Nola erabili Wireshark sareko arazoak detektatzeko

Sarean, segurtasunean edo garapenean lan egiten baduzu eta zure kableetan eta Wi-Fian zer gertatzen den ulertu nahi baduzu, honekin lan egitea... Wireshark Elementu ezinbestekoa da. Hau kode irekiko paketeen analizatzailea Hamarkadetako eboluzioari esker, trafikoa pakete mailan zehaztasun kirurgikoz atzeman, aztertu eta aztertzea ahalbidetzen du.

Artikulu honetan sakon aztertzen dugu: lizentziatik eta babesletzatik hasi eta GNU/Linux-eko paketeetaraino, kontsolako utilitateak, onartutako formatuak, konpilazio-eskakizunak, harrapaketa-baimenak eta ikuspegi historiko eta funtzional oso bat barne.

Zer da Wireshark eta zertarako erabiltzen da gaur egun?

Funtsean, Wireshark bat da protokolo analizatzailea eta trafikoa harrapatzeko gailua horri esker, interfazea promiskuo edo monitore moduan jarri dezakezu (sistemak onartzen badu) eta zure Mac-era bidaliko ez liratekeen fotogramak ikusi, elkarrizketak aztertu, fluxuak berreraiki, paketeak arauen arabera koloreztatu eta pantaila-iragazki oso adierazgarriak aplikatu. Gainera, TShark barne hartzen du (terminal bertsioa) eta pantaila-argazkiak berrantolatzea, zatitzea, bat egitea eta bihurtzea bezalako zereginetarako utilitate multzo bat.

Bere erabilerak tcpdump gogorarazten badu ere, Qt-n oinarritutako interfaze grafiko modernoa eskaintzen du... iragazketa, sailkapena eta disekzio sakona milaka protokolotarako. Switch batean bazaude, gogoratu modu promiskuoak ez duela bermatzen trafiko guztia ikusiko duzunik: eszenatoki osoetarako portuen islatzea edo sareko tap-ak beharko dituzu, eta horien dokumentazioak ere praktika on gisa aipatzen ditu.

Lizentzia, oinarria eta garapen eredua

Wireshark honen azpian banatzen da: GNU GPL v2 eta leku askotan, “GPL v2 edo berriagoa” gisa. Iturburu-kodeko utilitate batzuk lizentzia desberdin baina bateragarriak dituzte, hala nola GPLv3+-rekin pidl tresna, eta horrek ez du eragiten analizatzailearen emaitza bitarrean. Ez dago bermerik espresuki edo inplizituki; erabili zure ardurapean, software librearekin ohikoa den bezala.

La Wireshark Fundazioa Garapena eta banaketa koordinatzen ditu. Wiresharken oinarritutako lana duten pertsona eta erakundeen dohaintzetan oinarritzen da. Proiektuak milaka egile erregistratu eta pertsonaia historiko ditu, hala nola Gerald Combs, Gilbert Ramirez eta Guy Harris, bere jarraitzaile nabarmenenen artean.

Wireshark Linux, Windows, macOS eta beste Unix antzeko sistemetan (BSD, Solaris, etab.) funtzionatzen du. Pakete ofizialak kaleratzen dira Windows eta macOS-erako, eta GNU/Linux-en normalean pakete estandar edo gehigarri gisa sartzen da Debian, Ubuntu, Fedora, CentOS, RHEL, Arch, Gentoo, openSUSE, FreeBSD, DragonFly BSD, NetBSD eta OpenBSD bezalako banaketetan. Hirugarrenen sistemetan ere eskuragarri dago, hala nola Homebrew, MacPorts, pkgsrc edo OpenCSW.

Kodetik konpilatzeko, Python 3 beharko duzu; AsciiDoctor dokumentaziorako; eta Perl eta GNU flex bezalako tresnak (lex klasikoak ez du funtzionatuko). CMake erabiliz konfigurazioak laguntza espezifikoa gaitzeko edo desgaitzeko aukera ematen dizu, adibidez, konpresio liburutegiak... -DENABLE_ZLIB=OFF, -DENABLE_LZ4=OFF edo -DENABLE_ZSTD=OFF, edo libsmi euskarria -DENABLE_SMI=OFF-ekin, MIBak kargatu nahi ez badituzu.

