Wireshark — анализатор сетевого трафика

10 советов по использованию Wireshark для анализа пакетов данных

Системные и сетевые инженеры занимаются обеспечением безопасности и устранением неполадок в сети. Для выполнения этих задач используются программы-анализаторы сетевых пакетов.

Wireshark — самый популярный из них благодаря своей универсальности и простоте использования. Также, Wireshark позволяет не только отслеживать трафик в режиме реального времени, но и сохранять его в файл для последующего просмотра.

Установка Wireshark в Linux

Скачать Wireshark можно здесь.

Wireshark должен быть доступен непосредственно из репозиториев вашего дистрибутива для более легкой установки. Хотя версии программы могут отличаться, но параметры и меню должны быть одинаковыми в каждой версии.

Eсли вы не используете sudo для запуска Wireshark в Debian, возникнет известная ошибка и её последствия, которые могут препятствовать листингу сетевых интерфейсов.

После запуска Wireshark вы можете выбрать сетевой интерфейс, который вы хотите контролировать в разделе Capture:

В этой статье мы будем использовать eth0 , но вы можете выбрать другое имя драйвера. Не нажимайте на интерфейс — мы сделаем это, после того, как рассмотрим несколько опций выбора.

Настройка параметров «захвата»

Наиболее полезные опции «захвата»:

  • Сетевой интерфейс . Как мы объясняли ранее, мы будем анализировать только пакеты, проходящие через eth0 , входящие или исходящие.
  • Фильтр захвата. Этот параметр указывает, какой вид трафика мы хотим отслеживать по порту, протоколу или типу.

Прежде чем перейти к советам, важно отметить, что некоторые организации запрещают использование Wireshark в своих сетях.

ЕСЛИ ВЫ НЕ ИСПОЛЬЗУЕТЕ WIRESHARK В ЛИЧНЫХ ЦЕЛЯХ, УБЕДИТЕСЬ, ЧТО ВАША ОРГАНИЗАЦИЯ РАЗРЕШАЕТ ЕГО ИСПОЛЬЗОВАНИЕ.

Выберите eth0 из раскрывающегося списка и нажмите кнопку «Start» в меню. Вы увидите весь трафик, проходящий через этот интерфейс. Не очень полезно для мониторинга из-за большого количества проверенных пакетов, но это только начало.

Значки на скриншоте отображают доступные интерфейсы и позволяют, остановить текущий захват и перезапустить его (красное поле слева), а также настроить и отредактировать фильтр (красное поле справа). Когда вы наведите курсор на одну из этих пиктограмм, появится подсказка, указывающая, что она делает.

СОВЕТ № 1 — проверка HTTP-трафика

Введите http в поле фильтра и нажмите «Apply». Запустите браузер и перейдите на любой сайт, который вы хотите:

Чтобы начать каждый последующий анализ, остановите захват в реальном времени и отредактируйте фильтр параметров съемки.

СОВЕТ №2 — проверка трафика HTTP с заданного IP-адреса

В этой статье мы добавим

в фильтр для отслеживания HTTP-трафика между локальным компьютером и 192.168.0.10:

СОВЕТ №3 — проверка HTTP-трафика на заданный IP-адрес

Этот пункт тесно связан с советом №2, в этом случае мы будем использовать ip.dst как часть фильтра захвата:

Объединяя советы №2 и №3, вы можете использовать ip.addr в правиле фильтрации вместо ip.src или ip.dst .

СОВЕТ №4 — Мониторинг трафика Apache и MySQL в сети

При необходимости проверить трафик, который будет соответствовать нескольким условиям. К примеру, чтобы контролировать трафик на портах TCP 80 (веб-сервер) и 3306 (сервер базы данных MySQL / MariaDB), можно использовать условие OR в фильтре захвата:

В советах №2 и №3 символ || и слово or производят одинаковые операции. То же самое с && и словом and .

