Wiresharkin käyttäminen verkko-ongelmien havaitsemiseen

Jos työskentelet verkko-, tietoturva- tai kehitysalalla ja haluat ymmärtää, mitä kaapeleissasi ja Wi-Fi-verkoissasi tapahtuu, työskentely Wireshark Se on olennainen osa. Tämä avoimen lähdekoodin pakettianalysaattori vuosikymmenten kehityksen ansiosta se mahdollistaa liikenteen kaappaamisen, analysoinnin ja tutkimisen pakettitasolla kirurgisen tarkkuudella.

Tässä artikkelissa analysoimme sitä perusteellisesti: sen lisenssistä ja sponsoroinnista sen GNU/Linux-paketteihin, mukaan lukien konsolin apuohjelmat, tuetut tiedostomuodot, käännösvaatimukset, tallennusoikeudet ja todella kattavan historiallisen ja toiminnallisen katsauksen.

Mikä on Wireshark ja mihin sitä käytetään nykyään?

Pohjimmiltaan Wireshark on protokolla-analysaattori ja liikenteen sieppauslaite jonka avulla voit asettaa käyttöliittymän sekavuus- tai monitoritilaan (jos järjestelmä tukee sitä) ja tarkastella kehyksiä, joita ei lähetettäisi Macillesi, analysoida keskusteluja, rekonstruoida työnkulkuja, värittää paketteja sääntöjen mukaan ja käyttää erittäin ilmeikkäitä näyttösuodattimia. Lisäksi sisältää TSharkin (pääteversio) ja joukko apuohjelmia tehtäviin, kuten kuvakaappausten järjestämiseen uudelleen, jakamiseen, yhdistämiseen ja muuntamiseen.

Vaikka sen käyttö muistuttaa tcpdumpia, se tarjoaa modernin graafisen käyttöliittymän, joka perustuu Qt:hen. suodatus, lajittelu ja syvädissektio tuhansille protokollille. Jos käytät kytkintä, muista, että siveetön tila ei takaa kaiken liikenteen näkemistä: täydellisissä skenaarioissa tarvitset porttien peilauksen tai verkon taput, jotka heidän dokumentaatiossaan mainitaan myös parhaina käytäntöinä.

Lisenssi, perusta ja kehitysmalli

Wiresharkia jaellaan alla GNU GPL v2 ja monissa paikoissa nimellä ”GPL v2 tai uudempi”. Jotkin lähdekoodin apuohjelmat on lisensoitu erilaisilla mutta yhteensopivilla lisensseillä, kuten pidl-työkalu GPLv3+:lla, joka ei vaikuta analysaattorin tuloksena olevaan binääritiedostoon. Mitään nimenomaista tai epäsuoraa takuuta ei ole; käytä sitä omalla vastuullasi, kuten vapaiden ohjelmistojen kanssa on tavallista.

La Wiresharkin säätiö Se koordinoi kehitystä ja jakelua. Se on riippuvainen yksityishenkilöiden ja organisaatioiden lahjoituksista, joiden työ perustuu Wiresharkiin. Projektilla on tuhansia rekisteröityneitä kirjailijoita ja historiallisia henkilöitä, kuten Gerald Combs, Gilbert Ramirez ja Guy Harris, sen näkyvimpien tukijoiden joukossa.

Wireshark toimii Linuxissa, Windowsissa, macOS:ssä ja muissa Unixin kaltaisissa järjestelmissä (BSD, Solaris jne.). Virallisia paketteja julkaistaan ​​Windowsille ja macOS:lle, ja GNU/Linuxissa se sisältyy yleensä vakio- tai lisäosapakettina jakeluihin, kuten Debian, Ubuntu, Fedora, CentOS, RHEL, Arch, Gentoo, openSUSE, FreeBSD, DragonFly BSD, NetBSD ja OpenBSD. Se on saatavilla myös kolmannen osapuolen järjestelmiin, kuten Homebrew, MacPorts, pkgsrc tai OpenCSW.

Koodista kääntämiseen tarvitset Python 3:n, AsciiDoctorin dokumentaatiota varten ja työkaluja, kuten Perlin ja GNU Flexin (klassinen lex ei toimi). CMake-määrityksillä voit ottaa käyttöön tai poistaa käytöstä tiettyjä tukia, esimerkiksi pakkauskirjastoja, joissa on -DENABLE_ZLIB=POIS, -DENABLE_LZ4=POIS tai -DENABLE_ZSTD=POIStai libsmi-tukea asetuksella -DENABLE_SMI=OFF, jos et halua ladata MIB-tiedostoja.

