Wéi benotzt een Wireshark fir Netzwierkproblemer z'entdecken

Wann Dir am Beräich vun der Netzwierker, Sécherheet oder Entwécklung schafft a wëllt verstoen, wat op Äre Kabelen a Wi-Fi geschitt, da schafft Dir mat ... Wireshark Et ass en essentiellt Element. Dëst Open-Source-Package-Analysator mat Joerzéngte vun Evolutioun, déi et erlaabt, den Traffic op Paketniveau mat chirurgescher Präzisioun ze erfassen, ze dissekéieren an ze studéieren.

An dësem Artikel analyséiere mir et am Detail: vun senger Lizenz a sengem Sponsoring bis zu senge Paketen a GNU/Linux, inklusiv Konsolen-Utilities, ënnerstëtzte Formater, Kompilatiounsufuerderungen, Erfassungsrechter an engem wierklech komplette historeschen a funktionellen Iwwerbléck.

Wat ass Wireshark a fir wat gëtt et haut benotzt?

Am Fong ass Wireshark en Protokollanalysator an Traffic-Erfassungsgerät wat Iech erlaabt, en Interface an de promiskuösen oder Monitormodus ze setzen (wann de System dat ënnerstëtzt) a Biller ze kucken, déi net op Äre Mac geschéckt géife ginn, Gespréicher ze analyséieren, Fléiss ze rekonstruéieren, Päcketen no Reegelen ze faarwen an ganz expressiv Displayfilter unzewenden. Ausserdeem, enthält TShark (Terminalversioun) an e Set vun Utilitys fir Aufgaben ewéi d'Neiuerdnung, d'Splitting, d'Zesummeféiere an d'Konvertéierung vu Screenshots.

Obwuel seng Benotzung un tcpdump erënnert, bitt et eng modern graphesch Interface baséiert op Qt mat Filteren, Sortéieren an Déifdissektion fir Dausende vu Protokoller. Wann Dir op engem Switch sidd, denkt drun datt de promiskuöse Modus net garantéiert datt Dir de ganze Verkéier gesitt: fir komplett Szenarie braucht Dir Port Mirroring oder Netzwierktaps, déi an hirer Dokumentatioun och als Best Practices ernimmt ginn.

Lizenz, Grënnung a Entwécklungsmodell

Wireshark gëtt verdeelt ënner GNU GPL v2 an op ville Plazen als "GPL v2 oder spéider". E puer Utilityen am Quellcode sinn ënner verschiddenen, awer kompatiblen Lizenzen lizenzéiert, wéi zum Beispill den pidl-Tool mat GPLv3+, wat den resultéierende Binär vum Analysator net beaflosst. Et gëtt keng ausdrécklech oder implizit Garantie; benotzt et op eege Risiko, wéi et bei fräier Software üblech ass.

La Wireshark Fondatioun Et koordinéiert d'Entwécklung an d'Verdeelung. Et baséiert op Spenden vun Eenzelpersounen an Organisatiounen, deenen hir Aarbecht op Wireshark baséiert. De Projet huet Dausende vun registréierten Autoren an historesche Figuren wéi de Gerald Combs, de Gilbert Ramirez an de Guy Harris zu senge prominentsten Ënnerstëtzer.

Wireshark leeft op Linux, Windows, macOS an aner Unix-ähnlech Systemer (BSD, Solaris, etc.). Offiziell Pakete gi fir Windows a macOS erausbruecht, an op GNU/Linux ass et normalerweis als Standard- oder Add-on-Paket an Distributiounen wéi Debian, Ubuntu, Fedora, CentOS, RHEL, Arch, Gentoo, openSUSE, FreeBSD, DragonFly BSD, NetBSD an OpenBSD abegraff. Et ass och op Drëtt-Partei-Systemer verfügbar wéi z.B. Homebrew, MacPorts, pkgsrc oder OpenCSW.

Fir aus Code ze kompiléieren, braucht Dir Python 3; AsciiDoctor fir d'Dokumentatioun; an Tools wéi Perl a GNU Flex (klassesch Lex funktionéiert net). D'Konfiguratioun mat CMake erlaabt Iech spezifesch Ënnerstëtzung z'aktivéieren oder ze deaktivéieren, zum Beispill Kompressiounsbibliothéiken mat -DENABLE_ZLIB=AUS, -DENABLE_LZ4=AUS oder -DENABLE_ZSTD=AUS, oder libsmi-Ënnerstëtzung mat -DENABLE_SMI=OFF wann Dir léiwer keng MIBs luede wëllt.

