Si të përdorni Wireshark për të zbuluar problemet e rrjetit

Nëse punoni në rrjetëzim, siguri ose zhvillim dhe doni të kuptoni se çfarë po ndodh me kabllot dhe Wi-Fi-në tuaj, duke punuar me Wireshark Është një element thelbësor. Kjo analizues paketash me burim të hapur me dekada evolucioni që lejon kapjen, analizimin dhe studimin e trafikut në nivelin e paketës me precizion kirurgjikal.

Në këtë artikull e analizojmë në thellësi: nga licenca dhe sponsorizimi i saj deri te paketat e saj në GNU/Linux, duke përfshirë shërbimet e konsolës, formatet e mbështetura, kërkesat e kompajlimit, lejet e kapjes dhe një përmbledhje historike dhe funksionale vërtet të plotë.

Çfarë është Wireshark dhe për çfarë përdoret sot?

Në thelb, Wireshark është një analizues protokolli dhe pajisje kapjeje trafiku e cila ju lejon të vendosni një ndërfaqe në modalitetin promiscuous ose monitor (nëse sistemi e mbështet atë) dhe të shikoni kornizat që nuk do të dërgoheshin në Mac-in tuaj, të analizoni bisedat, të rindërtoni rrjedhat, të ngjyrosni paketat sipas rregullave dhe të aplikoni filtra shumë ekspresivë të ekranit. Për më tepër, përfshin TShark (versioni terminal) dhe një sërë shërbimesh për detyra të tilla si riorganizimi, ndarja, bashkimi dhe konvertimi i pamjeve të ekranit.

Edhe pse përdorimi i tij të kujton tcpdump, ai ofron një ndërfaqe grafike moderne të bazuar në Qt me filtrim, renditje dhe diseksion i thellë për mijëra protokolle. Nëse jeni në një switch, mos harroni se modaliteti i përzier nuk garanton që do të shihni të gjithë trafikun: për skenarë të plotë do t'ju duhet pasqyrimi i portave ose përgjimet e rrjetit, të cilat dokumentacioni i tyre i përmend gjithashtu si praktikat më të mira.

Licencë, themelim dhe model zhvillimi

Wireshark shpërndahet nën GNU GPL v2 dhe në shumë vende, si "GPL v2 ose më i ri". Disa programe ndihmëse në kodin burimor licencohen sipas licencave të ndryshme, por të pajtueshme, siç është mjeti pidl me GPLv3+, i cili nuk ndikon në skedarin binar që rezulton nga analizuesi. Nuk ka garanci të shprehur ose të nënkuptuar; përdoreni me rrezikun tuaj, siç është zakonisht me softuerin falas.

La Fondacioni Wireshark Ai koordinon zhvillimin dhe shpërndarjen. Mbështetet në donacione nga individë dhe organizata, puna e të cilëve bazohet në Wireshark. Projekti krenohet me mijëra autorë të regjistruar dhe figura historike si Gerald Combs, Gilbert Ramirez dhe Guy Harris, midis mbështetësve të tij më të shquar.

Wireshark funksionon në Linux, Windows, macOS dhe sisteme të tjera të ngjashme me Unix (BSD, Solaris, etj.). Paketat zyrtare janë publikuar për Windows dhe macOS, dhe në GNU/Linux zakonisht përfshihet si një paketë standarde ose shtesë në shpërndarje të tilla si Debian, Ubuntu, Fedora, CentOS, RHEL, Arch, Gentoo, openSUSE, FreeBSD, DragonFly BSD, NetBSD dhe OpenBSD. Është gjithashtu i disponueshëm në sisteme të palëve të treta si p.sh. Homebrew, MacPorts, pkgsrc ose OpenCSW.

Për të kompiluar nga kodi, do t'ju duhet Python 3; AsciiDoctor për dokumentacion; dhe mjete si Perl dhe GNU flex (lex klasik nuk do të funksionojë). Konfigurimi duke përdorur CMake ju lejon të aktivizoni ose çaktivizoni mbështetje specifike, për shembull, libraritë e kompresimit me -DENABLE_ZLIB=JOAKTIV, -DENABLE_LZ4=JOAKTIV ose -DENABLE_ZSTD=JOAKTIV, ose mbështetje libsmi me -DENABLE_SMI=OFF nëse preferoni të mos ngarkoni MIB-të.