Paketit ja kirjastot Debian-pohjaisissa järjestelmissä

Debianissa/Ubuntussa ja johdannaisympäristöissä Wiresharkin ekosysteemi on jaettu useita pakettejaAlla on erittely ominaisuuksista, likimääräisistä kokoluokista ja riippuvuuksista. Näiden pakettien avulla voit valita täydellisestä käyttöliittymästä kirjastoihin ja kehitystyökaluihin dissektioiden integroimiseksi omiin sovelluksiisi.

Wireshark

Graafinen sovellus liikenteen kaappaamiseen ja analysointiin Qt-käyttöliittymällä. Arvioitu koko: 10.59 MtLaitos: sudo apt install wireshark

Käynnistysvaihtoehdoista löydät parametrit käyttöliittymän valitsemiseksi (-i), kaappaussuodattimet (-f), tilannevedosten rajoitus, näyttötila, linkkityyppiluettelot, näyttösuodattimet (-Y), ”Decode As” ja asetukset sekä tiedostojen tulostusmuodot ja kommenttien sieppaus. Sovellus sallii myös konfiguraatioprofilointi ja tilastot käyttöliittymän edistyneitä ominaisuuksia.

Hai

Konsoliversio komentoriviltä tapahtuvaa tallennusta ja analysointia varten. Arvioitu koko: 429 ktLaitos: sudo apt install tshark

Sen avulla voit valita rajapintoja, käyttää sieppaus- ja näyttösuodattimia, määrittää pysäytysehdot (aika, koko, pakettien lukumäärä), käyttää pyöreitä puskureita, tulostaa tietoja, heksa- ja JSON-vedoksia sekä viedä TLS-objekteja ja -avaimia. Se voi myös värittää tulosteen yhteensopivassa terminaalissa. lokitietojen säätäminen verkkotunnusten ja yksityiskohtaisuuden tasojen mukaan. BPF JIT:n käyttöönotossa ytimen tasolla on noudatettava varovaisuutta, koska sillä voi olla tietoturvavaikutuksia.

wireshark-common

Yleisiä tiedostoja Wiresharkille ja tsharkille (esim. sanakirjat, asetukset ja linjatyökalut). Arvioitu koko: 1.62 MtLaitos: sudo apt install wireshark-common

Tämä paketti sisältää apuohjelmia, kuten capinfos (tallennustiedoston tiedot: tyyppi, kapselointi, kesto, nopeudet, koot, tiivisteet ja kommentit), päätyyppi (tunnista tiedostotyypit), kaatopaikka (kevyt kaappauslaite, joka käyttää pcapng/pcap-toimintoja automaattisella pysäytyksellä ja pyöreillä puskureilla), muokkauspää (muokkaa/jaa/muunna tallenteita, säädä aikaleimoja, poista kaksoiskappaleita, lisää kommentteja tai salaisuuksia), yhdistymispääoma (yhdistä tai ketjuta useita kaappeja) mmdbresolve (IP-paikannuksen selvittäminen MMDB-tietokannoilla), randpkt (moniprotokollainen synteettinen pakettigeneraattori), raakahai (raaka dissektio kenttätulosten kera) uudelleentilauskatto (järjestä uudelleen aikaleiman mukaan) haikara (daemon API:lla sieppausten käsittelyyn) ja text2pcap (muunna heksadump-tiedostot tai jäsennelty teksti kelvollisiksi kaapatuiksi tiedostoiksi).

libwireshark18 ja libwireshark-data

Keskitetty pakettien analysointikirjasto. Tarjoaa Wiresharkin/TSharkin käyttämät protokolla-analysaattorit. Arvioitu kirjaston koko: 126.13 MtLaitos: sudo apt install libwireshark18 y sudo apt install libwireshark-data

Se sisältää tuen valtavalle määrälle protokollia ja asetuksia, kuten tiettyjen dissektioiden, heuristiikkojen ja "Decode As" -toiminnon käyttöönoton tai poistamisen käytöstä käyttöliittymästä tai komentoriviltä; tämän ansiosta voit mukauttaa todellisen liikenteen analysointi ympäristöstäsi.

libwiretap15 ja libwiretap-dev

Wiretap on kirjasto useiden sieppaustiedostomuotojen lukemiseen ja kirjoittamiseen. Sen vahvuuksia ovat tuettujen tiedostomuotojen monipuolisuus; sen rajoituksia ovat: Se ei suodata eikä suorita suoraa sieppausta.Laitos: sudo apt install libwiretap15 y sudo apt install libwiretap-dev