Совет №5 — Исключение пакетов с заданными IP-адресами

Чтобы исключить пакеты, не соответствующие правилам фильтра, используйте ! и заключите правило в круглые скобки. Например, чтобы исключить пакеты отправляемые из или направляющиеся к заданному IP-адресу, вы можете использовать:

Совет № 6 — Мониторинг трафика локальной сети (192.168.0.0/24)

Следующее правило фильтра будет отображать только локальный трафик и исключать пакеты, адресованные и поступающие из Интернета:

Совет №7 — Отслеживание содержания в TCP conversation

Для того, чтобы проверить содержимое TCP conversation (обмена данными протокола TCP), щелкните правой кнопкой мыши на данном пакете и выберите TCP поток. Появится всплывающее окно с содержанием TCP conversation.

Тут присутствуют HTTP-заголовки, если мы проверяем веб-трафик, а также любые простые текстовые учетные данные, передаваемые в ходе процесса, если таковые имеются.

Совет № 8 — Изменение правил раскраски

Вы уже заметили, что каждая строка в окне захвата окрашена. По умолчанию, HTTP трафик появляется на зеленом фоне с белым текстом, в то время как контрольная проверка ошибок отображается красным цветом текста на черном фоне.

Если вы хотите изменить эти настройки, нажмите на значок «Редактирование правил раскраски», выбрать фильтр и нажмите кнопку «Изменить».

Совет № 9 — Сохранение Capture в файл

Сохранение содержимого захвата позволит иметь возможность проверить его более подробно. Для этого перейдите в меню Файл → Экспорт и выберите формат экспорта из списка:

Совет № 10 — Образцы захвата

Если вы считаете, что ваша сеть «скучна», Wireshark предоставляет ряд образцовых файлов захвата, которые можно использовать на практике. Вы можете загрузить эти Sample Captures и импортировать их с помощью меню Файл → Импортировать.

Спасибо за уделенное время на прочтение статьи!

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University.

сети для гиков

10 окт. 2012 г.

Wireshark: классика анализа сетевых пакетов

(с) А. Бражук. Опубликовано в электронном журнале «Open Source» №095 — 16.11.2011

Введение

В работе компьютерной сети и сетевого стека узлов иногда возникают проблемы, причины которых трудно обнаружить общеизвестными утилитами сбора статистики (такими например, как netstat) и стандартными приложениями на основе протокола ICMP (ping, traceroute/tracert и т.п.). В подобных случаях для диагностики неполадок часто приходится использовать более специфичные средства, которые позволяют отобразить (прослушать) сетевой трафик и проанализировать его на уровне единиц передачи отдельных протоколов («сниффинг», sniffing).

Анализаторы сетевых протоколов или «снифферы» являются исключительно полезными инструментами для исследования поведения сетевых узлов и выявления неполадок в работе сети. Разумеется, как и всякое средство, например острый нож, сниффер может быть как благом в руках системного администратора или инженера по информационной безопасности, так и орудием преступления в руках компьютерного злоумышленника.

Подобное специализированное программное обеспечение обычно использует «беспорядочный» (promiscuos) режим работы сетевого адаптера компьютера-монитора (в частности, для перехвата трафика сетевого сегмента, порта коммутатора или маршрутизатора). Как известно, суть данного режима сводится к обработке всех приходящих на интерфейс фреймов, а не только предназначенных MAC-адресу сетевой карты и широковещательных, как это происходит в обычном режиме.

Рассматриваемый в данной статье продукт Wireshark является широко известным инструментом перехвата и интерактивного анализа сетевого трафика, фактически, стандартом в промышленности и образовании. К ключевыми особенностям Wireshark можно отнести: многоплатформенность (Windows, Linux, Mac OS, FreeBSD, Solaris и др.); возможности анализа сотен различных протоколов; поддержку как графического режима работы, так и интерфейса командной строки (утилита tshark); мощную систему фильтров трафика; экспорт результатов работы в форматы XML, PostScript, CSV и т. д.

Немаловажным фактом является также то, что Wireshark — это программное обеспечение с открытым исходным кодом, распространяемое под лицензией GNU GPLv2, т. е. Вы можете свободно использовать этот продукт по своему усмотрению.

Установка Wireshark

Последнюю версию Wireshark для операционных систем Windows и OS X, а также исходный код можно скачать с сайта проекта. Для дистрибутивов Linux и BSD-систем, данный продукт обычно доступен в стандартных или дополнительных репозиториях. Опубликованные в данной статье снимки экранов сделаны с версии 1.6.2 Wireshark для Windows. Более ранние версии программы, которые можно найти в репозиториях Unix-подобных операционных систем, также можно успешно использовать, так как Wireshark давно уже стабильный и функциональный продукт.