Paketat dhe libraritë në sistemet e bazuara në Debian

Në mjediset Debian/Ubuntu dhe derivatet e tyre, ekosistemi Wireshark është i ndarë në paketa të shumëfishtaMë poshtë është një ndarje me veçoritë, madhësitë e përafërta dhe varësitë. Këto paketa ju lejojnë të zgjidhni nga një GUI i plotë deri te bibliotekat dhe mjetet e zhvillimit për integrimin e disektimeve në aplikacionet tuaja.

Wireshark

Aplikacion grafik për kapjen dhe analizimin e trafikut me një ndërfaqe Qt. Madhësia e parashikuar: 10.59 MBObjekti: sudo apt install wireshark

Ndër opsionet e nisjes do të gjeni parametra për të zgjedhur ndërfaqen (-i), filtra kapjeje (-f), limiti i pamjes së çastit, modaliteti i monitorimit, listat e llojeve të lidhjeve, filtrat e shfaqjes (-Y), “Dekodo si” dhe preferencat, si dhe formatet e daljes së skedarëve dhe komentet e kapjes. Aplikacioni gjithashtu lejon profilizimi dhe statistikat e konfigurimit karakteristika të përparuara nga ndërfaqja.

peshkaqen

Versioni i konsolës për kapjen dhe analizën e rreshtit të komandës. Madhësia e parashikuar: 429 KBObjekti: sudo apt install tshark

Ju lejon të zgjidhni ndërfaqe, të aplikoni filtra kapjeje dhe shfaqjeje, të përcaktoni kushtet e ndalimit (kohën, madhësinë, numrin e paketave), të përdorni buffer-a rrethorë, të printoni detaje, skedarë heksadecale dhe JSON, si dhe të eksportoni objekte dhe çelësa TLS. Gjithashtu mund të ngjyrosë rezultatin në një terminal të pajtueshëm. rregullo regjistrimin e regjistrave sipas domeneve dhe niveleve të detajeve. Këshillohet kujdes nëse aktivizoni BPF JIT në nivelin e bërthamës, pasi kjo mund të ketë implikime sigurie.

wireshark-i i zakonshëm

Skedarët e zakonshëm për Wireshark dhe tshark (p.sh., fjalorë, konfigurime dhe shërbime të linjës). Madhësia e parashikuar: 1.62 MBObjekti: sudo apt install wireshark-common

Kjo paketë përfshin shërbime të tilla si kapinfos (informacion mbi skedarin e kapur: lloji, enkapsulimi, kohëzgjatja, shkallët, madhësitë, hashet dhe komentet), tipi i kapjes (identifikoni llojet e skedarëve), kapak mbeturinash (pajisje e lehtë kapëse që përdor pcapng/pcap me ndalim automatik dhe buffer-a rrethorë), redakto kapakun (modifiko/ndaj/konverto kapjet, rregullo vulat kohore, hiq dublikatat, shto komente ose sekrete), mergecap (bashkoni ose bashkoni kapje të shumëfishta), mmdbresolve (zgjidh gjeolokacionin IP me bazat e të dhënave MMDB), randpkt (gjenerator paketash sintetike me shumë protokolle), peshkaqen i gjallë (disektim i papërpunuar me dalje në terren), riporositje kufitare (rirendit sipas vulës kohore), peshkaqen (daemon me API për të përpunuar kapjet) dhe tekst2pcap (konvertoni skedarët heksadecimalë ose tekstin e strukturuar në kapje të vlefshme).

libwireshark18 dhe të dhënat-libwireshark

Biblioteka qendrore e diseksionit të paketave. Ofron analizuesit e protokollit të përdorur nga Wireshark/TShark. Madhësia e përafërt e bibliotekës: 126.13 MBObjekti: sudo apt install libwireshark18 y sudo apt install libwireshark-data

Përfshin mbështetje për një numër të madh protokollesh dhe opsionesh të tilla si aktivizimi ose çaktivizimi i diseksioneve specifike, heuristikave dhe "Dekodo si" nga ndërfaqja ose rreshti i komandës; falë kësaj, ju mund ta përshtatni analiza e trafikut real të mjedisit tuaj.

libwiretap15 dhe libwiretap-dev

Wiretap është një bibliotekë për leximin dhe shkrimin e formateve të shumta të skedarëve të kapjes. Pikat e forta të saj janë shumëllojshmëria e formateve që mbështet; kufizimet e saj janë: Nuk filtron ose nuk kryen kapje të drejtpërdrejtë.Objekti: sudo apt install libwiretap15 y sudo apt install libwiretap-dev