Paketen a Bibliothéiken an Debian-baséierte Systemer

An Debian/Ubuntu an Derivat-Ëmfeld ass de Wireshark-Ökosystem opgedeelt an verschidde PaketenHei ënnendrënner ass eng Iwwersiicht mat Funktiounen, ongeféieren Gréissten an Ofhängegkeeten. Dës Pakete erlaben Iech tëscht enger kompletter GUI a Bibliothéiken an Entwécklungsinstrumenter ze wielen fir Dissektiounen an Är eegen Applikatiounen z'integréieren.

Wëssenschaft

Grafesch Applikatioun fir d'Erfassung an d'Analyse vum Traffic mat enger Qt-Interface. Geschätzte Gréisst: 10.59 MBAriichtung: sudo apt install wireshark

Ënnert senge Startup-Optiounen fannt Dir Parameteren fir d'Interface ze wielen (-i), Erfassungsfilter (-f), Snapshot-Limit, Monitormodus, Linktyplëschten, Displayfilter (-Y), „Decode As“ a Virléiften, souwéi Dateiausgabformater a Kommentarer ophuelen. D'Applikatioun erlaabt et och Konfiguratiounsprofiléierung a Statistiken fortgeschratt Funktiounen vun der Interface.

shark

Konsoleversioun fir Kommandozeilenerfassung an -analyse. Geschätzte Gréisst: 429 KBAriichtung: sudo apt install tshark

Et erlaabt Iech Schnëttstellen auszewielen, Erfassungs- a Displayfilter anzuwenden, Stoppbedingungen (Zäit, Gréisst, Zuel vu Paketen) ze definéieren, kreesfërmeg Puffer ze benotzen, Detailer auszedrécken, Hex- an JSON-Dumps ze maachen, an TLS-Objeten a Schlësselen ze exportéieren. Et kann och d'Ausgab an engem kompatiblen Terminal faarweg maachen. Logbuch upassen no Domänen an Detailniveauen. Vorsicht ass ugeroden, wann Dir BPF JIT op Kernelniveau aktivéiert, well et Sécherheetsauswierkunge kéint hunn.

Wireshark-gemeinsam

Gemeinsam Dateien fir Wireshark an tshark (z.B. Dictionnairen, Konfiguratiounen a Line-Utilities). Geschätzte Gréisst: 1.62 MBAriichtung: sudo apt install wireshark-common

Dëse Pak enthält Utilityen wéi z.B. capinfos (Informatioune vun der Erfassungsdatei: Typ, Kapselung, Dauer, Raten, Gréissten, Hashes a Kommentarer), Kapptyp (Dateitypen identifizéieren), Dumpcap (liicht Erfassungsgerät, dat pcapng/pcap mat Autostop a kreesfërmegen Puffer benotzt), editcap (Opnamen änneren/opdeelen/konvertéieren, Zäitstempel upassen, Duplikater ewechhuelen, Kommentarer oder Geheimnisser derbäisetzen), Mergecap (verschidden Opnamen zesummeféieren oder zesummesetzen), mmdbresolve (IP-Geolokatioun mat MMDB-Datebanken opléisen), Randpkt (Multi-Protokoll synthetesche Paketgenerator), Rawshark (roh Dissektion mat Feldausgang), nei Bestellungslimit (no Zäitstempel nei sortéieren), Hai (Daemon mat API fir Erfassungen ze veraarbechten) an text2pcap (Hexdumps oder strukturéierten Text a gülteg Erfassungen ëmwandelen).

libwireshark18 an libwireshark-Daten

Zentral Pakettdissektionsbibliothéik. Stellt d'Protokollanalysatoren zur Verfügung, déi vu Wireshark/TShark benotzt ginn. Ongeféier Bibliothéiksgréisst: 126.13 MBAriichtung: sudo apt install libwireshark18 y sudo apt install libwireshark-data

Et enthält Ënnerstëtzung fir eng grouss Zuel vu Protokoller an Optiounen, wéi zum Beispill d'Aktivéierung oder Deaktivéierung vu spezifeschen Dissektiounen, Heuristiken an "Decode As" vun der Interface oder der Kommandozeil aus; doduerch kënnt Dir d'... upassen. Dissektioun vum reelle Verkéier vun Ärer Ëmwelt.

libwiretap15 an libwiretap-dev

Wiretap ass eng Bibliothéik fir verschidde Capture-Dateiformater ze liesen an ze schreiwen. Seng Stäerkten sinn déi villfälteg Formater, déi se ënnerstëtzt; seng Limitatioune sinn: Et filtert net a mécht keng direkt Erfaassung.Ariichtung: sudo apt install libwiretap15 y sudo apt install libwiretap-dev