Работа Wireshark базируется на библиотеке Pcap (Packet Capture), предоставляющей собой прикладной интерфейс программирования для реализации низкоуровневых функций взаимодействия с сетевыми интерфейсами (в частности перехвата и генерации произвольных единиц передачи сетевых протоколов и протоколов локальных сетей). Библиотека Pcap является также основой таких известных сетевых средств, как tcpdump, snort, nmap, kismet и т. д. Для Unix-подобных систем Pcap обычно присутствует в стандартных репозиториях программного обеспечения. Для семейства операционных систем Windows существует версия Pcap, которая называется Winpcap. Ее можно скачать с сайта проекта. Впрочем, обычно в этом нет необходимости, так как библиотека Winpcap включена в пакет установки Wireshark для Windows.

Процесс установки программы не сложен для любой операционной системы, с поправкой, разумеется, на специфику используемой Вами платформы. Например, Wireshark в Debian/Ubuntu устанавливается так, что непривилегированные пользователи по умолчанию не имеют права перехватывать пакеты, поэтому программу нужно запускать с использованием механизма смены идентификатора пользователя sudo (или же произвести необходимые манипуляции согласно документации стандартного DEB-пакета).

Азы работы c Wireshark

Пользовательский интерфейс Wireshark построен на основе библиотеки GTK+ (GIMP Toolkit). Главное окно программы включает следующие элементы: меню, панели инструментов и фильтров просмотра, список пакетов, детальное описание выбранного пакета, отображение байтов пакета (в шестнадцатеричной форме и в виде текста) и строку состояния:

Следует отметить, что пользовательский интерфейс программы хорошо проработан, достаточно эргономичен и вполне интуитивен, что позволяет пользователю сконцентрироваться на изучении сетевых процессов, не отвлекаясь по мелочам. Кроме того, все возможности и подробности использования Wireshark детально описаны в руководстве пользователя. Поэтому в этой статье основное внимание уделено функциональным возможностям рассматриваемого продукта, его особенностям в сравнении другими снифферами, например, с известной консольной утилитой tcpdump.

Итак, эргономика Wireshark отражает многоуровневый подход к обеспечению сетевых взаимодействий. Все сделано таким образом, что, выбрав сетевой пакет из списка, пользователь получает возможность просмотреть все заголовки (слои), а также значения полей каждого слоя сетевого пакета, начиная от обертки — кадра Ethernet, непосредственно IP-заголовка, заголовка транспортного уровня и данных прикладного протокола, содержащихся в пакете.

Исходные данные для обработки могут быть получены Wireshark в режиме реального времени или импортированы из файла дампа сетевого трафика, причем несколько дампов для задач анализа можно «на лету» объединить в один.

Проблема поиска необходимых пакетов в больших объемах перехваченного трафика решается двумя типами фильтров: сбора трафика (capture filters) и его отображения (display filters). Фильтры сбора Wireshark основаны на языке фильтров библиотеки Pcap, т.е. синтаксис в данном случае аналогичен синтаксису утилиты tcpdump. Фильтр представляет собой серию примитивов, объединенных, если это необходимо, логическими функциями (and, or, not). Часто используемые фильтры можно сохранять в профиле для повторного использования.

На рисунке показан профиль фильтров сбора Wireshark:

Information Security Squad

Wireshark — очень популярный анализатор сетевых протоколов, через который сетевой администратор может тщательно исследовать поток трафика данных в / из компьютерной системы в сети.

Этот инструмент существует уже довольно давно и предоставляет множество полезных функций.

Одной из этих особенностей является фильтр отображения, через который вы можете отфильтровать захваченный трафик данных на основе различных факторов, таких как протоколы, сетевые порты, IP-адреса и т. д.

В этой статье мы обсудим основы Wireshark и 5 основных фильтров отображения Wireshark, которые каждый новичок должен знать.

Если вы совершенно новичок в Wireshark, сначала загрузите его и установите его в свою систему. Как установить Wireshark

После установки запустите графический интерфейс Wireshark.

