Wireshark達人への道 第十七歩 SMB1のフォルダ削除を追跡

Wireshark達人への道 第十六歩 共有フォルダ削除したのだれ?」、「NURO光 ZTE F660Aでファイル共有が突然できなくなったら読んでください」と説明してきましたので、SMB3だけではなくSMB1のフォルダ削除追跡方法もご紹介します。

古いNASやNURO光のZTE F660Aを使っている方は、今だSMB1を使っている場合がありますので、2020年5月現在でも無益な知識ではないと思います。

ZTE F660Aに接続したUSBキーを\\smbshareとして共有できるというところまで、「NURO光 ZTE F660Aでファイル共有が突然できなくなったら読んでください」の記事で説明させていただきました。

それでは、\\smbshareにフォルダとファイルを作成し、SMB3の様にフォルダを削除したことが追跡できるかを試してみましょう。

最後に、復習もかねて「Wireshark達人への道 第一歩 ファイル復元」の知識を使ってフォルダとファイルの復元ができるかを試してみましょう。

フォルダとファイルの構成は以下とします。

\\smbshare\samba\deletion\hogemoge.txt

筆者の検証環境では、SMB3と異なりフォルダの作成や削除を捕捉するにはSMBのコマンドコードを利用するのが吉でした。

プラットフォームやバージョンによって、コマンドコードが異なります。こちらの@ITさんのサイトをご一読ください。

以下に今回利用したSMB1のコマンドコードを記載します。

番号コマンド名意味
0x01SMB_COM_DELETE_DIRECTORYフォルダの削除
表1 SMB1のコマンドコード

図1が0x01を表示フィルタにかけた画像です。deletionフォルダを削除したのが捕捉できています。

図1 フォルダの削除コマンドコードでフィルタ

最後にフォルダとファイルを復元してみましょう。

Wireshark達人への道 第一歩 ファイル復元」で紹介したrawデータからの復元とは異なり、SMBの復元はメニューがあります!

図2 SMBの復元
図3 SMBの復元2

ファイル名が、“%5Cフォルダ名%5Cファイル名”で復元されました。(%5Cは、バックスラッシュの意味です )

フォルダごとの復元は対応していないようですが、フォルダ名ファイル名は判別できるので手動編集で対応しましょう。

フォルダごと奇麗に復元する方法があれば、ご教示ください。

(Visited 655 times, 1 visits today)
The following two tabs change content below.
【好きなもの】 インフラ技術が好き。古いものが好き。 【生きてきたフィールド】 システム運用、ソフトウェア開発、ミドルウェア検証、OSSサポート、プリセールスエンジニア、プロジェクトマネジメント 【このサイトでの役割】 サイト管理者。