Cách sử dụng Wireshark để phát hiện sự cố mạng

Nếu bạn làm việc trong lĩnh vực mạng, bảo mật hoặc phát triển và muốn hiểu những gì đang xảy ra trên cáp và Wi-Fi của mình, hãy làm việc với Wireshark Đây là một yếu tố thiết yếu. trình phân tích gói nguồn mở với nhiều thập kỷ phát triển cho phép thu thập, phân tích và nghiên cứu lưu lượng ở cấp độ gói tin với độ chính xác cao.

Trong bài viết này, chúng tôi sẽ phân tích sâu hơn: từ giấy phép và tài trợ cho đến các gói trong GNU/Linux, bao gồm các tiện ích bảng điều khiển, định dạng được hỗ trợ, yêu cầu biên dịch, quyền chụp và tổng quan về lịch sử và chức năng thực sự đầy đủ.

Wireshark là gì và nó được sử dụng để làm gì hiện nay?

Về bản chất, Wireshark là một thiết bị phân tích giao thức và thu thập lưu lượng cho phép bạn đặt giao diện ở chế độ hỗn tạp hoặc chế độ giám sát (nếu hệ thống hỗ trợ) và xem các khung hình sẽ không được gửi đến máy Mac của bạn, phân tích các cuộc hội thoại, tái cấu trúc luồng, tô màu các gói theo quy tắc và áp dụng các bộ lọc hiển thị rất biểu cảm. Hơn nữa, bao gồm TShark (phiên bản đầu cuối) và một bộ tiện ích cho các tác vụ như sắp xếp lại, chia tách, hợp nhất và chuyển đổi ảnh chụp màn hình.

Mặc dù việc sử dụng nó gợi nhớ đến tcpdump, nhưng nó cung cấp một giao diện đồ họa hiện đại dựa trên Qt với lọc, phân loại và phân tích sâu cho hàng ngàn giao thức. Nếu bạn đang sử dụng thiết bị chuyển mạch, hãy nhớ rằng chế độ hỗn tạp không đảm bảo bạn sẽ thấy toàn bộ lưu lượng: đối với các tình huống hoàn chỉnh, bạn sẽ cần phản chiếu cổng hoặc truy cập mạng, mà tài liệu hướng dẫn của họ cũng đề cập đến như là những phương pháp hay nhất.

Giấy phép, nền tảng và mô hình phát triển

Wireshark được phân phối theo GNU GPL v2 và ở nhiều nơi, là "GPL v2 hoặc mới hơn". Một số tiện ích trong mã nguồn được cấp phép theo các giấy phép khác nhau nhưng tương thích, chẳng hạn như công cụ pidl với GPLv3+, điều này không ảnh hưởng đến tệp nhị phân kết quả của trình phân tích. Không có bảo hành rõ ràng hay ngụ ý; hãy tự chịu rủi ro khi sử dụng, như thường lệ với phần mềm miễn phí.

La Quỹ Wireshark Dự án này điều phối việc phát triển và phân phối. Dự án dựa vào sự đóng góp của các cá nhân và tổ chức có công trình nghiên cứu dựa trên Wireshark. Dự án tự hào có hàng ngàn tác giả và nhân vật lịch sử đã đăng ký như Gerald Combs, Gilbert Ramirez và Guy Harris là những người ủng hộ nổi bật nhất.

Wireshark chạy trên Linux, Windows, macOS và các hệ thống tương tự Unix khác (BSD, Solaris, v.v.). Các gói chính thức được phát hành cho Windows và macOS, và trên GNU/Linux, nó thường được bao gồm dưới dạng gói tiêu chuẩn hoặc gói bổ sung trong các bản phân phối như Debian, Ubuntu, Fedora, CentOS, RHEL, Arch, Gentoo, openSUSE, FreeBSD, DragonFly BSD, NetBSD và OpenBSD. Nó cũng khả dụng trên các hệ thống của bên thứ ba như Homebrew, MacPorts, pkgsrc hoặc OpenCSW.

