☰

Wireshark/PCAP XML 속성 설명

tag-icon • tag-icon wireshark xml pcap
Wireshark/PCAP XML 속성 설명

다음 명령을 사용하여 Wireshark 덤프에서 XML 형식의 출력을 생성합니다.

tshark -r my_wireshark_data.pcap -T pdml > my_wireshark_data.xml

생성된 XML 파일을 보면 다음의 의미를 알 수 없습니다.포스그리고크기어디에서나 나타나는 속성입니다. 누구든지 설명하거나 문서에 대한 링크를 제공할 수 있습니까?

출력 스니펫:

<pdml version="0" creator="wireshark/1.10.14" time="Mon Jun 20 15:27:45 2016" capture_file="my_wireshark_data.pcap">
<packet>
  <proto name="ip" ...>
    <field name="ip.version" showname="Version: 4" size="1" pos="14" show="4" value="45"/>
  </proto>
</pdml>

또한:

왜?값45대신에 로 설정 4?

차이점은 무엇 입니까?표시 이름그리고보여주다?

답변1

누구든지 설명하거나 문서에 대한 링크를 제공할 수 있습니까?

값이 4가 아닌 45로 설정된 이유는 무엇입니까?

  • value(45)는 이 필드가 다루는 실제 패킷 데이터(16진수)입니다.

  • show(4)는 패킷 데이터의 표현이다. ( value)디스플레이 필터에 표시되는 것과 같습니다.

쇼네임과 쇼의 차이점은 무엇인가요?

  • showname프로토콜 트리에서 이 필드를 설명하는 데 사용되는 레이블입니다.

    이는 일반적으로 프로토콜을 설명하는 이름이며 그 뒤에 value.

  • show(4)는 패킷 데이터의 표현이다. ( value)디스플레이 필터에 표시되는 것과 같습니다.(이 경우 버전 번호)

" <field>" 태그

" <field>" 태그에는 다음과 같은 속성이 있을 수 있습니다.

  • name- 필드의 표시 필터 이름
  • showname- 프로토콜 트리에서 이 필드를 설명하는 데 사용되는 레이블입니다. 이는 일반적으로 프로토콜을 설명하는 이름이며 그 뒤에 값이 표시됩니다.
  • pos- 이 필드가 시작되는 패킷 데이터 내의 시작 오프셋
  • size- 이 필드가 다루는 패킷 데이터의 옥텟 수.
  • value- 이 필드가 다루는 실제 패킷 데이터(16진수)
  • show- 디스플레이 필터에 나타나는 패킷 데이터('값')의 표현입니다.

일부 해부자는 필드 이름이 있는 필드를 사용하지 않고 프로토콜 트리에 텍스트를 배치하는 경우가 있습니다. 이는 PDML에서 <field>'name' 속성은 없지만 해당 텍스트를 제공하는 'show' 속성이 있는 " " 태그로 나타납니다.

원천XML 형식의 프로토콜 분석

관련 정보