rmote packet capture protocol を使って見る

Remote Packet Capture Protocol サービスを使う

Murachi Akira aka hebikuzure

This work is licensed under a Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International License.

About me 村地　彰 aka hebikuzure http://www.murachi.net/ http://www.hebikuzure.com/ https://hebikuzure.wordpress.com/ Microsoft MVP (Internet Explorer) Apr. 2011 ～

2015/8/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #312

Remote Packet Capture Protocol サービス


WinPcap のインストールで同時にインストールされるWindows サービス

WinPcap でキャプチャしたパケットデータをネットワーク上に転送するサービス詳細情報はこちら

https://www.winpcap.org/docs/docs_40_2/html/group__remote.html

ちなみに WinPcap の歴史


オリジナルトリノ工科大学（ Politecnico di Torino ）で開発商用版開発者によって設立された CACE Technologies から提供現在

CACE Technologies が Riverbed Technology に買収されたので、 Riverbed Technology が提供元 Riverbed Technology は Wireshark Foundation のスポンサーでもある日本法人あり

http://jp.riverbed.com/contact/

https://www.cacetech.com/

https://www.cacetech.com/

http://www.riverbed.com/

RPCAP Protocol サービス


ドキュメントは古いが、ソフトウェアは更新済み

https://www.winpcap.org/docs/docs_40_2/html/group__remote.html

RPCAP の動作モード


Passive Mode （既定） RPCAP は指定したポートで待ち受けキャプチャするクライアントがネットワーク経由で接続クライアントからのコマンドでキャプチャと転送 Wireshark はこのモードで利用可能

Active Mode RPCAP 起動時に指定したクライアントに接続クライアントが待ち受けている必要ありクライアントからのコマンドでキャプチャと転送サポートするクライアントが実質無い（？）

RPCAP の起動（ GUI ）


[ サービス ] の管理コンソール（ services.msc ）で “ Remote Packet Capture Protocol v.0 (experimental)” を開く

[ 開始 ] をクリック

RPCAP の起動（コマンド）


管理者コマンドプロンプトを起動 sc start rpcapd

RPCAPD の停止


[ サービス ] の管理コンソール（ services.msc ）で “ Remote Packet Capture Protocol v.0 (experimental)” を開き [ 停止 ] をクリック

管理者コマンドプロンプトでsc stop rpcapdを実行

サービスの構成


レジストリHKLM\SYSTEM\CurrentControlSet\services\rpcapd

ImagePath 値（ REG_EXPAND_SZ ）起動コマンドラインを指定環境変数（ %ProgramFiles(x86)% ）が利用可能

Start 値スタートアップの種類

Start 値


データ定義動作0 SERVICE_BOOT_START ブート（ドライバー）1 SERVICE_SYSTEM_START 起動（ドライバー）2 SERVICE_AUTO_START 自動（サービス）3 SERVICE_DEMAND_START 手動（サービス）4 SERVICE_DISABLED 無効

既定の設定


Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\rpcapd]“Type”=dword:00000010“Start”=dword:00000003“ErrorControl”=dword:00000001“ImagePath”=hex(2):22,00,25,00,50,00,72,00,6f,00,67,00,72,00,61,00,6d,00,46,00,\ 69,00,6c,00,65,00,73,00,28,00,78,00,38,00,36,00,29,00,25,00,5c,00,57,00,69,\ 00,6e,00,50,00,63,00,61,00,70,00,5c,00,72,00,70,00,63,00,61,00,70,00,64,00,\ 2e,00,65,00,78,00,65,00,22,00,20,00,2d,00,64,00,20,00,2d,00,66,00,20,00,22,\ 00,25,00,50,00,72,00,6f,00,67,00,72,00,61,00,6d,00,46,00,69,00,6c,00,65,00,\ 73,00,28,00,78,00,38,00,36,00,29,00,25,00,5c,00,57,00,69,00,6e,00,50,00,63,\ 00,61,00,70,00,5c,00,72,00,70,00,63,00,61,00,70,00,64,00,2e,00,69,00,6e,00,\ 69,00,22,00,00,00“DisplayName”=“Remote Packet Capture Protocol v.0 (experimental)”“WOW64”=dword:00000001“ObjectName”=“LocalSystem”"Description"="Allows to capture traffic on this machine from a remote machine."