Để biên dịch từ mã, bạn cần Python 3; AsciiDoctor để làm tài liệu; và các công cụ như Perl và GNU flex (lex cổ điển sẽ không hoạt động). Cấu hình bằng CMake cho phép bạn bật hoặc tắt hỗ trợ cụ thể, ví dụ: thư viện nén với -DENABLE_ZLIB=TẮT, -DENABLE_LZ4=TẮT hoặc -DENABLE_ZSTD=TẮThoặc hỗ trợ libsmi với -DENABLE_SMI=OFF nếu bạn không muốn tải MIB.

Các gói và thư viện trong hệ thống dựa trên Debian

Trong Debian/Ubuntu và các môi trường phái sinh, hệ sinh thái Wireshark được chia thành nhiều góiDưới đây là bảng phân tích các tính năng, kích thước gần đúng và các phụ thuộc. Các gói này cho phép bạn lựa chọn từ giao diện người dùng đồ họa (GUI) hoàn chỉnh đến các thư viện và công cụ phát triển để tích hợp các phân tích vào ứng dụng của riêng bạn.

Wireshark

Ứng dụng đồ họa để thu thập và phân tích lưu lượng truy cập bằng giao diện Qt. Kích thước ước tính: 10.59 MB. Cơ sở: sudo apt install wireshark

Trong số các tùy chọn khởi động của nó, bạn sẽ tìm thấy các thông số để chọn giao diện (-i), bộ lọc chụp (-f), giới hạn ảnh chụp nhanh, chế độ giám sát, danh sách loại liên kết, bộ lọc hiển thị (-Y), “Giải mã dưới dạng” và các tùy chọn, cũng như định dạng đầu ra tệp và ghi chú. Ứng dụng này cũng cho phép cấu hình hồ sơ và thống kê các tính năng nâng cao từ giao diện.

cá mập

Phiên bản bảng điều khiển để thu thập và phân tích bằng dòng lệnh. Kích thước ước tính: 429 KB. Cơ sở: sudo apt install tshark

Nó cho phép bạn chọn giao diện, áp dụng bộ lọc chụp và hiển thị, xác định điều kiện dừng (thời gian, kích thước, số lượng gói tin), sử dụng bộ đệm vòng, in chi tiết, dump hex và JSON, và xuất các đối tượng và khóa TLS. Nó cũng có thể tô màu đầu ra trong một thiết bị đầu cuối tương thích. điều chỉnh nhật ký ghi nhật ký theo miền và mức độ chi tiết. Cần thận trọng nếu bạn bật BPF JIT ở cấp độ hạt nhân, vì điều này có thể gây ra các vấn đề về bảo mật.

wireshark-common

Các tệp chung cho wireshark và tshark (ví dụ: từ điển, cấu hình và tiện ích dòng). Kích thước ước tính: 1.62 MB. Cơ sở: sudo apt install wireshark-common

Gói này bao gồm các tiện ích như thông tin giới thiệu (ghi lại thông tin tệp: loại, đóng gói, thời lượng, tốc độ, kích thước, hàm băm và bình luận), kiểu chữ viết hoa (xác định loại tệp), cái mũ lưỡi trai (thiết bị chụp nhẹ sử dụng pcapng/pcap với chức năng tự động dừng và bộ đệm vòng tròn), biên tập (chỉnh sửa/chia tách/chuyển đổi ảnh chụp, điều chỉnh dấu thời gian, xóa ảnh trùng lặp, thêm bình luận hoặc bí mật), sáp nhập (hợp nhất hoặc nối nhiều bản chụp), mmdbresolve (giải quyết vị trí địa lý IP bằng cơ sở dữ liệu MMDB), randpkt (bộ tạo gói tổng hợp đa giao thức), cá mập sống (phân tích thô với kết quả thực địa), sắp xếp lại (sắp xếp lại theo dấu thời gian), cá mập (daemon với API để xử lý các lần chụp) và văn bản2pcap (chuyển đổi hexdumps hoặc văn bản có cấu trúc thành các bản chụp hợp lệ).

