PCAP 분석기

패킷 캡처(.pcap 또는 .pcapng)를 놓으면 처음 10분의 뷰를 얻을 수 있습니다. 바이트를 옮긴 대화, 모든 DNS 질문과 답변, 평문 HTTP 요청, TLS 서버 이름과 JA3 지문, 그리고 암호화되지 않은 채 회선을 건넌 자격 증명의 짧은 목록입니다. 파일은 당신의 기기를 절대 떠나지 않습니다. 이 페이지 안에서 파싱되며 업로드되지 않습니다. 캡처는 증거이고, 증거는 낯선 사람의 서버에 게시하는 것이 아니기 때문입니다.

파일을 이 상자 안 어디에나 놓아도 됩니다. 파싱은 진행 표시와 함께 청크 단위로 이루어지므로, 수 메가바이트 캡처도 탭을 멈추지 않습니다.

처음 10분은 무엇을 위한 것인가

캡처는 보통 서둘러 수집됩니다 — 무언가 느리고, 무언가 잘못된 곳과 이야기하고, 무언가 의심스럽습니다 — 그리고 압박 속에서 열립니다. 질문의 순서가 어떤 단일 답변보다 중요합니다. 대화부터 시작하세요. 바이트 순으로 정렬하면 그 시간 범위에서 실제로 네트워크를 사용한 것이 무엇인지 알 수 있고, 놀라움은 대개 즉시 보입니다. 아무도 모르는 주소와 긴 대화를 이어가는 워크스테이션, 다운로드보다 훨씬 많이 업로드하는 서버, 애초에 있어서는 안 되는 프로토콜. 다음은 DNS입니다. 이름이 곧 의도이기 때문입니다. 호스트가 한 쿼리는 그 호스트가 도달하려 했던 것에 대한, 캡처가 가진 가장 브라우징 기록에 가까운 것이고, 응답은 그 이름들을 오늘 DNS가 해석하는 방식이 아니라 캡처 순간의 주소에 고정합니다. 다음은 TLS 메타데이터입니다. 암호화는 내용을 숨기지, 존재를 숨기지는 않습니다. SNI 이름과 JA3 지문은 어떤 서비스에 연락했는지, 어떤 종류의 클라이언트 소프트웨어가 연결했는지를 여전히 말해 줍니다. 마지막으로 평문 놀라움입니다. HTTP 요청과 자격 증명 경고입니다. 2026년에 수동적 관찰자가 읽을 수 있는 형태로 네트워크를 건너는 비밀번호는, 원래 질문이 무엇이었든, 그 자체로 하나의 사건이기 때문입니다. 동반 가이드인 패킷 캡처의 처음 10분은 그 순서를 워크플로로 따라가며, 분류를 멈추고 대신 Wireshark를 열어야 할 때도 설명합니다.

세 가지 정직한 한계가 이 페이지가 주장하는 바를 결정합니다. 이 페이지는 TCP 스트림을 재조립하지 않습니다. 패킷을 하나씩 읽어 플로로 집계하므로, 캡처가 세그먼트로 나눈 HTTP 요청이나 ClientHello를 놓칠 수 있습니다. 탭이 아니라 호스트에서 수집한 캡처에는 세그먼테이션 오프로드 아티팩트도 나타나며, 가이드는 이 주의 사항을 설명합니다. 이 페이지는 아무것도 복호화하지 않습니다. 키 로그를 붙여넣을 곳이 의도적으로 없습니다. 키 로그는 존재하는 가장 민감한 파일 중 하나이며 웹페이지에 속하지 않기 때문입니다. 그리고 자격 증명 목록은 인식된 패턴의 집합이지 감사가 아닙니다. 경고가 없다고 해서 부재가 증명되지는 않습니다. 이 페이지가 보장하는 것은 데이터 흐름의 방향입니다. 당신의 캡처는 브라우저 탭에서 실행되는 코드가 읽으며, 절대 업로드, 기록, 공유되지 않으므로 분류 자체가 유출이 될 수 없습니다. 운영 중인 서버에서 시작하는 캡처에 대해서는 포트 스캐너가 그 호스트가 노출하는 것을 보여 주고, 이메일 헤더 분석기는 사건 중 도착하는 또 다른 파일 — 의심스러운 메시지 자체 — 를 다룹니다.

