نحوه استفاده از Wireshark در ویندوز: یک راهنمای کامل، کاربردی و به‌روز

آیا تا به حال تعجب کرده اید واقعاً هنگام وبگردی، بازی آنلاین یا مدیریت دستگاه‌های متصل، چه اتفاقی در شبکه شما می‌افتد؟ اگر صرفاً در مورد اسرار موجود در وای‌فای خود کنجکاو هستید، یا اگر به یک ابزار حرفه‌ای نیاز دارید تا ترافیک شبکه را تجزیه و تحلیل کنید و مشکلات مربوط به اتصال خود را تشخیص دهید، مطمئناً نام Wireshark قبلاً توجه شما را جلب کرده است.

خب، در این مقاله بدون هیچ انحرافی کشف خواهید کرد. تمام جزئیات در مورد Wireshark: چیست، کاربرد آن در ویندوز چیست، چگونه آن را نصب کنیم و بهترین نکات قبل از شروع به ثبت داده‌ها. بیایید به آن برسیم.

وایرشارک چیست؟ تجزیه و تحلیل غول تحلیل شبکه

وایرشارک (Wireshark) محبوب‌ترین و شناخته‌شده‌ترین نرم‌افزار تحلیل پروتکل شبکه در سراسر جهان است.. این ابزار رایگان، متن‌باز و قدرتمند به شما این امکان را می‌دهد که ضبط و بررسی تمام ترافیک شبکه که از طریق رایانه شما عبور می‌کند، چه ویندوز، لینوکس، macOS یا حتی سیستم‌هایی مانند FreeBSD و Solaris. با Wireshark، می‌توانید به صورت بلادرنگ یا پس از ضبط، دقیقاً ببینید کدام بسته‌ها به رایانه شما وارد و از آن خارج می‌شوند، منبع، مقصد و پروتکل‌های آنها چیست و حتی آنها را تجزیه کنید تا جزئیات هر لایه را طبق مدل OSI به دست آورید.

برخلاف بسیاری از تحلیل‌گران، وایرشارک به خاطر رابط گرافیکی بصری‌اش برجسته است، اما همچنین یک نسخه کنسول قدرتمند به نام TShark را برای کسانی که خط فرمان را ترجیح می‌دهند یا نیاز به انجام وظایف خودکار دارند، ارائه می‌دهد. انعطاف‌پذیری وایرشارک به گونه‌ای است که به شما امکان می‌دهد هنگام وبگردی، اتصال را تجزیه و تحلیل کنید، ممیزی‌های امنیتی حرفه‌ای انجام دهید، گلوگاه‌های شبکه را حل کنید یا از ابتدا در مورد نحوه کار پروتکل‌های اینترنتی، همه از طریق رایانه شخصی خود بیاموزید!

دانلود و نصب وایرشارک روی ویندوز

نصب Wireshark در ویندوز یک فرآیند ساده است.، اما توصیه می‌شود این کار را گام به گام انجام دهید تا هیچ نکته‌ی مبهمی باقی نماند، به خصوص در مورد مجوزها و درایورهای اضافی برای ضبط.

• دانلود رسمی: دسترسی به وب‌سایت رسمی وایرشارک و نسخه ویندوز (۳۲ یا ۶۴ بیتی بسته به سیستم شما) را انتخاب کنید.
• نصب کننده را اجرا کنید: روی فایل دانلود شده دوبار کلیک کنید و مراحل ویزارد را دنبال کنید. اگر سوالی دارید، گزینه‌های پیش‌فرض را بپذیرید.
• درایورهای ضروری: در حین نصب، نصاب از شما می‌پرسد نصب Npcap. این مؤلفه ضروری است، زیرا به کارت شبکه شما اجازه می‌دهد بسته‌ها را در حالت «بی‌قاعده» ضبط کند. نصب آن را بپذیرید.
• خاتمه و شروع مجدد: پس از اتمام فرآیند، کامپیوتر خود را مجدداً راه اندازی کنید تا مطمئن شوید که همه اجزا آماده هستند.

آماده! اکنون می‌توانید از منوی استارت ویندوز، استفاده از وایرشارک را شروع کنید. لطفا توجه داشته باشید که این برنامه مرتباً به‌روزرسانی می‌شود، بنابراین بهتر است هر از گاهی نسخه‌های جدید را بررسی کنید.

