Wiresharkでキャプチャを作成したマシンのIPアドレスはどのようにして見つけることができますか？

Question

基本的には、前に作成したキャプチャを見てWiresharkを使用しています。キャプチャを作成したマシンのIPアドレスはどのようにして確認できますか？

Answer 1

パケットをキャプチャするための確実な方法はありませんが、ユーザは「混合モード」になります。これは、インタフェースによって検出されたすべてのパケットがキャプチャされる状態です。したがって、ネットワークトポロジでどこに住んでいるか分からない限り、パケットをキャプチャする人がどのパケットを宛先としているかを判断する方法はありません。たとえば、ワイヤレスクライアントがパケットを宛先に指定しない同じルータに接続されている場合、有線クライアントによって送信されるインターネットの場合）。

さらに、キャプチャのコンピュータ上で実行されているサービスをいくつか知っていた場合、そのアドレスでそのサービスのために多くのパケットがキャプチャされたという事実に基づいて、ユーザーのIPアドレスを合理的に判断できます。

Answer 2

キャプチャホストがスニッフィングを実行している同じインターフェイスでトラフィックを受信して​​いる場合は、ホストのIPアドレスからのTCP確認応答RTTが非常に低くなることが予想されます。これは、RTTタイマーがパケットとそれに対応する確認応答を見るまでの時間を測定し、ホストのTCPスタックがACKを瞬時に送信する必要があるためです（重大な負荷がかかっている場合を除く）。

RTTが〜50マイクロ秒未満の場合、ほぼ確実にキャプチャホストから発信されます。

Wiresharkでは、私はTCP acknowledgement round-trip-time（tcp.analysis.ack_rtt）フィルタをカスタム列として追加し、この列をソートして最小値を見つけます。

私のマシンでは、tcp.analysis.ack_rtt時間が15us未満です。私は、InfiniBandのような低レイテンシのネットワークでさえ、ホストとホストの間にこのような低い時間を与えないと信じています。

Answer 3

...

一切保証方法はありません。しかし、コンピュータによるパケットoriginatsをキャプチャするために使用した場合、いくつかの指標があります。これには、キャプチャフィルタがこれらのパケットを除外しないことが必要です。

背景：パケットはネットワークアダプタを離れる前にキャプチャされます。

あなたは推測のための基盤を持っているよりも、これらのプロパティのいずれかを持っているのパケット表示された場合：

• をパケットが64バイトより短いので、RUNT packetsを呼び出します。小さなパケットは、ネットワークコントローラによって自動的に拡張されます。だからあなたはめったに小さなパケットを受信しません。
• すべてのIPヘッダーチェックサムはゼロです。これらは送信中に適応されます。

これらのチェックサムを環境設定で正しく表示しないようにWiresharkを設定できます。このリストを拡張するためにそのような（偽の）エラー指示を無効にする他のプリファレンスを探します。

Answer 4

可能な方法

かなり良い方法は、IPパケットのTTL値を確認になります。べきで撮影が行われたマシンによって送信され

パケット：

• は、送信されたパケットのIPヘッダのソース・フィールドは、そのIPアドレスに設定されています。
• には、送信パケットのIPヘッダーのTTLフィールドがOSs default TTL valueに設定されています。 （あなたがわからない場合、それはある推測whcih OSを作成する必要があります。）

relevant information about TTL from this wikipedia page：

TTLフィールドは、データグラムの送信者によって設定され、その宛先へのルート上のすべてのルータによって削減されます。データグラムがその目的地に到着する前にTTLフィールドがゼロに達した場合、データグラムは

例を破棄さ

例えば、以下のアドレスでのWindows 10マシン上で行われた捕捉192.168 .1.72。 すべてのTTLが128であることがわかります。これとは対照的に

フィルタがip.dst == 192.168.1.72に設定されている場合、あなたは送信者が192.168.1.72であることを強調し異なるのTTLのすべての種類を取得。