Wireshark로 HTTP 패킷 캡쳐하기

Wireshark란

네트워크 패킷 또는 프로토콜 분석기이다. 즉 컴퓨터나 네트워크를 오가는 데이터 패킷을 캡처하고, 그 내용을 사람이 읽을 수 있게 분석해서 보여주는 프로그램이다.

 

https://www.wireshark.org/

Wireshark • undefined

 

위 페이지에서 무료로 다운로드 가능하다.

 

패킷 캡쳐란

네트워크에서 오가는 데이터 단위(패킷)을 가로채서 저장하고 분석하는 과정을 말한다. 

 

인터넷에서 데이터는 한 덩어리가 아니라 패킷이라는 작은 조각으로 나뉘어서 전송된다. 패킷에는 데이터 뿐만 아니라 출발지/목적지 주소, 프로토콜, 포트번호, 순서 정보 등등이 들어있다. 

패킷 캡쳐는 네트워크 어댑터(랜카드)를 통해서 패킷을 복사하고 기록하는 과정이다. 

 

HTTP란

HTTP는 HyperText Transfer Protocol로, 웹 브라우저와 웹 서버가 데이터 주고받을 때 사용하는 어플리케이션 레이어 프로토콜이다.

HTTPS는 HTTP Secure로, HTTP에 SSL/TLS 암호화 계층을 덧붙인 버전이다.

 

패킷 캡쳐 과정에서 HTTPS를 사용하지 않는 이유로는 HTTPS의 요청/응답 본문은 암호화되어 있어 사람이 읽을 수 없다. 보이는 건 암호화된 데이터 덩어리, TLS handshake 과정, 도메인 정도다. 

그래서 패킷 캡쳐 학습에서는 패킷 내용을 그대로 볼 수 있는 HTTP를 주로 사용한다.

 

 

사용할 네트워크 인터페이스로 en0 선택

 

 

웹 브라우저에서 http://neverssl.com 접속 후, Wireshark에서 캡쳐 중지

http 패킷 필터링 후 확인

 

 

• 내 PC → 서버: GET /online (첫 요청)
• 서버 → 내 PC: 301 Moved Permanently → 리다이렉트 지시
• 내 PC → 서버: GET /online (새로운 호스트 neverssl.com 으로 재요청)
• 서버 → 내 PC: 200 OK (HTML 페이지 전달)
• 내 PC → 서버: GET /favicon.ico (브라우저 자동 요청)
• 서버 → 내 PC: 200 OK (PNG favicon 전달)

 

 

 

1) 패킷 #136

 

source: 내 컴퓨터 -> destination: neverssl 서버

info: GET /online HTTP/1.1

사용자가 브라우저에서 http://neverssl.com/online 페이지를 요청함

(브라우저가 자동으로 하위 도메인 astoundingsoothingfinemelody.neverssl.com 을 사용)

 

2) 패킷 #139

 

source: neverssl 서버 -> destination: 내 컴퓨터

info: HTTP/1.1 301 Moved Permanently

서버가 요청한 리소스를 301 Moved Permanently로 응답함

즉, 브라우저에게 astoundingsoothingfinemelody.neverssl.com 대신 http://neverssl.com/online

으로 접속하라고 안내함

 

3) 패킷 #144

 

source: 내 컴퓨터 -> destination: neverssl 서버

info: GET /online HTTP/1.1

리다이렉션 응답을 따른 브라우저가 다시 neverssl.com 주소로 /online 페이지 요청.

 

4) 패킷 #155

 

source: neverssl 서버 -> destination: 내 컴퓨터

info: HTTP/1.1 200 OK  Content-Type: text/html

서버가 요청을 정상 처리하여 HTML 페이지 본문을 전송.

 

5) 패킷 #162

 

source: 내 컴퓨터 -> destination: neverssl 서버

info: Get /favicon.ico HTTP/1.1

브라우저가 웹사이트 로딩 시에 favicon(탭 아이콘)을 자동으로 요청함

 

6) 패킷 #165

 

source: neverssl 서버 -> destination: 내 컴퓨터

info: HTTP/1.1 200 OK  Content-Type: image/png

neverssl 서버가 favicon.ico (PNG형식) 전송함