Вот пример главного экрана Wireshark:

Первым шагом является выбор интерфейса (на котором должны быть записаны данные), а затем нажмите кнопку «start».

Как только вы нажмете кнопку «start», информация о всех входящих и исходящих пакетах данных (на выбранном интерфейсе) отображается на выходе.

Вы можете щелкнуть любую запись пакета в окне, показанном выше, и посмотреть более подробную информацию, связанную с этим пакетом, отображается в разделе чуть ниже того же окна.

Теперь вернемся к нашей теме. фильтры отображения могут быть введены через текстовое поле «Filter», которое находится чуть выше секции вывода трафика.

Примеры фильтров экрана Wireshark

В этом разделе мы обсудим 5 полезных синтаксисов фильтра выводов

1. Отфильтровать результаты по протоколу

Вы можете легко фильтровать результаты на основе определенного протокола. Например, чтобы отображать только те пакеты, которые содержат протокол TCP, просто напишите имя протокола в текстовом поле фильтра.

Таким образом, вы можете увидеть, что все пакеты, содержащие протоколы TCP, были отображены на выводе.

2. Отфильтровать результаты по порту

Вы также можете фильтровать результаты на основе сетевых портов. Например, чтобы отображать только те пакеты, которые содержат протокол TCP, и имеют порт источника или назначения 80, просто напишите tcp.port eq 80 в окне фильтра.

Вот пример скриншота:

3. Отфильтруйте результаты, основанные на нескольких условиях

Если есть сценарий, в котором вы хотите отображать результаты, основанные на условиях, которые не связаны друг с другом, используйте фильтр or. Например, чтобы отобразить все пакеты, содержащие протокол TCP или DNS, просто напишите tcp or dns в окне фильтра.

Вот пример скриншота:

Таким образом, вы можете увидеть, что на выходе будут отображены пакеты, содержащие протокол TCP или DNS.

Аналогичным образом вы можете использовать фильтр and. Этот фильтр используется там, где вы хотите отображать результаты на основе условий, не связанных друг с другом. Например, чтобы отобразить все пакеты, содержащие TCP, а также HTTP-протокол, просто напишите tcp and http в поле фильтра.

Вот пример скриншота:

Вы можете увидеть, что на выходе будут отображены пакеты, содержащие протокол TCP и HTTP.

4. Отфильтровать результаты по IP-адресам

Для фильтрации результатов на основе IP-адресов используйте фильтры src или dst.

Например, чтобы отображать только те пакеты, которые содержат исходящий IP-адрес 192.168.0.103, просто напишите ip.src == 192.168.0.103 в окне фильтра.

Аналогичным образом, вы можете использовать фильтр dst (ip.dst) для фильтрации пакетов на основе IP-адресов назначения.

5. Отфильтровать результаты на основе последовательности байтов

Иногда требуется проверять пакеты на основе определенной последовательности байтов.

Для этого просто используйте фильтр contains с именем протокола и последовательностью байтов.

На выходе будут отображены пакеты TCP, содержащие байтовую последовательность 00:01:02.

Information Security Squad

Wireshark — очень популярный анализатор сетевых протоколов, через который сетевой администратор может тщательно исследовать поток трафика данных в / из компьютерной системы в сети.

Этот инструмент существует уже довольно давно и предоставляет множество полезных функций.

Одной из этих особенностей является фильтр отображения, через который вы можете отфильтровать захваченный трафик данных на основе различных факторов, таких как протоколы, сетевые порты, IP-адреса и т. д.

В этой статье мы обсудим основы Wireshark и 5 основных фильтров отображения Wireshark, которые каждый новичок должен знать.

Если вы совершенно новичок в Wireshark, сначала загрузите его и установите его в свою систему. Как установить Wireshark

После установки запустите графический интерфейс Wireshark.

Вот пример главного экрана Wireshark:

Первым шагом является выбор интерфейса (на котором должны быть записаны данные), а затем нажмите кнопку «start».

Как только вы нажмете кнопку «start», информация о всех входящих и исходящих пакетах данных (на выбранном интерфейсе) отображается на выходе.