Paketeak eta liburutegiak Debian oinarritutako sistemetan

Debian/Ubuntu eta eratorrien inguruneetan, Wireshark ekosistema honela banatzen da: pakete anitzJarraian, ezaugarrien, gutxi gorabeherako tamainen eta mendekotasunen banaketa bat dago. Pakete hauek GUI oso batetik liburutegi eta garapen tresnetaraino aukera ematen dizute, zure aplikazioetan disekzioak integratzeko.

wireshark

Qt interfaze batekin trafikoa atzeman eta aztertzeko aplikazio grafikoa. Tamaina estimatua: 10.59 MBInstalazioa: sudo apt install wireshark

Abioko aukeren artean interfazea aukeratzeko parametroak aurkituko dituzu (-i), harrapaketa-iragazkiak (-f), argazki-argazkien muga, monitore modua, esteka mota zerrendak, bistaratze iragazkiak (-Y), “Deskodetu honela” eta lehentasunak, baita fitxategien irteerako formatuak eta iruzkinak grabatzeko aukera ere. Aplikazioak aukera ematen du, halaber konfigurazio-profilak eta estatistikak interfazearen ezaugarri aurreratuak.

tshark

Komando-lerroaren bidezko kaptura eta analisietarako kontsola-bertsioa. Tamaina estimatua: 429 KBInstalazioa: sudo apt install tshark

Interfazeak hautatzeko, harrapaketa- eta bistaratze-iragazkiak aplikatzeko, gelditzeko baldintzak (denbora, tamaina, pakete kopurua) definitzeko, buffer zirkularrak erabiltzeko, xehetasunak inprimatzeko, hex eta JSON dump-ak egiteko eta TLS objektuak eta gakoak esportatzeko aukera ematen du. Irteera terminal bateragarri batean koloreztatu ere egin dezake. erregistroaren erregistroa doitu domeinu eta xehetasun mailen arabera. Kontuz ibili behar da BPF JIT kernel mailan gaitzen baduzu, segurtasun ondorioak izan baititzake.

hari-marrazki arrunta

Wireshark eta tshark-erako fitxategi arruntak (adibidez, hiztegiak, konfigurazioak eta lineako utilitateak). Tamaina estimatua: 1.62 MBInstalazioa: sudo apt install wireshark-common

Pakete honek utilitateak ditu, hala nola kapinfoak (harrapaketa-fitxategiaren informazioa: mota, kapsulazioa, iraupena, tasak, tamainak, hash-ak eta iruzkinak), harrapakin mota (fitxategi motak identifikatu), zabor-tapoia (pcapng/pcap erabiltzen duen harrapaketa-gailu arina, autostop eta buffer zirkularrak dituena), edizio-kap (argazkiak editatu/zatitu/bihurtu, denbora-zigiluak doitu, bikoiztuak kendu, iruzkinak edo sekretuak gehitu), batuketa-kapitulua (hainbat kaptura batu edo kateatu), mmdbresolve (IP geokokapena MMDB datu-baseekin konpondu), randpkt (protokolo anitzeko pakete sintetikoen sortzailea), marrazo gordina (eremu-irteerarekin disekzio gordina), berrantolaketa-maila (denbora-zigiluaren arabera berrantolatu), marrazo (harrapaketak prozesatzeko APIa duen daemon) eta testu2pcap (bihurtu hexdump-ak edo egituratutako testua baliozko harrapaketa bihurtu).

libwireshark18 eta libwireshark-data

Paketeen disekzioaren liburutegi zentralizatua. Wireshark/TShark-ek erabiltzen dituen protokolo-analizatzaileak eskaintzen ditu. Liburutegiaren gutxi gorabeherako tamaina: 126.13 MBInstalazioa: sudo apt install libwireshark18 y sudo apt install libwireshark-data

Protokolo eta aukera ugariren euskarria dauka, hala nola, disekzio espezifikoak, heuristikoak eta "Deskodetu honela" gaitzea edo desgaitzea interfazetik edo komando-lerrotik; horri esker, egokitu dezakezu benetako trafikoaren azterketa zure ingurunearena.

libwiretap15 eta libwiretap-dev

Wiretap hainbat harrapaketa-fitxategi formatu irakurri eta idazteko liburutegi bat da. Bere indarguneak onartzen dituen formatu anitzak dira; bere mugak hauek dira: Ez du iragazten edo zuzeneko harrapaketarik egiten.Instalazioa: sudo apt install libwiretap15 y sudo apt install libwiretap-dev

-dev aldaerak liburutegi estatikoa eta C goiburuak eskaintzen ditu irakurketa/idazketa eragiketak zure tresnetan integratzeko. Horri esker, datuak manipulatzen dituzten utilitateak garatu ahal izango dituzu. pcap, pcapng eta beste edukiontzi batzuk gure hodien parte gisa.

