 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 6
  7. 7. キャプチャ データの保存 • キャプチャ データは etl ファイルに記録 – etl : event trace log • 既定の保存場所 %LOCALAPPDATA%¥temp¥netTraces¥netTrace.etl • 保存場所の変更はstart のオプションで traceFile=(etl ファイルのパスとファイル名) 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 7
  8. 8. キャプチャ データの解析 • ネットワーク キャプチャの etl を読める ツール –Microsoft Message Analyzer –Microsoft Network Monitor 3.3 / 3.4 • Wireshark で解析する場合 • Microsoft Message Analyzer で開き、 cap 形式にエクスポート 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 8
  9. 9. 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 9
  10. 10. DEMO 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 10
  11. 11. 参考情報 • ネットワーク診断とトレース https://technet.microsoft.com/ja-jp/library/ee624046(v=ws.10).aspx • The Cable Guy: Windows 7 のネットワーク診断とトレース https://technet.microsoft.com/ja-jp/magazine/ff625276.aspx • Capture a Network Trace without installing anything (& capture a network trace of a reboot) http://blogs.msdn.com/b/canberrapfe/archive/2012/03/31/capture-a-network- trace-without-installing-anything-works-for-shutdown-and-restart-too.aspx • So you want to use Wireshark to read the netsh trace output .etl? http://blogs.technet.com/b/yongrhee/archive/2013/08/16/so-you-want-to-use- wireshark-to-read-the-netsh-trace-output-etl.aspx • Network tracing (packet sniffing) built-in to Windows Server 2008 R2 and Windows Server 2012. http://blogs.technet.com/b/yongrhee/archive/2012/12/01/network-tracing- packet-sniffing-built-in-to-windows-server-2008-r2-and-windows-server-2012.aspx 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 11

×