maruton's memorandum: ［Windows］WireShark

WireShark はパケットキャプチャソフト。
パソコンにインストールして、パソコン上のネットワーク通信をキャプチャします。
キャプチャしたいところで、キャプチャ開始して、終わったらキャプチャ停止といった使い方をします。
暗号化された通信は暗号化されたまま表示されるので、データを見ることはできないです。

キャプチャしたデータは pcap という形式で保存するのですが、他のキャプチャソフトでキャプチャした pcap 形式のファイルも見ることができます。
私はキャプチャは WinDump で行い、キャプチャしたデータを見るために WireShark を使ったりします。

ダウンロードとインストール

WireShark は検索サイトで探せばすぐ見つかります。

※2013/2/28 現在の最新版は 1.8.5 となっていました。

ただ、このサイトでダウンロードすると帯域を制限されているみたいで全然ダウンロードが進まないです。download ページの下の方にリストされているミラーサイトでダウンロードした方がいいです。

Yamagata University（http, jp) には新しい 1.9.0 のバイナリが置いてあったのでこれをダウンロードしてインストールしました。

キャプチャの取得

WireShark を起動してキャプチャします。

ちなみに丸印のところ、Development Version と書いてありました。

「Capture」→「Interfaces」でキャプチャしたいインターフェースを指定し、「Start」します。

そして通信を発生させて、終わったら「Capture」→「Stop」で停止します。

キャプチャファイルの取り込み

他のキャプチャソフトで取ったキャプチャファイルでも形式が pcap 形式のファイルであれば取り込んで GUI の画面表示で見ることができます。
Linux の tcpdump で取ったファイルでも、コマンドラインツールの WinDump で取ったファイルでも読み込めます。
開くのは「File」→「Open」です。