Вы можете щелкнуть любую запись пакета в окне, показанном выше, и посмотреть более подробную информацию, связанную с этим пакетом, отображается в разделе чуть ниже того же окна.

Теперь вернемся к нашей теме. фильтры отображения могут быть введены через текстовое поле «Filter», которое находится чуть выше секции вывода трафика.

Примеры фильтров экрана Wireshark

В этом разделе мы обсудим 5 полезных синтаксисов фильтра выводов

1. Отфильтровать результаты по протоколу

Вы можете легко фильтровать результаты на основе определенного протокола. Например, чтобы отображать только те пакеты, которые содержат протокол TCP, просто напишите имя протокола в текстовом поле фильтра.

Таким образом, вы можете увидеть, что все пакеты, содержащие протоколы TCP, были отображены на выводе.

2. Отфильтровать результаты по порту

Вы также можете фильтровать результаты на основе сетевых портов. Например, чтобы отображать только те пакеты, которые содержат протокол TCP, и имеют порт источника или назначения 80, просто напишите tcp.port eq 80 в окне фильтра.

Вот пример скриншота:

3. Отфильтруйте результаты, основанные на нескольких условиях

Если есть сценарий, в котором вы хотите отображать результаты, основанные на условиях, которые не связаны друг с другом, используйте фильтр or. Например, чтобы отобразить все пакеты, содержащие протокол TCP или DNS, просто напишите tcp or dns в окне фильтра.

Вот пример скриншота:

Таким образом, вы можете увидеть, что на выходе будут отображены пакеты, содержащие протокол TCP или DNS.

Аналогичным образом вы можете использовать фильтр and. Этот фильтр используется там, где вы хотите отображать результаты на основе условий, не связанных друг с другом. Например, чтобы отобразить все пакеты, содержащие TCP, а также HTTP-протокол, просто напишите tcp and http в поле фильтра.

Вот пример скриншота:

Вы можете увидеть, что на выходе будут отображены пакеты, содержащие протокол TCP и HTTP.

4. Отфильтровать результаты по IP-адресам

Для фильтрации результатов на основе IP-адресов используйте фильтры src или dst.

Например, чтобы отображать только те пакеты, которые содержат исходящий IP-адрес 192.168.0.103, просто напишите ip.src == 192.168.0.103 в окне фильтра.

Аналогичным образом, вы можете использовать фильтр dst (ip.dst) для фильтрации пакетов на основе IP-адресов назначения.

5. Отфильтровать результаты на основе последовательности байтов

Иногда требуется проверять пакеты на основе определенной последовательности байтов.

Для этого просто используйте фильтр contains с именем протокола и последовательностью байтов.

На выходе будут отображены пакеты TCP, содержащие байтовую последовательность 00:01:02.

Wireshark 2.6.5 | Снифферы | Анализаторы протоколов

  • Размер: 36.2 Mb
  • Лицензия: Freeware
  • Версия: 2.6.5
  • ОС: Windows
  • Ссылки:сайт производителя

Программа Wireshark (также известная как Ethereal) является анализатором сетевых протоколов, который позволяет фиксировать и исследовать данные сети или записывать их на диск. Цель проекта состоит в том, чтобы создать качественный анализатор пакетов для Unix систем.Читает файлы данных tcpdump, Sniffer Pro, NetXray, MS Network Monitor, Novell’s LanAlyzer и т.п. Поддерживает DNS, FDDI, FTP, HTTP, ICQ, IPV6, IPX, IRC, MAPI, MOUNT, NETBIOS, NFS, NNTP, POP, PPP, TCP, TELNET, X25 и т.д.

Платформы: AIX, FreeBSD, HP-UX, IRIX, Linux, NetBSD, OpenBSD, SCO, Solaris, True64 UNIX, Windows

Функциональность, которую предоставляет Wireshark, очень схожа с возможностями программы tcpdump, однако Wireshark имеет графический пользовательский интерфейс и гораздо больше возможностей по сортировке и фильтрации информации. Программа позволяет пользователю просматривать весь проходящий по сети трафик в режиме реального времени, переводя сетевую карту в неразборчивый режим (англ. promiscuous mode).