자주 묻는 질문

내 캡처 파일은 어디로 가나요?

어디로도 가지 않습니다. 파일은 이 페이지에서, 당신의 기기에서 읽히고 파싱되며, 아무것도 업로드, 전송, 저장되지 않습니다. 파일을 분석할 때 이 페이지는 네트워크 요청을 하지 않습니다. 이는 의도적인 설계입니다. 패킷 캡처는 네트워크에서 가장 민감한 파일 중 하나이기 때문입니다. 내부 주소, 호스트 이름, 그리고 평문 프로토콜에서는 문자 그대로의 자격 증명을 담고 있습니다. 페이지가 로드된 뒤에는 오프라인으로도 동작하는데, 캡처는 어차피 보통 그렇게 읽힙니다. 그것을 수집한 컴퓨터에서, 종종 사건이 진행되는 도중에 말입니다.

어떤 캡처 형식과 링크 유형이 지원되나요?

마이크로초 또는 나노초 타임스탬프를 가진, 어느 엔디안이든 가능한 고전적인 PCAP와 PCAPNG — 섹션, 인터페이스, 향상된 패킷 및 단순 패킷 블록, 그리고 기록된 이름이 요약에 표시되는 이름 확인 블록 — 입니다. 링크 유형: Ethernet(VLAN 태그 프레임 포함), raw IP, BSD 루프백, Linux cooked SLL 및 SLL2. IPv4와 IPv6, TCP, UDP, ICMP가 디코딩됩니다. 다른 링크 유형은 프로토콜 구성에 집계되지만 디코딩되지 않으며, 요약은 침묵하지 않고 그 사실을 말합니다.

무엇을 할 수 없나요?

세 가지 한계를 분명히 말합니다. TCP 스트림을 재조립하지 않습니다. 분석은 패킷 단위와 플로 단위 집계이므로, 세그먼트로 나뉜 ClientHello나 HTTP 요청을 놓칠 수 있습니다. 아무것도 복호화할 수 없습니다. TLS와 기타 암호화 트래픽에서는 메타데이터(서버 이름, ALPN, JA3)만 얻을 수 있고, 내용은 절대 얻을 수 없습니다. 그리고 자격 증명 발견은 목격 기록이지 건강 증명서가 아닙니다. 인식하는 평문 패턴(HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, telnet)에 표시를 하지만, 표시가 없다고 해서 검사하지 않는 프로토콜에 대해 아무것도 증명되지 않습니다. 깊은 작업 — 스트림 따라가기, 프로토콜 디섹터, 키 로그를 이용한 복호화 — 에는 Wireshark를 사용하세요. 이 페이지는 처음 10분이지, 조사 전체가 아닙니다. 동반 가이드인 패킷 캡처의 처음 10분이 그 분류 순서를 설명합니다.

TLS 연결에 표시되는 JA3 지문이란 무엇인가요?

JA3는 ClientHello에서 TLS 클라이언트를 지문화하는 표준 방법입니다. TLS 버전, 암호 스위트, 확장, 타원 곡선, 포인트 형식을 (GREASE 값을 제거하고) 십진수로 순서대로 나열해 하나의 문자열로 결합한 뒤 MD5로 해시합니다. 같은 라이브러리와 설정을 가진 두 클라이언트는 같은 JA3를 만듭니다. 스캐너나 맬웨어 제품군에는 특징적인 것이 있는 경우가 많습니다. 이는 클라이언트 소프트웨어의 습관을 식별하는 것이지 사용자를 식별하는 것이 아니며, 라이브러리가 업데이트되면 바뀝니다. 신원이 아니라 클러스터링 단서로 취급하세요.

얼마나 큰 캡처를 열 수 있나요?

최대 25MB 파일입니다. 이 상한은 의도적입니다. 파일 전체와 분석 구조가 탭의 메모리에 들어가고, 데스크톱 브라우저는 이를 편안하게 처리하지만 휴대폰은 그렇지 않을 수 있습니다. 테스트에서는 약 90,000개 패킷의 10MB 캡처가 약 1초 만에 파싱되었습니다. 더 큰 경우에는 캡처 시점에 필터링하거나, 자신의 컴퓨터에서 editcap/tcpdump로 필터링한 뒤 — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — 그 조각을 여기로 가져오세요.