Varianti -dev ofron bibliotekën statike dhe titrat C për të integruar operacionet e leximit/shkrimit në mjetet tuaja. Kjo ju lejon të zhvilloni shërbime që manipulojnë të dhënat. pcap, pcapng dhe kontejnerë të tjerë si pjesë e tubacioneve tona.

libwsutil16 dhe libwsutil-dev

Një grup shërbimesh të përbashkëta nga Wireshark dhe bibliotekat përkatëse: funksione ndihmëse për manipulimin e vargjeve, ruajtjen në memorje, enkriptimin, etj. Instalimi: sudo apt install libwsutil16 y sudo apt install libwsutil-dev

Paketa -dev përfshin headers dhe një bibliotekë statike në mënyrë që aplikacionet e jashtme të mund të lidhin shërbimet e zakonshme pa ri-implementuar rrotat. Është themeli i funksione të shumëfishta të përbashkëta që përdorin Wireshark dhe TShark.

Wireshark-dev

Mjete dhe skedarë për krijimin e "disektorëve" të rinj. Ofron skripte si idl2wrs, si dhe varësi për kompilimin dhe testimin. Madhësia e parashikuar: 621 KBObjekti: sudo apt install wireshark-dev

Ai përfshin shërbime të tilla si asn2deb (gjeneron paketa Debian për monitorimin e BER nga ASN.1) dhe idl2deb (paketa për CORBA). Dhe, mbi të gjitha, idl2wrsKy mjet transformon një CORBA IDL në skeletin e një plugin-i C për analizimin e trafikut GIOP/IIOP. Ky rrjedhë pune mbështetet në skriptet Python (wireshark_be.py dhe wireshark_gen.py) dhe mbështet analizimin heuristik si parazgjedhje. Mjeti kërkon modulet e tij në PYTHONPATH/paketa-faqesh ose në direktorinë aktuale, dhe pranon ridrejtimin e skedarit për të gjeneruar kodin.

Wireshark-doc

Dokumentacioni i përdoruesit, udhëzuesi i zhvillimit dhe referenca për Lua. Madhësia e parashikuar: 13.40 MBObjekti: sudo apt install wireshark-doc

Rekomandohet nëse do të hulumtoni më thellë zgjerime, skriptime dhe APIDokumentacioni online në faqen zyrtare të internetit përditësohet me çdo version të qëndrueshëm.

Lejet e kapjes dhe sigurisë

Në shumë sisteme, kapja direkte kërkon privilegje të larta. Për këtë arsye, Wireshark dhe TShark ia delegojnë kapjen një shërbimi të palës së tretë. kapak mbeturinashNjë skedar binar i projektuar për t'u ekzekutuar me privilegje (set-UID ose aftësi) për të minimizuar sipërfaqen e sulmit. Ekzekutimi i të gjithë GUI-t si root nuk është praktikë e mirë; është e preferueshme të kapet me dumpcap ose tcpdump dhe të analizohet pa privilegje për të zvogëluar rreziqet.

Historia e projektit përfshin incidente sigurie në disektorë gjatë viteve, dhe disa platforma si OpenBSD e hoqën instancën e vjetër Ethereal për këtë arsye. Me modelin aktual, izolimi nga kapja dhe përditësimet e vazhdueshme përmirësojnë situatën, por gjithmonë këshillohet që ndiqni udhëzimet e sigurisë Dhe, nëse zbuloni aktivitet të dyshimtë, dini si ta bëni këtë. bllokoni lidhjet e dyshimta të rrjetit dhe shmangni hapjen e pamjeve të ekranit të pabesueshme pa shqyrtim paraprak.

Formatet e skedarëve, kompresimi dhe fontet speciale

Wireshark lexon dhe shkruan pcap dhe pcapng, si dhe formate nga analizues të tjerë si snoop, Network General Sniffer, Microsoft Network Monitor dhe shumë të tjerë të listuar nga Wiretap më sipër. Ai mund të hapë skedarë të kompresuar nëse ato janë kompiluar me biblioteka për pcapng. GZIP, LZ4 dhe ZSTDNë veçanti, GZIP dhe LZ4 me blloqe të pavarura lejojnë kërcime të shpejta, duke përmirësuar performancën e GUI në kapje të mëdha.

Projekti dokumenton karakteristika të tilla si AIX iptrace (ku një HUP për daemon mbyllet pa probleme), mbështetje për gjurmët Lucent/Ascend, Toshiba ISDN ose CoSine L2, dhe tregon se si të kapni rezultatin tekstual në një skedar (p.sh., me telnet <equipo> | tee salida.txt ose duke përdorur mjetin skenar) për ta importuar më vonë me text2pcap. Këto shtigje ju nxjerrin nga Kapje "konvencionale" kur përdorni pajisje që nuk përmbysin drejtpërdrejt PCAP-in.