Программа распространяется под свободной лицензией GNU GPL и использует для формирования графического интерфейса кроссплатформенную библиотеку GTK+. Существуют версии для большинства типов UNIX, в том числе GNU/Linux, Solaris, FreeBSD, NetBSD, OpenBSD, Mac OS X, а также для Microsoft Windows.

Wireshark — это приложение, которое «знает» структуру самых различных сетевых протоколов, и поэтому позволяет разобрать сетевой пакет, отображая значение каждого поля протокола любого уровня. Поскольку для захвата пакетов используется pcap, существует возможность захвата данных только из тех сетей, которые поддерживаются этой библиотекой. Тем не менее, Wireshark умеет работать с множеством форматов исходных данных, соответственно, можно открывать файлы данных, захваченных другими программами, что расширяет возможности захвата.

ОС: Windows Windows

Программа Wireshark (также известная как Ethereal) является анализатором сетевых протоколов, который позволяет фиксировать и исследовать данные сети или записывать их на диск. Цель проекта состоит в том, чтобы создать качественный анализатор пакетов для Unix систем.Читает файлы данных tcpdump, Sniffer Pro, NetXray, MS Network Monitor, Novell’s LanAlyzer и т.п. Поддерживает DNS, FDDI, FTP, HTTP, ICQ, IPV6, IPX, IRC, MAPI, MOUNT, NETBIOS, NFS, NNTP, POP, PPP, TCP, TELNET, X25 и т.д.

Платформы: AIX, FreeBSD, HP-UX, IRIX, Linux, NetBSD, OpenBSD, SCO, Solaris, True64 UNIX, Windows

Функциональность, которую предоставляет Wireshark, очень схожа с возможностями программы tcpdump, однако Wireshark имеет графический пользовательский интерфейс и гораздо больше возможностей по сортировке и фильтрации информации. Программа позволяет пользователю просматривать весь проходящий по сети трафик в режиме реального времени, переводя сетевую карту в неразборчивый режим (англ. promiscuous mode).

Программа распространяется под свободной лицензией GNU GPL и использует для формирования графического интерфейса кроссплатформенную библиотеку GTK+. Существуют версии для большинства типов UNIX, в том числе GNU/Linux, Solaris, FreeBSD, NetBSD, OpenBSD, Mac OS X, а также для Microsoft Windows.

Wireshark — это приложение, которое «знает» структуру самых различных сетевых протоколов, и поэтому позволяет разобрать сетевой пакет, отображая значение каждого поля протокола любого уровня. Поскольку для захвата пакетов используется pcap, существует возможность захвата данных только из тех сетей, которые поддерживаются этой библиотекой. Тем не менее, Wireshark умеет работать с множеством форматов исходных данных, соответственно, можно открывать файлы данных, захваченных другими программами, что расширяет возможности захвата.

Wireshark 3.0.6

Wireshark — программа-анализатор трафика (сниффер) в режиме реального времени для компьютерных сетей. Wireshark имеет графический пользовательский интерфейс и возможности по сортировке и фильтрации информации. Программа позволяет просматривать весь проходящий по сети трафик, используя широковещательный режим сетевой карты.

Версия 3.0.6
Обновлено 23.10.2019
Размер 51,6 Мб / 56,5 Мб x64
Категория Сети / Wi-Fi
Разработчик Wireshark Foundation
Система Windows 7, Windows 8, Windows 8.1, Windows 10
Интерфейс Английский
Лицензия Бесплатно

Основные возможности Wireshark

  • Анализ трафика компьютерных сетей (Ethernet, FDDI, PPP, Token-Ring и других).
  • Перехват трафика в режиме реального времени.
  • Поддерживает различные сетевые протоколы: DNS, FDDI, FTP, HTTP, ICQ, IPV6, IPX, IRC, MAPI, MOUNT, NETBIOS, NFS, NNTP, POP, PPP, TCP, TELNET, X25. Сохранение и просмотр ранее сохраненного сетевого трафика.
  • Позволяет досконально анализировать сетевые пакеты, отображая значение каждого поля протокола любого уровня.
  • Работа с различными форматами входных данных. Wireshark умеет открывать файлы данных, захваченных другими программами.
  • Импорт и экспорт данных из других пакетных анализаторов. Можно сохранить перехваченные пакеты в форматы других программ.