D'Variant -dev stellt déi statesch Bibliothéik an C-Header zur Verfügung fir Lies-/Schreifoperatiounen an Är Tools z'integréieren. Dëst erlaabt Iech Utilityen z'entwéckelen, déi Daten manipuléieren. pcap, pcapng an aner Behälter als Deel vun eisen eegenen Pipelines.

libwsutil16 an libwsutil-dev

E Set vun Utilitys, déi vu Wireshark a verwandte Bibliothéiken gedeelt ginn: Hëllefsfunktiounen fir Stringmanipulatioun, Puffering, Verschlësselung, etc. Installatioun: sudo apt install libwsutil16 y sudo apt install libwsutil-dev

De -dev Pak enthält Headeren an eng statesch Bibliothéik, sou datt extern Applikatioune gemeinsam Utilitye verbannen kënnen, ouni datt se d'Wheels nei implementéiere mussen. Et ass d'Grondlag vun verschidde gemeinsam Funktiounen déi Wireshark an TShark benotzen.

Wireshark-Entwécklung

Tools a Fichieren fir nei "Dissektoren" ze kreéieren. Et bitt Skripter wéi idl2wrs, souwéi Ofhängegkeeten fir d'Kompiléierung an d'Testen. Geschätzte Gréisst: 621 KBAriichtung: sudo apt install wireshark-dev

Et enthält Utilitys wéi asn2deb (generéiert Debian-Pakete fir BER-Iwwerwaachung vun ASN.1) an idl2deb (Pakete fir CORBA). An, virun allem, idl2wrsDëst Tool transforméiert eng CORBA IDL an d'Skelett vun engem C-Plugin fir d'Dissektioun vum GIOP/IIOP-Traffic. Dëse Workflow baséiert op Python-Skripter (wireshark_be.py a wireshark_gen.py) an ënnerstëtzt standardméisseg heuristesch Dissektioun. Den Tool sicht no senge Moduler an PYTHONPATH/site-packages oder am aktuellen Verzeichnis, an akzeptéiert d'Ëmleedung vun Dateien fir de Code ze generéieren.

Wireshark-doc

Benotzerdokumentatioun, Entwécklungsguide a Lua-Referenz. Geschätzte Gréisst: 13.40 MBAriichtung: sudo apt install wireshark-doc

Recommandéiert wann Dir méi déif an d'Saach gitt Extensiounen, Skripting an APIenD'Online-Dokumentatioun op der offizieller Websäit gëtt mat all stabiler Versioun aktualiséiert.

Erfaassungs- a Sécherheetsgenehmigungen

A ville Systemer erfuerdert direkt Erfassung erhéicht Privilegien. Aus dësem Grond delegéieren Wireshark an TShark d'Erfassung un en Drëtt-Partei-Service. DumpcapE Binärdatei, dee sou konzipéiert ass, datt en mat Privilegien (set-UID oder Capabilities) leeft, fir d'Attackfläch ze minimiséieren. Déi ganz GUI als Root ze lafen ass keng gutt Praxis; et ass besser, mat dumpcap oder tcpdump ze erfassen an ouni Privilegien ze analyséieren, fir d'Risiken ze reduzéieren.

D'Geschicht vum Projet enthält Sécherheetsincidenter an Dissektoren iwwer d'Joren, an e puer Plattforme wéi OpenBSD hunn déi al Ethereal-Instanz aus deem Grond zréckgezunn. Mam aktuelle Modell verbesseren d'Isolatioun vum Capture a stänneg Updates d'Situatioun, awer et ass ëmmer ubruecht ... befollegt d'Sécherheetshinweiser An, wann Dir verdächteg Aktivitéiten erkennt, wësst wéi verdächteg Netzwierkverbindungen blockéieren an vermeit et, net vertrauenswierdeg Screenshots ouni virdrun Iwwerpréiwung opzemaachen.

Dateiformate, Kompressioun a speziell Schrëften

Wireshark liest a schreift pcap a pcapng, souwéi Formater vun aneren Analysatoren wéi Snoop, Network General Sniffer, Microsoft Network Monitor, an de ville vun Wiretap uewe genannten. Et kann kompriméiert Dateien opmaachen, wa se mat Bibliothéike fir pcapng kompiliéiert goufen. GZIP, LZ4 an ZSTDBesonnesch GZIP an LZ4 mat onofhängege Blöcke erlaben séier Spréng, wat d'GUI-Performance bei grousse Capture verbessert.