-dev-variantti tarjoaa staattisen kirjaston ja C-otsikot luku-/kirjoitustoimintojen integroimiseksi työkaluihisi. Näin voit kehittää apuohjelmia, jotka käsittelevät dataa. pcap, pcapng ja muut säiliöt osana omia putkistojamme.

libwsutil16 ja libwsutil-dev

Wiresharkin ja siihen liittyvien kirjastojen jakamat apuohjelmat: apufunktiot merkkijonojen käsittelyyn, puskurointiin, salaukseen jne. Asennus: sudo apt install libwsutil16 y sudo apt install libwsutil-dev

-dev-paketti sisältää otsikot ja staattisen kirjaston, jotta ulkoiset sovellukset voivat linkittää yleisiä apuohjelmia ilman pyörien uudelleen toteuttamista. Se on perusta useita jaettuja toimintoja jotka käyttävät Wiresharkia ja TSharkia.

wireshark-dev

Työkaluja ja tiedostoja uusien "dissektorien" luomiseen. Se tarjoaa skriptejä, kuten idl2wrs, sekä riippuvuuksia kääntämistä ja testausta varten. Arvioitu koko: 621 ktLaitos: sudo apt install wireshark-dev

Se sisältää apuohjelmia, kuten asn2deb (luo Debian-paketteja BER-valvontaan ASN.1:stä) ja idl2deb (CORBA-paketit). Ja ennen kaikkea idl2wrsTämä työkalu muuntaa CORBA IDL:n C-liitännäisen rungoksi GIOP/IIOP-liikenteen analysointia varten. Tämä työnkulku perustuu Python-skripteihin (wireshark_be.py ja wireshark_gen.py) ja tukee heuristista analysointia oletuksena. Työkalu etsii moduulejaan kohdasta PYTHONPATH/site-paketit tai nykyisessä hakemistossa ja hyväksyy tiedoston uudelleenohjauksen koodin luomiseksi.

wireshark-doc

Käyttäjädokumentaatio, kehitysopas ja Lua-viite. Arvioitu koko: 13.40 MtLaitos: sudo apt install wireshark-doc

Suositellaan, jos aiot perehtyä aiheeseen syvällisemmin laajennukset, skriptit ja API:tVirallisella verkkosivustolla olevaa online-dokumentaatiota päivitetään jokaisen vakaan version yhteydessä.

Kaappaus- ja turvallisuusluvat

Monissa järjestelmissä suora sieppaus vaatii laajennettuja käyttöoikeuksia. Tästä syystä Wireshark ja TShark delegoivat sieppauksen kolmannen osapuolen palvelulle. kaatopaikkaBinääritiedosto, joka on suunniteltu toimimaan oikeuksilla (set-UID tai kyvyt) hyökkäyspinnan minimoimiseksi. Koko graafisen käyttöliittymän suorittaminen root-käyttäjänä ei ole hyvä käytäntö; on parempi tallentaa se dumpcap- tai tcpdump-komennolla ja analysoida ilman oikeuksia riskien vähentämiseksi.

Projektin historiaan kuuluu tietoturvaongelmia dissectoreissa vuosien varrella, ja jotkut alustat, kuten OpenBSD, poistivat vanhan Ethereal-instanssin käytöstä tästä syystä. Nykyisessä mallissa eristäminen kaappauksesta ja jatkuvat päivitykset parantavat tilannetta, mutta on aina suositeltavaa noudata turvallisuusohjeita Ja jos havaitset epäilyttävää toimintaa, tiedä miten estä epäilyttävät verkkoyhteydet ja vältä epäluotettavien kuvakaappausten avaamista ilman ennakkotarkistusta.

Tiedostomuodot, pakkaus ja erikoisfontit

Wireshark lukee ja kirjoittaa pcap- ja pcapng-tiedostomuotoja sekä muiden analysaattorien, kuten Snoopin, Network General Snifferin, Microsoft Network Monitorin ja monien yllä Wiretapin luettelemien tiedostomuotoja. Se voi avata pakattuja tiedostoja, jos ne on käännetty pcapng-kirjastoilla. GZIP, LZ4 ja ZSTDErityisesti GZIP ja LZ4 itsenäisillä lohkoilla mahdollistavat nopeat hypyt, mikä parantaa graafisen käyttöliittymän suorituskykyä suurissa kaappauksissa.

Projekti dokumentoi ominaisuuksia, kuten AIX iptrace (jossa daemonin HUP sulkeutuu siististi), tuki Lucent/Ascend-jäljityksille, Toshiba ISDN tai CoSine L2, ja osoittaa, kuinka tekstituloste tallennetaan tiedostoon (esim. telnet <equipo> | tee salida.txt tai työkalun avulla käsikirjoitus) tuodaksesi sen myöhemmin text2pcap-komennolla. Nämä polut vievät sinut pois "Perinteiset" kaappaukset kun käytät laitteita, jotka eivät kaadu suoraan kannen päälle.