نحوه کار Wireshark: ضبط و نمایش بسته‌ها

وقتی Wireshark را باز می‌کنید، اولین چیزی که مشاهده خواهید کرد، فهرستی از تمام رابط‌های شبکه موجود در سیستم شما است.کارت‌های شبکه سیمی، وای‌فای و حتی آداپتورهای مجازی اگر از ماشین‌های مجازی مانند VMware یا VirtualBox استفاده می‌کنید. هر یک از این رابط‌ها، یک نقطه ورود یا خروج برای اطلاعات دیجیتال را نشان می‌دهند.

برای شروع ثبت داده‌ها، شما فقط باید روی رابط مورد نظر دوبار کلیک کنید. از آن به بعد، وایرشارک تمام بسته‌های در گردش را به صورت بلادرنگ نمایش می‌دهد. بر اساس آن کارت، مرتب‌سازی آنها بر اساس ستون‌هایی مانند شماره بسته، زمان ضبط، منبع، مقصد، پروتکل، اندازه و جزئیات بیشتر.

وقتی می‌خواهید ضبط را متوقف کنید، را فشار دهید دکمه قرمز توقف. شما می‌توانید تصاویر خود را با فرمت .pcap ذخیره کنید تا بعداً بتوانید آنها را تجزیه و تحلیل کنید، به اشتراک بگذارید یا حتی در قالب‌های مختلف (CSV، متن، فشرده و غیره) صادر کنید. این انعطاف‌پذیری چیزی است که باعث می‌شود وایرشارک ابزاری ضروری برای تحلیل نقطه‌ای و ممیزی کامل است..

شروع کار: نکاتی قبل از گرفتن اسکرین شات در ویندوز

برای اطمینان از اینکه اولین ضبط‌های Wireshark شما مفید هستند و در نهایت پر از نویز نامربوط یا داده‌های گیج‌کننده نمی‌شوند، چندین توصیه کلیدی وجود دارد که باید دنبال کنید:

• برنامه های غیر ضروری را ببندیدقبل از شروع ضبط، از برنامه‌هایی که ترافیک پس‌زمینه ایجاد می‌کنند (به‌روزرسانی‌ها، چت‌ها، برنامه‌های ایمیل، بازی‌ها و غیره) خارج شوید. به این ترتیب از ترکیب ترافیک نامرتبط جلوگیری خواهید کرد.
• کنترل فایروال: فایروال‌ها می‌توانند ترافیک را مسدود یا تغییر دهند. اگر به دنبال ضبط کامل هستید، غیرفعال کردن موقت آن را در نظر بگیرید.
• فقط موارد مرتبط را ثبت کنیداگر می‌خواهید یک برنامه خاص را تجزیه و تحلیل کنید، پس از شروع ضبط، یک یا دو ثانیه صبر کنید تا برنامه اجرا شود و قبل از توقف ضبط، هنگام بستن آن نیز همین کار را انجام دهید.
• رابط فعال خود را بشناسید: مطمئن شوید که کارت شبکه صحیح را انتخاب کرده‌اید، به خصوص اگر چندین آداپتور دارید یا در یک شبکه مجازی هستید.

با پیروی از این دستورالعمل‌ها، اسکرین‌شات‌های شما بسیار تمیزتر و برای هرگونه تجزیه و تحلیل بیشتر مفیدتر خواهند بود..

فیلترها در Wireshark: چگونه روی آنچه واقعاً مهم است تمرکز کنیم

یکی از قدرتمندترین ویژگی‌های Wireshark، فیلترها هستند.. دو نوع اساسی وجود دارد:

• فیلترهای ضبط: آنها قبل از شروع ضبط اعمال می‌شوند و به شما این امکان را می‌دهند که از ابتدا فقط ترافیکی را که مورد علاقه شماست جمع‌آوری کنید.
• نمایش فیلترها: این موارد روی لیست بسته‌هایی که قبلاً ضبط شده‌اند اعمال می‌شوند و به شما امکان می‌دهند فقط مواردی را که با معیارهای شما مطابقت دارند نمایش دهید.

از جمله رایج‌ترین فیلترها می‌توان به موارد زیر اشاره کرد:

• طبق پروتکل: فقط بسته‌های HTTP، TCP، DNS و غیره را فیلتر می‌کند.
• بر اساس آدرس IPبرای مثال، فقط بسته‌های ارسالی یا دریافتی از یک IP خاص را با استفاده از نمایش دهید. ip.src == 192.168.1.1 o ip.dst == 8.8.8.8.
• بر اساس بندر: نتایج را به یک پورت خاص محدود می‌کند (پورت tcp == 80).
• بر اساس رشته متنی: بسته‌هایی را پیدا می‌کند که حاوی یک کلمه کلیدی در محتوای خود هستند.
• بر اساس آدرس MAC، طول بسته یا محدوده IP.