Shërbimet e suitës dhe kategoritë e opsioneve

Përveç Wireshark dhe TShark, shpërndarja përfshin disa mjete që mbulojnë detyra shumë specifikePa e kopjuar tekstin e ndihmës fjalë për fjalë, ja një përmbledhje e organizuar sipas kategorive në mënyrë që të dini se çfarë bën secila prej tyre dhe cilat opsione do të gjeni:

• kapak mbeturinash: kapje pcap/pcapng "e pastër dhe e thjeshtë", përzgjedhja e ndërfaqes, filtrat BPF, madhësia e buffer-it, rrotullimi sipas kohës/madhësisë/skedarëve, krijimi i buffer-ave unazorë, kapja e komenteve dhe dalja në format i lexueshëm nga makinaAi paralajmëron kundër aktivizimit të JIT të BPF për shkak të rreziqeve të mundshme.
• kapinfosShfaq llojin e skedarit, enkapsulimin, ndërfaqet dhe metadatat; numrin e paketave, madhësinë e skedarit, gjatësinë totale, limitin e pamjes së çastit, kronologjinë (emri/i fundit), shpejtësitë mesatare (bps/Bps/pps), madhësinë mesatare të paketës, hash-et dhe komentet. Lejon dalje tabelare ose të detajuara dhe formate të lexueshme nga makina.
• tipi i kapjes: identifikon llojin e skedarit të kapjes për një ose më shumë hyrje me ndihmë dhe opsione versioni.
• redakto kapakunZgjedh/fshin diapazone paketash, i pret/i copëton, rregullon vulat kohore (duke përfshirë rendin e rreptë), heq kopjet me dritare të konfigurueshme, shton komente për kornizë, ndan rezultatin sipas numrit ose kohës, ndryshon kontejnerin dhe enkapsulimin, punon me sekretet e deshifrimit dhe kompreson rezultatin. Është mjeti shumëfunksional për "pastrimin" e kapjeve.
• mergecapkombinon kapje të shumëfishta në një, qoftë me anë të bashkimit linear ose përzierjes së bazuar në pullë kohore, kontrollon snaplen-in, përcakton llojin e daljes, modalitetin e bashkimit të IDB dhe kompresimin përfundimtar.
• riporositje kufitareriorganizon një skedar sipas vulës kohore duke gjeneruar një rezultat të pastër dhe, nëse është tashmë i renditur, mund të shmangë shkrimin e rezultatit për të ruajtur I/O.
• tekst2pcap: konverton skedarët heksadecimalë ose tekstin me regex në kapje të vlefshme; njeh zhvendosjet në baza të ndryshme të dhënash, vulat kohore me formate strptime (duke përfshirë saktësinë fraksionale), zbulon ASCII të bashkangjitur nëse është e aplikueshme, dhe mund të vendosë para-kodët "familjare" (Ethernet, IPv4/IPv6, UDP/TCP/SCTP, EXPORTED_PDU) me portet, adresat dhe etiketat i treguar.
• peshkaqen i gjallëLexues "i papërpunuar" i orientuar drejt fushës; ju lejon të caktoni protokollin e enkapsulimit ose diseksionit, të çaktivizoni rezolucionet e emrave, të caktoni filtrat e leximit/shfaqjes dhe të vendosni formatin e daljes së fushës, i dobishëm për tubacionin me mjete të tjera.
• randpktGjeneron skedarë me paketa të rastësishme të llojeve të tilla si ARP, BGP, DNS, Ethernet, IPv4/IPv6, ICMP, TCP/UDP, SCTP, Syslog, USB-Linux, etj., duke specifikuar llogarinë, madhësinë maksimale dhe kontejnerin. Ideale për teste dhe demo.
• mmdbresolveKërko në bazat e të dhënave MaxMind (MMDB) për të shfaqur gjeolokacionin e adresave IPv4/IPv6, duke specifikuar një ose më shumë skedarë të bazës së të dhënave.
• peshkaqenDaemon që ekspozon një API (modaliteti “gold”) ose një socket klasik (modaliteti “classic”); mbështet profilet e konfigurimit dhe kontrollohet nga klientët për analiza dhe kërkime nga ana e serverit, i dobishëm në automatizim dhe shërbime.