libwsutil16 eta libwsutil-dev

Wireshark-ek eta erlazionatutako liburutegiek partekatzen duten utilitate multzo bat: kateen manipulaziorako, bufferizaziorako, enkriptaziorako eta abarretarako funtzio lagungarriak. Instalazioa: sudo apt install libwsutil16 y sudo apt install libwsutil-dev

-dev paketeak goiburuak eta liburutegi estatiko bat ditu, kanpoko aplikazioek utilitate arruntak lotu ahal izan ditzaten gurpilak berriro inplementatu gabe. Honen oinarria da hainbat funtzio partekatu Wireshark eta TShark erabiltzen dituztenak.

wireshark-dev

"Disektore" berriak sortzeko tresnak eta fitxategiak. Idl2wrs bezalako scriptak eskaintzen ditu, baita konpilatzeko eta probatzeko mendekotasunak ere. Tamaina estimatua: 621 KBInstalazioa: sudo apt install wireshark-dev

Erabilgarritasunak barne hartzen ditu, hala nola asn2deb (ASN.1etik BER monitorizaziorako Debian paketeak sortzen ditu) eta idl2deb (CORBArako paketeak). Eta, batez ere, idl2wrsTresna honek CORBA IDL bat C plugin baten eskeleto bihurtzen du GIOP/IIOP trafikoa aztertzeko. Lan-fluxu hau Python script-etan oinarritzen da (wireshark_be.py eta wireshark_gen.py) eta lehenespenez aztertze heuristikoa onartzen du. Tresnak bere moduluak bilatzen ditu hemen: PYTHONPATH/gune-paketeak edo uneko direktorioan, eta fitxategiaren birbideratzea onartzen du kodea sortzeko.

wireshark-doc

Erabiltzaileentzako dokumentazioa, garapen gida eta Lua erreferentzia. Tamaina estimatua: 13.40 MBInstalazioa: sudo apt install wireshark-doc

Sakonago aztertu nahi baduzu gomendagarria luzapenak, script-ak eta APIakWebgune ofizialeko online dokumentazioa bertsio egonkor bakoitzarekin eguneratzen da.

Harrapaketa eta segurtasun baimenak

Sistema askotan, zuzeneko harrapaketak pribilegio altuagoak behar ditu. Horregatik, Wireshark eta TShark-ek harrapaketa hirugarrenen zerbitzu bati delegatzen diote. zabor-tapoiaEraso-azalera minimizatzeko pribilegioekin (set-UID edo gaitasunak) exekutatzeko diseinatutako binario bat. GUI osoa root gisa exekutatzea ez da praktika ona; hobe da dumpcap edo tcpdump-ekin harrapatzea eta pribilegiorik gabe aztertzea arriskuak murrizteko.

Proiektuaren historian zehar disektoreetan izandako segurtasun-intzidenteak daude, eta OpenBSD bezalako plataforma batzuek Ethereal instantzia zaharra erretiratu dute arrazoi horregatik. Oraingo ereduarekin, harrapaketetatik isolatzeak eta etengabeko eguneratzeek egoera hobetzen dute, baina beti komeni da... jarraitu segurtasun argibideak Eta, jarduera susmagarriak hautematen badituzu, jakin nola blokeatu sareko konexio susmagarriak eta saihestu fidagarriak ez diren pantaila-argazkiak aldez aurretik berrikusi gabe irekitzea.

Fitxategi formatuak, konpresioa eta letra-tipo bereziak

Wireshark-ek pcap eta pcapng irakurri eta idazten ditu, baita beste analizatzaile batzuetako formatuak ere, hala nola snoop, Network General Sniffer, Microsoft Network Monitor eta goian Wiretap-ek zerrendatutako askotatik. Fitxategi konprimituak ireki ditzake, baldin eta pcapng-erako liburutegiekin konpilatu badira. GZIP, LZ4 eta ZSTDBereziki, GZIP eta LZ4 bloke independenteekin jauzi azkarrak ahalbidetzen dituzte, GUI errendimendua hobetuz harrapaketa handietan.

Proiektuak AIX iptrace (non daemonerako HUP bat garbi ixten den), Lucent/Ascend trazetarako euskarria, Toshiba ISDN edo CoSine L2 bezalako ezaugarriak dokumentatzen ditu, eta testu-irteera fitxategi batera nola harrapatu adierazten du (adibidez, honekin...). telnet <equipo> | tee salida.txt edo tresna erabiliz script) geroago text2pcap-ekin inportatzeko. Bide hauek ateratzen zaituzte "ohiko" harrapakinak pcap-aren gainetik zuzenean iraultzen ez den ekipoa erabiltzen duzunean.