Suite-apuohjelmat ja -lisävarusteluokat

Wiresharkin ja TSharkin lisäksi jakelu sisältää useita työkaluja, jotka kattavat hyvin erityisiä tehtäviäKopioimatta ohjetekstiä sanatarkasti, tässä on yhteenveto luokittain, jotta tiedät, mitä kukin tekee ja mitä vaihtoehtoja löydät:

• kaatopaikka: ”puhdas ja yksinkertainen” pcap/pcapng-tallennus, rajapinnan valinta, BPF-suodattimet, puskurin koko, kierto ajan/koon/tiedostojen mukaan, rengaspuskurien luonti, kommenttien tallennus ja tulostus muodossa koneellisesti luettavaSe varoittaa BPF:n JIT-operaation aktivoinnista mahdollisten riskien vuoksi.
• capinfosSe näyttää tiedostotyypin, kapseloinnin, rajapinnat ja metatiedot; pakettien määrän, tiedostokoon, kokonaispituuden, tilannevedosten rajoituksen, aikajärjestyksen (ensimmäinen/viimeinen), keskimääräiset tiedonsiirtonopeudet (bps/Bps/pps), keskimääräisen pakettikoon, tiivisteet ja kommentit. Se mahdollistaa taulukkomuotoisen tai yksityiskohtaisen tulosteen ja koneellisesti luettavat muodot.
• päätyyppi: määrittää yhden tai useamman merkinnän sieppaustiedoston tyypin ohje- ja versioasetuksilla.
• muokkauspääSe valitsee/poistaa pakettialueita, katkaisee/katkaisee paketteja, säätää aikaleimoja (mukaan lukien tarkka järjestys), poistaa kaksoiskappaleet konfiguroitavien ikkunoiden avulla, lisää kommentteja kehystä kohden, jakaa tulosteen numeron tai ajan mukaan, muuttaa säilöä ja kapselointia, käsittelee salauksenpurkusalaisuuksia ja pakkaa tulosteen. Se on yleiskäyttöinen työkalu sieppausten "siivoamiseen".
• yhdistymispääoma: yhdistää useita sieppauksia yhdeksi joko lineaarisella ketjutuksella tai aikaleimapohjaisella sekoittamisella, ohjaa snaplen-toimintoa, määrittää tulostustyypin, IDB-yhdistämistilan ja lopullisen pakkauksen.
• uudelleentilauskatto: järjestää tiedoston aikaleiman mukaan luoden puhtaan tulosteen ja jos se on jo lajiteltu, voi välttää tuloksen kirjoittamisen I/O:n tallentamiseksi.
• text2pcap: muuntaa heksadesimaalit tai tekstin säännöllisellä lausekkeella kelvolliseksi siepatuksi muodossa; tunnistaa siirtymät eri tietokannoissa, aikaleimat strptime-muodoissa (mukaan lukien murtolukutarkkuus), havaitsee liitetyt ASCII-koodit tarvittaessa ja voi lisätä alkuun "dummy"-otsikot (Ethernet, IPv4/IPv6, UDP/TCP/SCTP, EXPORTED_PDU) portit, osoitteet ja tunnisteet ilmoitettu.
• raakahai: ”raaka” kenttäorientoitunut lukija; voit asettaa kapselointi- tai dissektioprotokollan, poistaa nimen resoluutiot käytöstä, asettaa luku-/näyttösuodattimia ja päättää kentän tulostusmuodon, hyödyllinen muiden työkalujen kanssa tehtävässä käsittelyssä.
• randpktLuo tiedostoja satunnaisista paketeista, joiden tyyppi on esimerkiksi ARP, BGP, DNS, Ethernet, IPv4/IPv6, ICMP, TCP/UDP, SCTP, Syslog, USB-Linux jne., määrittäen tilin, enimmäiskoon ja säilön. Ihanteellinen testit ja demot.
• mmdbresolve: Kysele MaxMind-tietokannoista (MMDB) IPv4/IPv6-osoitteiden maantieteellisen sijainnin näyttämiseksi määrittämällä yksi tai useampi tietokantatiedosto.
• haikara: daemon, joka paljastaa API:n (tila "gold") tai klassisen soketin (tila "classic"); tukee määritysprofiileja ja sitä ohjataan asiakkailta palvelinpuolen analysointia ja hakuja varten, hyödyllinen automaatiossa ja palveluissa.