Arkitektura, karakteristikat dhe kufizimet

Wireshark mbështetet në libpcap/Npcap për kapjen dhe në një ekosistem bibliotekash (libwireshark, libwiretap, libwsutil) që ndajnë diseksionin, formatet dhe shërbimet. Ai lejon zbulimin e thirrjeve VoIP, riprodhimin e audios në kodimet e mbështetura, kapjen e trafikut të papërpunuar USB dhe filtrimin në rrjetet Wi-Fi (nëse ato kalojnë nëpër Ethernet të monitoruar). plugin-e për protokolle të reja shkruar në C ose Lua. Mund të marrë gjithashtu trafik të largët të kapsuluar (p.sh., TZSP) për analiza në kohë reale nga një makinë tjetër.

Nuk është një IDS, as nuk lëshon alarme; roli i tij është pasiv: inspekton, mat dhe shfaq. Megjithatë, mjetet ndihmëse ofrojnë statistika dhe rrjedha pune, dhe materialet e trajnimit janë lehtësisht të disponueshme (duke përfshirë aplikacione edukative të orientuara drejt vitit 2025 që mësojnë filtrat, nuhatjen, gjurmët bazë të gishtërinjve të sistemit operativ, analizën në kohë reale, automatizimin, trafikun e enkriptuar dhe integrimin me praktikat DevOps). Ky aspekt edukativ plotëson funksionalitetin kryesor të diagnostikim dhe zgjidhje problemesh.

Pajtueshmëria dhe ekosistemi

Platformat e ndërtimit dhe testimit përfshijnë Linux (Ubuntu), Windows dhe macOSProjekti përmend gjithashtu përputhshmëri të gjerë me sisteme të tjera të ngjashme me Unix dhe shpërndarje nëpërmjet menaxherëve të palëve të treta. Në disa raste, versionet më të vjetra të sistemit operativ kërkojnë degë të mëparshme (për shembull, Windows XP me versionin 1.10 ose më të hershëm). Në përgjithësi, mund të instaloni nga depo zyrtare ose skedarë binare në shumicën e mjediseve pa probleme të mëdha.

Ato integrohen me simulatorët e rrjetit (ns, OPNET Modeler) dhe mjetet e palëve të treta (p.sh., Aircrack për 802.11) mund të përdoren për të prodhuar kapje që Wireshark i hap pa vështirësi. Në emër të ligjshmëri dhe etikë e rreptëMos harroni të kapni vetëm në rrjete dhe në skenarë për të cilët keni autorizim të shprehur.

Emri, faqet zyrtare të internetit dhe të dhënat e kontrollit

Uebfaqja zyrtare është wireshark.orgme shkarkime në nën-drejtorinë e saj /download dhe dokumentacion online për përdoruesit dhe zhvilluesit. Ka faqe me kontroll autoriteti (p.sh., GND) dhe lista të lidhjeve për në depo të kodit, gjurmuesin e gabimeve dhe blogun e projektit, të dobishme për të qenë në dijeni të lajmeve dhe problemeve të raportimit.

Para se të filloni regjistrimin, verifikoni lejet dhe aftësitë e sistemit tuaj, vendosni nëse do të përdorni dumpcap/tcpdump për të kopjuar në disk dhe për të analizuar pa privilegje, dhe përgatitni filtra kapjeje dhe shfaqjeje në përputhje me objektivin tuaj. Me një metodologji të mirë, Wireshark e thjeshton kompleksin dhe ju jep saktësisht informacionin e duhur. Dukshmëria që ju nevojitet për të diagnostikuar, mësuar ose audituar rrjete të çdo madhësie.

Artikull i lidhur:

Çfarë duhet të bëni në 24 orët e para pas një sulmi haker: llogaritë celulare, PC dhe online

Daniel Terrasa

Redaktor i specializuar në çështjet e teknologjisë dhe internetit me më shumë se dhjetë vjet përvojë në media të ndryshme dixhitale. Unë kam punuar si redaktor dhe krijues i përmbajtjes për kompanitë e tregtisë elektronike, komunikimit, marketingut online dhe reklamave. Kam shkruar gjithashtu në faqet e internetit të ekonomisë, financave dhe sektorëve të tjerë. Puna ime është edhe pasioni im. Tani, përmes artikujve të mi në Tecnobits, Përpiqem të eksploroj të gjitha të rejat dhe mundësitë e reja që bota e teknologjisë na ofron çdo ditë për të përmirësuar jetën tonë.