Suite utilitateak eta aukera kategoriak

Wireshark eta TShark-ez gain, banaketak honako hauek ditu: zeregin oso zehatzak betetzen dituzten hainbat tresnaLaguntza-testua hitzez hitz kopiatu gabe, hona hemen kategoriatan antolatutako laburpen bat, bakoitzak zer egiten duen eta zer aukera aurkituko dituzun jakin dezazun:

• zabor-tapoiapcap/pcapng harrapaketa “garbia eta sinplea”, interfazearen hautaketa, BPF iragazkiak, buffer tamaina, denbora/tamaina/fitxategien araberako biraketa, eraztun bufferren sorrera, harrapaketaren iruzkinak eta irteera formatuan makinaz irakur daitekeenArrisku potentzialengatik BPF-ren JIT aktibatzea ez aktibatzea ohartarazten du.
• kapinfoakFitxategi mota, kapsulazioa, interfazeak eta metadatuak erakusten ditu; pakete kopurua, fitxategiaren tamaina, luzera osoa, argazki muga, kronologia (lehena/azkena), batez besteko tasak (bps/Bps/pps), batez besteko paketearen tamaina, hash-ak eta iruzkinak. Irteera tabularra edo zehatza eta makinak irakurtzeko moduko formatuak ahalbidetzen ditu.
• harrapakin mota: sarrera bat edo gehiagoren harrapaketa-fitxategi mota identifikatzen du, laguntza eta bertsio aukerekin.
• edizio-kapPakete-tarteak hautatzen/ezabatzen ditu, atxikitzen/mozten ditu, denbora-zigiluak doitzen ditu (ordena zorrotza barne), bikoiztuak kentzen ditu leiho konfiguragarriekin, iruzkinak gehitzen ditu fotograma bakoitzeko, irteera zenbakiaren edo denboraren arabera banatzen du, edukiontzia eta kapsulazioa aldatzen ditu, deszifratzeko sekretuekin lan egiten du eta irteera konprimitzen du. Harrapakinak "garbitzeko" tresna polifazetikoa da.
• batuketa-kapitulua: hainbat harrapaketa bakar batean konbinatzen ditu, kateatze linealaren bidez edo denbora-zigiluan oinarritutako nahasketaren bidez, snaplen kontrolatzen du, irteera mota, IDB batuketa modua eta azken konpresioa definitzen ditu.
• berrantolaketa-maila: fitxategi bat denbora-zigiluaren arabera berrantolatzen du irteera garbi bat sortuz eta, dagoeneko ordenatuta badago, emaitza idaztea saihestu dezake S/I aurrezteko.
• testu2pcap: hexdump-ak edo regex-a duten testua baliozko harrapaketa bihurtzen ditu; datu-base desberdinetako desplazamenduak ezagutzen ditu, strptime formatuekin denbora-zigiluak (zehaztasun zatikiarra barne), erantsitako ASCII detektatzen du, hala badagokio, eta "faltsu" goiburuak (Ethernet, IPv4/IPv6, UDP/TCP/SCTP, EXPORTED_PDU) aurretik jar ditzake portuak, helbideak eta etiketak adierazita.
• marrazo gordina"Eremuetan oinarritutako irakurgailu gordina; kapsulazio edo disekzio protokoloa ezartzeko, izenen bereizmenak desgaitzeko, irakurketa/bistaratze iragazkiak ezartzeko eta eremuaren irteerako formatua erabakitzeko aukera ematen du, beste tresna batzuekin harremanetan jartzeko erabilgarria.
• randpktARP, BGP, DNS, Ethernet, IPv4/IPv6, ICMP, TCP/UDP, SCTP, Syslog, USB-Linux, etab. bezalako motatako ausazko paketeekin fitxategiak sortzen ditu, kontua, gehienezko tamaina eta edukiontzia zehaztuz. Egokia honetarako probak eta demoak.
• mmdbresolveKontsultatu MaxMind datu-baseei (MMDB) IPv4/IPv6 helbideen geokokapena bistaratzeko, datu-base fitxategi bat edo gehiago zehaztuz.
• marrazo: API bat ("gold" modua) edo socket klasiko bat ("classic" modua) erakusten duen daemon bat; konfigurazio-profilak onartzen ditu eta bezeroetatik kontrolatzen da zerbitzariaren aldeko analisi eta bilaketetarako, automatizazioan eta zerbitzuetan erabilgarria.

