PacketInside / 네트워크 패킷 분석 블로그: 윈도우에서 마우스한번으로 패킷파일(PCAP)을 빠르고 쉽게 분할하여 보자!

이전 포스팅에서 패킷파일을 자르기 위한 방법을 몇 가지 소개하였다. 유닉스 기반에서는 주로 콘솔 기반에서 사용하다 보니 명령어를 하나 호출하여 사용하면 금방 되지만 GUI 환경으로 주로 사용하는 윈도우에서는 패킷 파일 한번 자르려면 도스창을 열어야 하고 귀챦은 점이 있다. 간단한 방법을 통해 한번에 이 문제를 해결할 수 있는 방법을 소개하고자 한다.

[과거 PCAP 분할과 관련된 글]

2010/05/05 Rigel TCP, UDP 세션별로 패킷(PCAP) 파일 분할하기
2010/01/27 Rigel 100 기가 가 넘는 패킷 파일이라고 ?
2010/01/19 Rigel pcap-util 을 이용한 또 다른 패킷 분할 방법
2010/01/18 Rigel 분석할 패킷 데이터 크기가 큰 경우는 이렇게 하자!

어떤 방법이 가장 쉬울까 하고 생각해 보았더니, 오른쪽 마우스를 클릭했을때 메뉴로 등록하는 것이 가장 빠른 방법 같았다. 오른쪽 마우스를 클릭했을때 나타나는 메뉴는 레지스트리를 수정하는 것만으로도 쉽게 만들 수 있으므로, 가장 최적의 방법이다.

우선, 여기서는 와이어샤크에 기본으로 포함되어 있는 editcap.exe 를 사용할 것이다. 그러므로 어느 경로에서나 실행될 수 있도록 패스 경로에 넣어두는 것이 필요하다. 어느 경로에서나 editcap 을 실행할 수 있다면 일단 기본 준비는 완료되었다. 그 다음은 레지스트리를 수정하는 것이다.

1. regedit 를 실행

2. HKEY_CLASSES_ROOT\*\Shell 아래에 내가 원하는 것을 만들어 넣으면 메뉴로 쉽게 추가가 가능하다.

그리고 다음의 명령어를 실행하는 것이다.

editcap.exe -c 300000 %1 %1_split.pcap

-c 옵션은 패킷 파일당 30만개씩을 넣는 것이고, %1 은 받아들이는 인자명이다. 즉, 이 명령어를 실행하면 패킷파일을 30만개씩 나누라는 것이다. 자 그럼 레지스트리에 등록하는 것으로 끝이난다. 막상 레지스트리 찾아서 입력하려고 하면 귀챦다. 그래서 아래와 같이 자동으로 입력될 수 있도록 만들어 보았다.

;
; "Spliting Network Packet File(PCAP) - SplitCap"
; Are you looking for packet information? please visit following site.
; http://packetinside.com
; written by Rigel

[version]
signature="$CHICAGO$"

[SplitCapInstall]
AddReg = SplitCap.Reg

[DefaultInstall]
AddReg = SplitCap.Reg

[SplitCap.Reg]
HKCR,*\Shell\SplitCap,,,"%SplitCapName%"
HKCR,*\Shell\SplitCap\command,,,"cmd.exe /c editcap.exe -c 300000 %1 %1_split.pcap"

[Strings]
SplitCapName="SplitCap"

위 내용을 splitcap.inf 파일로 저장하자. (또는 splitcap.inf 다운로드) 그리고 저장한 splitcap.inf 에서 오른쪽을 클릭하면 Install 또는 설치 라는 메뉴를 볼 수 있다. 선택을 해주면 자동으로 레지스트리에 삽입이 된다.

splitcap.inf