علاوه بر این، فیلترها را می‌توان با عملگرهای منطقی ترکیب کرد (و, or, نه) برای جستجوهای بسیار دقیق، مانند tcp.port == 80 و ip.src == 192.168.1.1.

چه چیزهایی را می‌توان با Wireshark در ویندوز ضبط و تجزیه و تحلیل کرد؟

Wireshark است قادر به تفسیر بیش از ۴۸۰ پروتکل مختلفاز اصول اولیه مانند TCP، UDP، IP گرفته تا پروتکل‌های خاص برنامه، اینترنت اشیا، VoIP و بسیاری دیگر. این یعنی شما می‌توانید انواع ترافیک شبکه، از کوئری‌های ساده DNS گرفته تا جلسات رمزگذاری شده SSH، اتصالات HTTPS، انتقال‌های FTP یا ترافیک SIP از تلفن اینترنتی را بررسی کنید.

علاوه بر این، وایرشارک از فرمت‌های استاندارد ضبط مانند tcpdump (libpcap)، pcapng و موارد دیگر پشتیبانی می‌کند.و به شما امکان می‌دهد اسکرین‌شات‌ها را با استفاده از GZIP فشرده و از حالت فشرده خارج کنید تا در فضا صرفه‌جویی شود. برای ترافیک رمزگذاری شده (TLS/SSL، IPsec، WPA2 و غیره)، اگر کلیدهای صحیح را داشته باشید، حتی می‌توانید داده‌ها را رمزگشایی کرده و محتوای اصلی آن را مشاهده کنید.

ثبت دقیق ترافیک: توصیه‌های بیشتر

قبل از شروع هرگونه ضبط مهم، این پروتکل را دنبال کنید تا سودمندی اطلاعات جمع‌آوری‌شده به حداکثر برسد.:

• رابط کاربری مناسب را انتخاب کنید: معمولاً آداپتور فعال شما، آداپتوری خواهد بود که برای اتصالی که استفاده می‌کنید، استفاده می‌شود. اگر شک دارید، از تنظیمات شبکه ویندوز بررسی کنید که کدام یک متصل است.
• صحنه را تنظیم کنید: فقط برنامه‌ها یا اپلیکیشن‌هایی را باز کنید که ترافیکی را که می‌خواهید تجزیه و تحلیل کنید، ایجاد می‌کنند.
• پدیده را ایزوله کنیداگر می‌خواهید ترافیک برنامه را تجزیه و تحلیل کنید، این ترتیب را دنبال کنید: پس از شروع ضبط، برنامه را اجرا کنید، عملی را که می‌خواهید تجزیه و تحلیل کنید انجام دهید و قبل از توقف ضبط، برنامه را ببندید.
• اسکرین شات را ذخیره کنید: ضبط را متوقف کنید، به File > Save بروید و فرمت .pcap یا فرمت دلخواه خود را انتخاب کنید.

اینگونه به دست خواهی آورد فایل‌ها را تمیز و آسان برای تجزیه و تحلیلبدون اینکه هیچ ترافیک ناخواسته‌ای ایجاد شود.

مثال‌های تصویری: تحلیل ترافیک با Wireshark

فرض کنید دو کامپیوتر در شبکه محلی خود دارید و یکی از آنها دسترسی به اینترنت را متوقف می‌کند. شما می‌توانید از Wireshark برای ضبط ترافیک از آن دستگاه استفاده کنید. و ببینید که آیا در شناسایی آدرس‌های DNS خطایی وجود دارد، آیا بسته‌ها به روتر نمی‌رسند، یا آیا فایروال ارتباطات را مسدود می‌کند.

یک مورد معمول دیگر: تشخیص می‌دهد که آیا یک وب‌سایت به درستی ورود شما را رمزگذاری نکرده است یا خیر. اگر بدون HTTPS وارد وب‌سایتی شوید و فیلتر HTTP را همراه با نام کاربری خود اعمال کنید، حتی ممکن است رمز عبور خود را بدون مشکل در شبکه مشاهده کنید، که این خود نشان دهنده‌ی خطر وب‌سایت‌های ناامن در دنیای واقعی است.