Arkitektura, ezaugarriak eta mugak

Wireshark-ek libpcap/Npcap erabiltzen du harrapaketarako, eta disekzioa, formatuak eta utilitateak bereizten dituzten liburutegi ekosistema batean (libwireshark, libwiretap, libwsutil). VoIP deiak detektatzea, audioa erreproduzitzea onartzen diren kodeketetan, USB trafiko gordinaren harrapaketa eta Wi-Fi sareetan iragaztea ahalbidetzen du (Ethernet monitorizatua zeharkatzen badute). protokolo berrietarako pluginak C edo Lua hizkuntzan idatzita. Beste makina batetik denbora errealean aztertzeko urruneko trafiko kapsulatua ere jaso dezake (adibidez, TZSP).

Ez da IDS bat, ezta alertak igortzen ere; bere eginkizuna pasiboa da: ikuskatu, neurtu eta bistaratzen du. Hala ere, tresna osagarriek estatistikak eta lan-fluxuak eskaintzen dituzte, eta prestakuntza-materialak erraz eskuragarri daude (2025erako prestatutako aplikazio didaktikoak barne, iragazkiak, sniffing-a, oinarrizko sistema eragilearen hatz-markak, denbora errealeko analisia, automatizazioa, trafiko enkriptatua eta DevOps praktikekin integrazioa irakasten dituztenak). Alderdi didaktiko honek -ren funtzionalitate nagusia osatzen du. diagnostikoa eta konponketa arazoak.

Compatibilidad y ecosistema

Eraikuntza eta probak egiteko plataformek honako hauek barne hartzen dituzte: Linux (Ubuntu), Windows eta macOSProiektuak Unix antzeko beste sistemekin bateragarritasun zabala eta hirugarrenen kudeatzaileen bidezko banaketa ere aipatzen ditu. Kasu batzuetan, sistema eragilearen bertsio zaharragoek aurreko adarrak behar dituzte (adibidez, Windows XP 1.10 bertsioarekin edo lehenagokoarekin). Oro har, biltegi edo binario ofizialetatik instalatu dezakezu ingurune gehienetan arazorik gabe.

Sare simulagailuekin integratzen dira (ns, OPNET Modeler), eta hirugarrenen tresnak (adibidez, Aircrack 802.11rako) erabil daitezke Wireshark-ek arazorik gabe irekitzen dituen kapturak sortzeko. Honen izenean... legezkotasun eta etika zorrotzaGogoratu berariazko baimen duzun sareetan eta egoeretan bakarrik grabatzea.

Izena, webgune ofizialak eta kontrol datuak

El sitio web oficial es wireshark.orgbere /download azpidirektorioan deskargekin eta erabiltzaile eta garatzaileentzako lineako dokumentazioarekin. Orrialdeak daude hauekin: agintaritza-kontrola (adibidez, GND) eta kode biltegirako, akatsen jarraitzailerako eta proiektuaren blogerako estekak, berrien berri izateko eta arazoen berri emateko erabilgarriak.

Harrapaketa hasi aurretik, egiaztatu zure sistemaren baimenak eta gaitasunak, erabaki dumpcap/tcpdump erabiliko duzun diskoan deskargatzeko eta pribilegiorik gabe aztertzeko, eta prestatu zure helburuarekin bat datozen harrapaketa eta bistaratzeko iragazkiak. Metodologia on batekin, Wireshark-ek konplexua errazten du eta informazio zehatza ematen dizu. Behar duzun ikusgarritasuna edozein tamainatako sareak diagnostikatzeko, ikasteko edo auditatzeko.

Erlazionatutako artikulua:

Zer egin hackeo baten ondorengo lehen 24 orduetan: mugikorreko, ordenagailuko eta lineako kontuak

Daniel Terrasa

Teknologia eta Interneteko gaietan espezializatutako editorea, hamar urte baino gehiagoko esperientziarekin euskarri digital ezberdinetan. Merkataritza elektroniko, komunikazio, online marketin eta publizitate enpresetarako editore eta eduki sortzaile gisa lan egin dut. Ekonomia, finantza eta beste sektore batzuetako webguneetan ere idatzi dut. Nire lana ere nire pasioa da. Orain, nire artikuluen bidez Tecnobits, teknologiaren munduak egunero gure bizitza hobetzeko eskaintzen dizkigun albiste eta aukera berri guztiak arakatzen saiatzen naiz.