ちなみに


Type 値 0x1 （ 1 ）デバイスドライバー 0x2 （ 2 ）カーネルモードのファイルシステムドライバ 0x10 （ 16 ）サービス（オウンプロセス） 0x20 （ 32 ）サービス（共有プロセス）

RPCAP の起動オプション


rpcapd [-b <address>] [-p <port>] [-6] | [-4][-l <host_list>] [-a <host,port>] [-n] [-v] [-d] [-s <file>] [-f <file>]

-b <address>


RPCAP がバインドされる IP アドレス既定値はすべての IPv4 アドレスと IPv6 アドレス

-p <port>


RPCAP がバインドされるポート番号既定は 2002

[-6] | [-4]


IPv6 アドレスのみバインド | IPv4 アドレスのみバインド既定値はすべての IPv4 アドレスと IPv6 アドレス

-l <host_list_file>


RPCAP の接続を許可するホストのリスト 1 行に 1 つのホスト名を記述したテキストファイルを指定 IP アドレスでも DNS 名でも可（推奨はホスト名）

-n


匿名アクセスを許可 -l オプションで接続可能ホストを指定している場合のみの設定が推奨される既定は匿名アクセス無効（実行ホストで認証できるユーザー名とパスワードが必要）

-a <host, port>


アクティブモードで起動し、host, portに接続を開始する

このモードで起動した場合も、パッシブモードでの接続は可能

-v


アクティブモードのみの動作を強制する - a オプションが指定されている場合でも、パッシブモードでの接続は不可

-d


RPCAP をバックグラウンドでサービスとして実行 WinPcap をインストールしたときに登録される

RPCAP の既定値

-s <file>


現在の RPCAP の設定を file に保存

-f <file>


file から設定をロードファイルから読み込んだ設定が優先され、他のスイッチは無視される

-h


ヘルプの表示

アクティブモード


サポートしている（アクティブモードのクライアントとして動作する）キャプチャツールはhttp://netgroup.polito.it/toolsの “ Analyzer” しか紹介されていない

“Analyzer” は開発停止の模様こちらから入手は可能

http://ftp.tuwien.ac.at/.vhost/analyzer.polito.it/30alpha/

http://netgroup.polito.it/tools

http://netgroup.polito.it/tools




リモートマシンでのキャプチャー開始


file://filename ローカルファイルのオープンrpcap://host.foo.bar/adaptername 既定のポートでリモートアダプターのオー

プンrpcap://host.foo.bar:1234/adaptername

ポート番号を指定してリモートアダプターのオープン

rpcap://10.11.12.13/adaptername 既定のポートでリモートアダプターのオープン

rpcap://10.11.12.13:1234/adaptername


rpcap://[10.11.12.13]:1234/adaptername


rpcap://[1:2:3::4]/adaptername 既定のポートでリモートアダプターのオープン（ IPv6 ）

rpcap://[1:2:3::4]:1234/adaptername ポート番号を指定してリモートアダプターのオープン（ IPv6 ）

rpcap://adaptername RPCAP プロトコルを使用せずローカル　アダプターをオープン

Windows インストールの既定の起動オプション


%ProgramFiles(x86)%\WinPcap\rpcapd.exe” -d -f “%ProgramFiles(x86)%\WinPcap\rpcapd.ini

RPCAP をサービスとしてバックグラウンドで実行同じディレクトリの rpcapd.ini から設定を読み込み

既定の rpcapd.ini


既定では rpcapd.ini は存在していないサンプル rpcapd.ini.org

# Configuration file help.

# Hosts which are allowed to connect to this server (passive mode)# Format: PassiveClient = <name or address>

# Hosts to which this server is trying to connect to (active mode)# Format: ActiveClient = <name or address>, <port | DEFAULT>

# Permit NULL authentication: YES or NOTNullAuthPermit = NO

リモートキャプチャツールの実例


RPCAP によるリモートパケットモニターhttp://codezine.jp/article/detail/219 実行ファイル

http://codezine.jp/article/download/324 ダウンロードソースファイル

http://codezine.jp/article/download/325 Analyzer

http://ftp.tuwien.ac.at/.vhost/analyzer.polito.it/30alpha/download.htm Active モードに対応したパケットキャプチャ / アナライズツール開発終了してるので、古い

http://codezine.jp/article/detail/219

http://codezine.jp/article/detail/219

http://codezine.jp/article/download/324




http://ftp.tuwien.ac.at/.vhost/analyzer.polito.it/30alpha/download.htm

http://ftp.tuwien.ac.at/.vhost/analyzer.polito.it/30alpha/download.htm

DEMO