Arkkitehtuuri, ominaisuudet ja rajoitukset

Wireshark käyttää libpcap/Npcap-kirjastoja tiedonkeruussa sekä kirjastojen ekosysteemiä (libwireshark, libwiretap, libwsutil), joka erottelee tiedonkäsittelyn, formaatit ja apuohjelmat. Se mahdollistaa VoIP-puheluiden tunnistuksen, äänen toiston tuetuissa koodauksissa, raaka-USB-liikenteen tallennuksen ja suodatuksen Wi-Fi-verkoissa (jos ne kulkevat valvotun Ethernetin kautta). laajennukset uusille protokollille kirjoitettu C- tai Lua-kielellä. Se voi myös vastaanottaa kapseloitua etäliikennettä (esim. TZSP) reaaliaikaista analyysia varten toiselta koneelta.

Se ei ole tunkeutumisen havaitsemisjärjestelmä (IDS), eikä se lähetä hälytyksiä; sen rooli on passiivinen: se tarkastaa, mittaa ja näyttää. Siitä huolimatta aputyökalut tarjoavat tilastoja ja työnkulkuja, ja koulutusmateriaaleja on helposti saatavilla (mukaan lukien vuoteen 2025 suunnatut koulutussovellukset, jotka opettavat suodattimia, nuuhkimista, käyttöjärjestelmän sormenjälkien perusteita, reaaliaikaista analyysia, automaatiota, salattua liikennettä ja integrointia DevOps-käytäntöihin). Tämä koulutusaspekti täydentää ydintoimintoja. vianmääritys ja vianetsintä.

Yhteensopivuus ja ekosysteemi

Rakennus- ja testausalustoihin kuuluvat Linux (Ubuntu), Windows ja macOSProjektissa mainitaan myös laaja yhteensopivuus muiden Unix-tyyppisten järjestelmien kanssa ja jakelu kolmannen osapuolen hallintaohjelmien kautta. Joissakin tapauksissa vanhemmat käyttöjärjestelmäversiot vaativat aiempia haaroja (esimerkiksi Windows XP versiolla 1.10 tai aiemmalla). Yleensä voit asentaa virallisista arkistoista tai binääritiedostoista useimmissa ympäristöissä ilman suurempia ongelmia.

Ne integroituvat verkkosimulaattoreihin (ns, OPNET Modeler), ja kolmannen osapuolen työkaluja (esim. Aircrack 802.11:lle) voidaan käyttää kaappausten luomiseen, jotka Wireshark avaa vaivattomasti. tiukka laillisuus ja etiikkaMuista tallentaa vain verkoissa ja tilanteissa, joihin sinulla on nimenomainen lupa.

Nimi, viralliset verkkosivustot ja valvontatiedot

Virallinen verkkosivusto on wirehark.orgjossa on lataukset sen /download-alihakemistossa ja online-dokumentaatio käyttäjille ja kehittäjille. Sivuilla on auktoriteettivalvonta (esim. GND) ja linkkiluetteloita koodivarastoon, virheenseurantaan ja projektiblogiin, jotka ovat hyödyllisiä uutisten seuraamiseen ja ongelmien raportointiin.

Ennen kuin aloitat tallentamisen, tarkista järjestelmäsi käyttöoikeudet ja ominaisuudet, päätä, käytätkö dumpcap/tcpdump-komentoa levylle tallentamiseen ja analysointiin ilman käyttöoikeuksia, ja valmistele tallennus- ja näyttösuodattimet tavoitteesi mukaisesti. Hyvällä menetelmällä Wireshark yksinkertaistaa monimutkaista ja antaa sinulle juuri oikeat tiedot. Tarvitsemasi näkyvyys diagnosoida, oppia tai auditoida minkä tahansa kokoisia verkkoja.

Aiheeseen liittyvä artikkeli:

Mitä tehdä ensimmäisten 24 tunnin aikana hakkeroinnin jälkeen: mobiili-, tietokone- ja verkkotilit

Daniel Terrasa

Teknologiaan ja internet-asioihin erikoistunut toimittaja, jolla on yli kymmenen vuoden kokemus erilaisista digitaalisista medioista. Olen työskennellyt toimittajana ja sisällöntuottajana verkkokaupan, viestinnän, verkkomarkkinoinnin ja mainonnan yrityksissä. Olen myös kirjoittanut taloustieteen, rahoituksen ja muiden alojen verkkosivuille. Työni on myös intohimoni. Nyt artikkeleideni kautta Tecnobits, Yritän tutkia kaikkia uutisia ja uusia mahdollisuuksia, joita teknologian maailma tarjoaa meille joka päivä parantaaksemme elämäämme.