Wireshark達人への道第十七歩 SMB1のフォルダ削除を追跡

古いNASやNURO光のZTE F660Aを使っている方は、今だSMB1を使っている場合がありますので、2020年5月現在でも無益な知識ではないと思います。

ZTE F660Aに接続したUSBキーを\\smbshareとして共有できるというところまで、「NURO光 ZTE F660Aでファイル共有が突然できなくなったら読んでください」の記事で説明させていただきました。

それでは、\\smbshareにフォルダとファイルを作成し、SMB3の様にフォルダを削除したことが追跡できるかを試してみましょう。

最後に、復習もかねて「Wireshark達人への道第一歩ファイル復元」の知識を使ってフォルダとファイルの復元ができるかを試してみましょう。

フォルダとファイルの構成は以下とします。

\\smbshare\samba\deletion\hogemoge.txt

筆者の検証環境では、SMB3と異なりフォルダの作成や削除を捕捉するにはSMBのコマンドコードを利用するのが吉でした。

プラットフォームやバージョンによって、コマンドコードが異なります。こちらの@ITさんのサイトをご一読ください。

以下に今回利用したSMB1のコマンドコードを記載します。

番号	コマンド名	意味
0x01	SMB_COM_DELETE_DIRECTORY	フォルダの削除

表1 SMB1のコマンドコード

図1が0x01を表示フィルタにかけた画像です。deletionフォルダを削除したのが捕捉できています。

最後にフォルダとファイルを復元してみましょう。

「Wireshark達人への道第一歩ファイル復元」で紹介したrawデータからの復元とは異なり、SMBの復元はメニューがあります！

ファイル名が、“%5Cフォルダ名%5Cファイル名”で復元されました。（%5Cは、バックスラッシュの意味です）

フォルダごとの復元は対応していないようですが、フォルダ名ファイル名は判別できるので手動編集で対応しましょう。

フォルダごと奇麗に復元する方法があれば、ご教示ください。

(Visited 671 times, 1 visits today)

【好きなもの】インフラ技術が好き。古いものが好き。【生きてきたフィールド】システム運用、ソフトウェア開発、ミドルウェア検証、OSSサポート、プリセールスエンジニア、プロジェクトマネジメント【このサイトでの役割】サイト管理者。

Wireshark達人への道　第十七歩 SMB1のフォルダ削除を追跡