وایرشارک و امنیت: خطرات، حملات و اقدامات حفاظتی

قدرت وایرشارک، بزرگترین ریسک آن نیز هست: در دست افراد نادرست، می‌تواند منجر به تسهیل ضبط اعتبارنامه، جاسوسی یا افشای اطلاعات حساس شود.. در اینجا به برخی از تهدیدها و توصیه‌ها اشاره می‌کنیم:

• پر کردن اعتبارنامه (حملات جستجوی فراگیر اعتبارنامه)اگر ترافیک SSH، Telnet یا سایر سرویس‌ها را ضبط کنید، ممکن است تلاش‌های خودکار برای ورود به سیستم را مشاهده کنید. به جلسات طولانی‌تر (که معمولاً موفقیت‌آمیز هستند)، اندازه بسته‌ها و تعداد تلاش‌ها برای شناسایی الگوهای مشکوک توجه کنید.
• خطر ترافیک خارجیفیلتر کردن تمام ترافیک SSH که از شبکه داخلی شما نمی‌آید: اگر اتصالاتی از خارج مشاهده کردید، هوشیار باشید!
• رمزهای عبور سادهاگر وب‌سایتی نام‌های کاربری و رمزهای عبور رمزگذاری نشده ارسال کند، آن را در تصویر صفحه مشاهده خواهید کرد. هرگز از Wireshark برای به دست آوردن این داده‌ها در شبکه‌های خارجی استفاده نکنید. به یاد داشته باشید که انجام این کار بدون اجازه غیرقانونی است.
• رضایت و مشروعیت: فقط ترافیک شبکه‌های خود یا با مجوز صریح را تجزیه و تحلیل می‌کند. قانون در این مورد کاملاً واضح است و سوءاستفاده می‌تواند عواقب جدی داشته باشد.
• شفافیت و اخلاقاگر در یک محیط شرکتی کار می‌کنید، کاربران را در مورد تحلیل و هدف آن مطلع کنید. احترام به حریم خصوصی به اندازه امنیت فنی مهم است.

جایگزین‌های Wireshark: گزینه‌های دیگر برای تحلیل شبکه

وایرشارک مرجع بی‌چون‌وچرای این ابزار است، اما ابزارهای دیگری نیز وجود دارند که می‌توانند مکمل یا در شرایط خاص جایگزین آن شوند:

• tcpdump: ایده‌آل برای محیط‌های یونیکس/لینوکس، در خط فرمان کار می‌کند. این نرم‌افزار سبک، سریع و انعطاف‌پذیر است و برای ضبط سریع یا انجام خودکار وظایف مناسب است.
• کلودشارک: پلتفرم وب برای آپلود، تجزیه و تحلیل و اشتراک‌گذاری بسته‌های ضبط‌شده از مرورگر. برای محیط‌های مشارکتی بسیار مفید است.
• SmartSniff: متمرکز بر ویندوز، استفاده آسان برای ضبط‌های نقطه‌ای و مشاهده مکالمات بین کلاینت‌ها و سرورها.
• کولاسافت کپسا: تحلیلگر شبکه گرافیکی که به دلیل سادگی رابط کاربری و گزینه‌های خاص برای اسکن پورت، خروجی گرفتن و تجسم فشرده، برجسته است.

انتخاب بهترین جایگزین به نیازهای خاص شما بستگی دارد.سرعت، رابط گرافیکی، همکاری آنلاین یا سازگاری با سخت‌افزار خاص.

تنظیمات پیشرفته: حالت بی‌قاعده، مانیتور و تفکیک‌پذیری نام

حالت بی‌قاعده به کارت شبکه اجازه می‌دهد تا اطلاعات را ضبط کند. نه تنها بسته‌هایی که برای او در نظر گرفته شده بود، بلکه تمام ترافیکی که از طریق شبکه‌ای که به آن متصل است، در گردش است. این امر برای تجزیه و تحلیل شبکه‌های شرکتی، هاب‌های مشترک یا سناریوهای تست نفوذ بسیار مهم است.

در ویندوز، به ضبط > گزینه‌هارابط را انتخاب کنید و کادر حالت بی‌قاعده را علامت بزنید. به خاطر داشته باشید که در شبکه‌های وای‌فای، به جز سخت‌افزارهای بسیار خاص، فقط ترافیک دستگاه خودتان را مشاهده خواهید کرد.

علاوه بر این، وضوح نام، آدرس‌های IP را به نام‌های دامنه قابل خواندن تبدیل می‌کند. (برای مثال، ۸.۸.۸.۸ در google-public-dns-a.google.com). شما می‌توانید این گزینه را از مسیر Edit > Preferences > Name Resolution فعال یا غیرفعال کنید. این به شناسایی دستگاه‌ها در طول اسکن کمک زیادی می‌کند، اگرچه اگر آدرس‌های زیادی در حال بررسی باشند، می‌تواند روند کار را کند کند.