Wireshark скачать бесплатно

Скачайте Wireshark бесплатно для Windows 7, 8 и Windows 10 с официального сайта Wireshark. Мы отслеживаем все обновления программы для того, чтобы у Вас была последняя версия Wireshark.

Внимание!
На официальном сайте есть только английская версия программы Wireshark! Русская версия Wireshark лежит на неофициальных сайтах и сделана энтузиастами. Для безопасности проверьте русификатор Wireshark и файлы Wireshark на русском языке антивирусной программой!

Wireshark инструкция на русском языке

Достаточно подробно написано о том, как пользоваться программой Wireshark — инструкция на русском языке тут https://cryptoworld.su/wireshark-na-russkom-znakomstvo-s-akuloj/

  1. Yandex Browser
  2. SHAREit
  3. Tor Browser
  4. Total Commander
  5. Opera
  6. Google Chrome
  7. WinRAR
  8. iTunes
  9. ABBYY FineReader
  10. Skype
  11. Zona
  12. Viber
  13. Dr.Web CureIt!
  14. CCleaner
  15. SketchUp
  16. WhatsApp
  17. PaintTool SAI
  18. Victoria HDD
  19. UC Browser
  20. Kaspersky Anti-Virus
  21. Avast Free Antivirus

Wireshark: Анализ трафикa в Linux и Windows


Wireshark: как пользоваться?

Здравствуйте друзья! В этой статье я попытаюсь объяснить и рассказать о самом необходим, что нужно знать при использовании Wireshark на Linux, и покажу анализ трёх типов сетевого трафика. Данный мануал применим и для работы Wireshark под Windows.

Если вы новичок в информационной безопасности, и совсем хорошо понимаете что такое сниффер (анализатор трафика), советую почитать статью Что такое сниффер, и только потом читать эту статью о том как пользоваться Wireshark.

Wireshark — очень популярный и чрезвычайно умелый анализатор сетевого протокола, который разработал Джеральд Комбс [Gerald Combs], Wireshark появился в июне 2006 г., когда Комбс переименовал сетевой инструмент Ethereal, также созданный им, поскольку сменил работу и не мог больше использовать старое название. Сегодня большинство используют Wireshark, a Ethereal сделался историей.

Wireshark: лучший сниффер

Вы, возможно, спросите, чем Wireshark отличается от других сетевых анализаторов — кроме того, что он свободный — и почему бы нам просто не начать пропагандировать применение tcpdump для захвата пакетов?

Основное преимущество Wireshark в том, что это графическое приложение. Сбор данных и проверка сетевого трафика в пользовательском интерфейсе — очень удобная штука, так как позволяет разобраться со сложными сетевыми данными.

Как пользоваться Wireshark?

Чтобы новичок смог разобраться с Wireshark, ему нужно понять сетевой трафик. В таком случае цель этой статьи состоит в разъяснении вам основ TCP/IP, чтобы вы смогли сделать нужные выводы по сетевому трафику, который анализируете.

Формат пакета TCP и пакета IP.

Если вы запускаете Wireshark от имени обычного пользователя, вы не сможете использовать сетевые интерфейсы для сбора данных из-за имеющихся в сетевых интерфейсах разрешений файла Unix по умолчанию. Удобнее запускать Wireshark от имени root (sudo wireshark) при сборе данных и от имени обычного пользователя—для анализа данных.

В качестве альтернативы можете собрать сетевые данные с помощью утилиты командной строки tcpdump от имени root и затем проанализировать их с помощью Wireshark. Пожалуйста, не забывайте, что сбор данных с помощью Wireshark в сильно загруженной сети может замедлить работу компьютера, или, что еще хуже, не позволить собрать нужные данные, потому что Wireshark требует больше системных ресурсов, чем программа командной строки. В подобных случаях самым разумным решением для сбора данных по сетевому трафику будет использование tcpdump.

Захват сетевых данных с помощью Wireshark

Простейший способ приступить к захвату данных сетевых пакетов — выбрать после запуска Wireshark нужный вам интерфейс и нажать на Start . Wireshark покажет данные о сети на вашем экране в зависимости от трафика вашей сети. Обратите внимание: можно выбрать более одного интерфейса. Если вы ничего не знаете о TCP, IP или других протоколах, результат может показаться вам сложным для чтения и понимания.