De Projet dokumentéiert Funktiounen wéi AIX iptrace (wou eng HUP zum Daemon propper zougeet), Ënnerstëtzung fir Lucent/Ascend Traces, Toshiba ISDN oder CoSine L2, an weist un, wéi een den Textoutput an eng Datei erfaasst (z.B. mat telnet <equipo> | tee salida.txt oder andeems Dir den Tool benotzt Schrëft) fir et spéider mat text2pcap z'importéieren. Dës Weeër féieren Iech aus „konventionell“ Opnamen wann Dir Ausrüstung benotzt, déi net direkt iwwer de PCop kippt.

Suite-Utilitéiten an Optiounskategorien

Nieft Wireshark an TShark enthält d'Distributioun och ... verschidde Tools, déi ganz spezifesch Aufgaben ofdeckenOuni den Hëllefstext Wuert fir Wuert ze kopéieren, hei ass eng Zesummefassung, déi a Kategorien organiséiert ass, fir datt Dir wësst, wat all Kategorie mécht a wéi eng Optiounen Dir fannt:

• Dumpcap: „pur a einfach“ pcap/pcapng-Erfassung, Interface-Auswiel, BPF-Filter, Puffergréisst, Rotatioun no Zäit/Gréisst/Dateien, Erstellung vu Ringpufferen, Erfassungskommentarer an Ausgab am Format maschinell liesbarEt warnt virun der Aktivéierung vum JIT vu BPF wéinst potenziellen Risiken.
• capinfosEt weist Dateityp, Kapselung, Schnëttstellen a Metadaten un; Zuel vun de Päckchen, Dateigréisst, Gesamtlängt, Snapshot-Limit, Chronologie (Virnumm/Familljennumm), Duerchschnëttsraten (bps/Bps/pps), duerchschnëttlech Päckchengréisst, Hashes a Kommentarer. Et erméiglecht tabellaresch oder detailléiert Ausgab a maschinneliesbar Formater.
• Kapptyp: identifizéiert den Typ vun der Erfassungsdatei fir een oder méi Entréen mat Hëllef- an Versiounsoptiounen.
• editcapEt wielt/läscht Paketberäicher, snapt/chopéiert, passt Zäitstempel un (inklusiv strikt Reiefolleg), läscht Duplikater mat konfiguréierbare Fënsteren, füügt Kommentarer pro Frame bäi, deelt d'Output no Zuel oder Zäit op, ännert Container a Kapselung, schafft mat Entschlësselungsgeheimnisser a kompriméiert d'Output. Et ass dat Allzweck-Tool fir d'Opraume vu Captures.
• MergecapKombinéiert verschidde Captures zu enger, entweder duerch linear Verketteung oder Zäitstempelbaséiert Mëschung, kontrolléiert Snaplen, definéiert den Outputtyp, den IDB-Fusiounsmodus an déi final Kompressioun.
• nei Bestellungslimit: nei sortéiert eng Datei no Zäitstempel, generéiert eng propper Ausgab a kann, wann se scho sortéiert ass, vermeiden datt d'Resultat geschriwwe gëtt fir I/O ze späicheren.
• text2pcapkonvertéiert Hexdumps oder Text mat Regex an eng gülteg Erfassung; erkennt Offsets a verschiddene Datenbanken, setzt Zäitstempel mat Strptime-Formater (inklusiv fraktionell Präzisioun), detektéiert ugehaangenen ASCII wann zoutreffend, a kann "Dummy"-Headeren (Ethernet, IPv4/IPv6, UDP/TCP/SCTP, EXPORTED_PDU) virsetzen mat Ports, Adressen an Etiketten uginn.
• Rawshark: „raw“ feldorientéierte Lieser; erlaabt Iech d'Inkapsulatiouns- oder Dissektiounsprotokoll anzestellen, Nimmopléisungen auszeschalten, Lies-/Uweisfilter anzestellen an de Feldausgabeformat ze bestëmmen, nëtzlech fir Pipeline mat aneren Tools.
• RandpktGeneréiert Dateien mat zoufällege Paketen vun Typen wéi ARP, BGP, DNS, Ethernet, IPv4/IPv6, ICMP, TCP/UDP, SCTP, Syslog, USB-Linux, etc., andeems de Kont, d'maximal Gréisst an de Container uginn ginn. Ideal fir Tester an Demoen.
• mmdbresolveMaxMind-Datebanken (MMDB) ofrufen fir d'Geolokatioun vun IPv4/IPv6-Adressen unzeweisen, andeems eng oder méi Datebankdateien uginn ginn.
• Hai: Daemon, deen eng API (Modus "Gold") oder e klassesche Socket (Modus "Classic") exposéiert; ënnerstëtzt Konfiguratiounsprofiler a gëtt vu Clienten fir Server-Säit Dissektioun a Recherchen kontrolléiert, nëtzlech an der Automatiséierung a Servicer.

