Wiresharkの使い方メモ【マルウェア解析】

# 環境
```
os:windows10
```

# カラム（表示列）の設定
## デフォルトカラム
- No
- Time
- Source
- Destination
- Protocol
- Length

## 追加するカラム
- Source port(unresolved)
- Destination port(unresolved)

### カスタムカラム
- HTTP host
- HTTPS server

## 追加方法
1. カラム名で右クリック=>「列の設定(Column Preferences)」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/f5bf154b-5f1d-8d09-1c3b-ac0e17537407.png)
2. 設定ウィンド左下の「+」ボタンから列を追加
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/1b6a5510-9209-18e6-8ceb-a5e18a36d356.png)


## 追加方法`HTTP host`（カスタムカラム）
1. フィルタ`http.request`で絞る
1. 詳細ウィンドウのHyper Transfer Protocol内のHostを右クリック=>「列として適用」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/8c6322b0-61a5-32f0-64d1-e16ddb1d6454.png)

# フィルタ
## ルール
- 複数のフィルタを利用
    - `==`，`or`,`and`
    - `!=`は使えない．`!(ip.addr == 192.**.**.**)`とする．
- 入力後のfilterツールバーの色
    - 緑：正しい
    - 黄：意図しない可能性がある
    - 赤：利用できない

## メモ
- よく使うフィルタはフィルタツールバーの右側のフィルタボタンとして追加しておくと便利
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/d2edacae-47af-5c27-75f0-c25d82077b00.png)
    - 参考[2]でのフィルターボタン
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/a18a5848-e319-11d4-edce-fb894cdd11a8.png)

## よく使う？フィルタ(Filter)
- `http.request`：HTTP GETメソッドのパケットのURL
- `tls.handshake.type == 1`：HTTPSまたはSSL/TLSトラフィックのドメイン名
- `!(ssdp)`
    - 1900/udp経由のHTTPトラフィックはSSDP(Simple Service Discovery Protocol)が生成しているもので､SSDPはプラグ アンド プレイ デバイス検出に使用されているプロトコルです｡この1900/udpの通信はいわゆる一般的なwebトラフィックとは関連しないものなので､表示されてほしくありません｡(参考[2]より)
- `tcp.flags == 0x0002`：TCP SYNセグメント
    - 感染したホストが、オフラインのサーバーやTCP接続を拒否するサーバーに接続を試みていた可能性もあるのです。こうした接続試行の様子は、フィルタに「tcp.flags eq 0x0002」を追加してTCP SYNセグメントを含めれば表示することができます。（参考[2]より）
- `ftp`
    - Pポート21経由のFTP制御チャネルを確認するときにftpをフィルタとして使用､感染ホストから取得したファイル名を見つける．（参考[2]）
- `smtp`
    - 暗号化されていなSMTPトラフィックを探す．
        - `smtp contains "From:"`
        - `smtp contains "Message-ID:"`
        - `smtp contains "Subject:"`
- Macアドレス,IPアドレス，host nameの確認[3]
    - `dhcp`
    - `nbns`

# パケットリストの見方・使い方
- パケットリストで黒色のパケットは接続試行したがサーバーからの応答がない．
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/a458dafb-c3e7-7370-e8da-b3579244d20a.png)

- requestとresponsの関係はクリックしたときにあらわれる左側の矢印でわかる
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/447c29e0-0135-d6a8-79d9-942cf3376340.png)
    - 必ずしもrequestした順にresponsが返ってくるわけではない．
- パケットにマークできる．（色を付けられる）
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/dab354f4-e9a8-24a7-9c30-9d517df0c5ea.png)
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/e8bac10e-e697-eca8-5a98-f85a23674d34.png)
- パケットにコメントできる
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/2f42211e-7c5d-4dd4-28e8-bd46af7e6725.png)
    - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/6ba234eb-8d09-bd0f-5432-6e9c7b380919.png)
    - 詳細ウィンドウにコメントが追加される ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/37d250a9-6305-268b-a513-c4d7c45e468f.png)






# その他メモ
- HTTPリクエストのヘッダを確認することでOSとブラウザを確認できる．[3]

# 参考
## パロアルトネットワークス
1. https://www.paloaltonetworks.jp/company/in-the-news/2019/unit42-customizing-wireshark-changing-column-display
1. https://www.paloaltonetworks.jp/company/in-the-news/2019/using-wireshark-display-filter-expressions
1. https://www.paloaltonetworks.jp/company/in-the-news/2019/using-wireshark-identifying-hosts-and-users
1. https://www.paloaltonetworks.jp/company/in-the-news/2019/using-wireshark-exporting-objects-from-a-pcap

# これから見ようと思っている記事
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-examining-trickbot-infections/
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-examining-ursnif-infections/
- https://unit42.paloaltonetworks.jp/tutorial-qakbot-infection/
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-decrypting-https-traffic/
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-dridex-infection-traffic/
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-emotet-infection/
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-decrypting-rdp-traffic/
- https://unit42.paloaltonetworks.jp/wireshark-tutorial-hancitor-followup-malware/