Чтобы прекратить процесс захвата данных, выберите в меню Capture > Stop . В качестве альтернативы, можете нажать на четвертый значок слева, с красным квадратиком (это сокращение от «Прекратить захват данных live») в панели инструментов Main (учтите, его точное расположение зависит от имеющейся у вас версии Wireshark). На эту кнопку можно нажимать только в процессе сбора сетевых данных.

При использовании описанного метода захвата данных вы не можете изменить настроенные в Wireshark по умолчанию Capture Options [Опции захвата]. Вы можете увидеть и изменить Capture Options, выбрав в меню Capture > Options . Здесь можно выбрать интерфейс(ы) сети, посмотреть свой IP-адрес, применить фильтры сбора данных, перевести свою сетевую карту в режим приема всех сетевых пакетов и сохранить собранные данные в один или несколько файлов. Вы даже можете велеть прекращать захват пакетов по достижении определенного числа сетевых пакетов, или определенного времени, или определенного объема данных (в байтах).

По умолчанию Wireshark не сохраняет собранные данные, но вы всегда можете сохранить их позднее. Считается, что лучше всего сначала сохранить, а потом изучать сетевые пакеты, если только у вас нет каких-то особых причин сделать иначе.

Wireshark позволяет читать и анализировать уже собранные сетевые данные из большого числа файловых форматов, в том числе tcpdump, libpcap, snoop от Sun, nettl от HP, текстовых файлов К12, и т.д. Короче, с помощью Wireshark можно читать практически любой формат собранных сетевых данных. Подобным же образом Wireshark позволяет сохранять собранные данные в разных форматах. Можно даже использовать Wireshark для конверсии файла из одного формата в другой.

Вы также можете экспортировать существующий файл в виде простого текстового файла из меню File. Эта опция в основном предназначена для обработки сетевых данных вручную или их ввода в другую программу.

Предусмотрена опция распечатки ваших пакетов. В реальной жизни я никогда ею не пользовался, однако в образовательных целях бывает очень полезно распечатать пакеты и их полное содержимое.

Фильтры отображения Wireshark

Если во время захвата сетевых данных применяются фильтры захвата, то Wireshark не учитывает сетевой трафик, не соответствующий фильтру; тогда как фильтры отображения применяются после захвата данных и «прячут» сетевой трафик, не удаляя его. Вы всегда можете отключить Display filter и вернуть свои скрытые данные.

В принципе, фильтры отображения считаются более полезными и разносторонними, чем фильтры сбора данных, потому что вы вряд ли знаете заранее, какую информацию вы соберете или решите изучить. Однако использование фильтров при захвате данных экономит ваше время и место на диске, что и является главной причиной их применения.

Wireshark выделяет синтаксически правильный фильтр светло-зеленым фоном. Если синтаксис содержит ошибки, фон розовеет.

Фильтры отображения поддерживают операторы сравнения и логические операторы. Фильтр отображения http.response.code

Три пакета (SYN, SYN+ACK и АСК) трехзтапной установки соединения TCP

==404 && ip.addr == 192.168.1.1 показывает трафик, который либо идет с IP-адреса 192.168.1.1, либо идет на IP-адрес 192.168.1.1, который также имеет в себе код отклика 404 (Not Found) HTTP. Фильтр!Ьоо1р &&!ip &&!агр исключает из результата трафик BOOTP, IP и ARP. Фильтр eth.addr == 01:23:45:67:89:ab && tcp.port == 25 отображает трафик идущий от или к сетевому устройству с MAC-адресом 01:23:45:67:89:аЬ, которое использует во входящих и исходящих соединениях порт TCP за номером 25.

Помните, что фильтры отображения не решают проблемы волшебным образом. При правильном использовании это исключительно полезные инструменты, но вам все равно придется интерпретировать результаты, находить проблему и самому обдумывать подходящее решение.

Продолжение статьи на следующей странице. Для перехода на следующую страницу нажмите на кнопку 2 которая находится под кнопками социальных сетей.

Ссылка на основную публикацию