Architektur, Charakteristiken a Limitatiounen

Wireshark baséiert op libpcap/Npcap fir d'Erfassung, an op en Ökosystem vu Bibliothéiken (libwireshark, libwiretap, libwsutil), déi d'Dissektion, d'Formater an d'Utilities trennen. Et erméiglecht d'Detektioun vu VoIP-Uriff, d'Wiedergabe vun Audio an ënnerstëtzten Kodéierungen, d'Erfassung vu rauem USB-Traffic a Filterung op Wi-Fi-Netzwierker (wa se iwwerwaacht Ethernet lafen). Plugins fir nei Protokoller a C oder Lua geschriwwen. Et kann och encapsuléierten Fernverkéier (z.B. TZSP) fir Echtzäitanalyse vun enger anerer Maschinn empfänken.

Et ass keen IDS, an et gëtt och keng Alarmer eraus; seng Roll ass passiv: et iwwerpréift, moosst a weist un. Trotzdem bidden Hëllefsinstrumenter Statistiken a Workflows, an Trainingsmaterialien si liicht verfügbar (inklusiv pädagogesch Apps, déi op 2025 ausgeriicht sinn a Filter, Sniffing, Basis OS Fingerprinting, Echtzäitanalyse, Automatiséierung, verschlësselten Traffic an Integratioun mat DevOps-Praktiken léieren). Dësen pädagogeschen Aspekt ergänzt d'Kärfunktionalitéit vun Diagnos a Problemléisung.

Kompatibilitéit an Ökosystem

D'Bau- a Testplattforme gehéieren ënner anerem Linux (Ubuntu), Windows a macOSDe Projet ernimmt och eng breet Kompatibilitéit mat zousätzleche Unix-ähnleche Systemer an d'Verdeelung iwwer Drëttubidder-Manager. A verschiddene Fäll erfuerderen méi al OS-Versiounen fréier Branchen (zum Beispill Windows XP mat der Versioun 1.10 oder méi fréi). Am Allgemengen kënnt Dir an de meeschte Ëmfeld ouni gréisser Problemer aus offiziellen Repositories oder Binärdateien installéieren.

Si integréiere sech mat Netzwierksimulatoren (ns, OPNET Modeler), an Tools vun Drëttubidder (z.B. Aircrack fir 802.11) kënne benotzt ginn, fir Opnamen ze produzéieren, déi Wireshark ouni Schwieregkeeten opmécht. Am Numm vun strikt Legalitéit an EthikDenkt drun, nëmmen op Netzwierker an a Szenarien opzehuelen, fir déi Dir ausdrécklech Autorisatioun hutt.

Numm, offiziell Websäiten a Kontrolldaten

Déi offiziell Websäit ass wireshark.orgmat Downloads an sengem /download Ënnerverzeichnis an Online-Dokumentatioun fir Benotzer an Entwéckler. Et gëtt Säiten mat Autoritéitskontroll (z.B. GND) a Lëschte vu Linken zum Code-Repository, dem Bug Tracker an dem Projetblog, nëtzlech fir iwwer Neiegkeeten um Lafenden ze bleiwen a Problemer ze mellen.

Ier Dir ufänkt mat der Opnam, iwwerpréift d'Rechter an d'Fäegkeeten vun Ärem System, entscheet ob Dir dumpcap/tcpdump benotze wëllt fir op d'Disk ze dumpen an ouni Privilegien z'analyséieren, a preparéiert Opnam- a Displayfilter déi Ärem Zil entspriechen. Mat enger gudder Methodologie vereinfacht Wireshark dat Komplex a gëtt Iech genau déi richteg Informatioun. D'Visibilitéit déi Dir braucht fir Netzwierker vun all Gréisst ze diagnostizéieren, ze léieren oder ze auditéieren.

Verbonnen Artikel:

Wat ze maachen an den éischten 24 Stonnen no engem Hack: Handy-, PC- an Online-Konten

Daniel Terrasa

Redakter spezialiséiert op Technologie an Internet Themen mat méi wéi zéng Joer Erfahrung a verschiddenen digitale Medien. Ech hunn als Editeur an Inhaltscreator fir E-Commerce, Kommunikatioun, Online Marketing a Werbefirmen geschafft. Ech hunn och op Wirtschaft, Finanzen an aner Secteuren Websäite geschriwwen. Meng Aarbecht ass och meng Leidenschaft. Elo, duerch meng Artikelen an Tecnobits, Ech probéieren all Neiegkeeten an nei Méiglechkeeten ze entdecken, déi d'Welt vun der Technologie eis all Dag bitt fir eist Liewen ze verbesseren.