libwireshark18 và libwireshark-data

Thư viện phân tích gói tin trung tâm. Cung cấp các trình phân tích giao thức được Wireshark/TShark sử dụng. Kích thước thư viện ước tính: 126.13 MB. Cơ sở: sudo apt install libwireshark18 y sudo apt install libwireshark-data

Nó bao gồm hỗ trợ cho một số lượng lớn các giao thức và tùy chọn như bật hoặc tắt các phân tích cụ thể, phương pháp tìm kiếm và "Giải mã dưới dạng" từ giao diện hoặc dòng lệnh; nhờ đó, bạn có thể điều chỉnh phân tích giao thông thực tế của môi trường của bạn.

libwiretap15 và libwiretap-dev

Wiretap là một thư viện cho phép đọc và ghi nhiều định dạng tệp ghi hình. Điểm mạnh của nó là hỗ trợ nhiều định dạng khác nhau; nhưng hạn chế của nó là: Nó không lọc hoặc thực hiện chụp trực tiếp.. Cơ sở: sudo apt install libwiretap15 y sudo apt install libwiretap-dev

Biến thể -dev cung cấp thư viện tĩnh và tiêu đề C để tích hợp các thao tác đọc/ghi vào công cụ của bạn. Điều này cho phép bạn phát triển các tiện ích thao tác dữ liệu. pcap, pcapng và các container khác như một phần trong đường ống của chúng tôi.

libwsutil16 và libwsutil-dev

Một bộ tiện ích được chia sẻ bởi Wireshark và các thư viện liên quan: các hàm bổ trợ cho thao tác chuỗi, lưu vào bộ đệm, mã hóa, v.v. Cài đặt: sudo apt install libwsutil16 y sudo apt install libwsutil-dev

Gói -dev bao gồm các tiêu đề và thư viện tĩnh để các ứng dụng bên ngoài có thể liên kết các tiện ích chung mà không cần triển khai lại bánh xe. Đây là nền tảng của nhiều chức năng được chia sẻ sử dụng Wireshark và TShark.

wireshark-dev

Công cụ và tệp để tạo "trình phân tích" mới. Nó cung cấp các tập lệnh như idl2wrs, cũng như các phần phụ thuộc để biên dịch và thử nghiệm. Kích thước ước tính: 621 KB. Cơ sở: sudo apt install wireshark-dev

Nó bao gồm các tiện ích như asn2deb (tạo các gói Debian để giám sát BER từ ASN.1) và idl2deb (các gói cho CORBA). Và trên hết, idl2wrsCông cụ này chuyển đổi CORBA IDL thành bộ khung của một plugin C để phân tích lưu lượng GIOP/IIOP. Quy trình làm việc này dựa trên các tập lệnh Python (wireshark_be.py và wireshark_gen.py) và mặc định hỗ trợ phân tích heuristic. Công cụ tìm kiếm các mô-đun của nó trong PYTHONPATH/gói trang web hoặc trong thư mục hiện tại và chấp nhận chuyển hướng tệp để tạo mã.

wireshark-doc

Tài liệu hướng dẫn sử dụng, hướng dẫn phát triển và tài liệu tham khảo Lua. Kích thước ước tính: 13.40 MB. Cơ sở: sudo apt install wireshark-doc

Được đề xuất nếu bạn định đi sâu hơn vào tiện ích mở rộng, tập lệnh và APITài liệu trực tuyến trên trang web chính thức được cập nhật với mỗi phiên bản ổn định.

Giấy phép bắt giữ và bảo mật

Trong nhiều hệ thống, việc thu thập dữ liệu trực tiếp đòi hỏi quyền cao hơn. Vì lý do này, Wireshark và TShark ủy quyền việc thu thập dữ liệu cho một dịch vụ của bên thứ ba. cái mũ lưỡi traiMột tệp nhị phân được thiết kế để chạy với các đặc quyền (set-UID hoặc khả năng) nhằm giảm thiểu bề mặt tấn công. Chạy toàn bộ GUI với quyền root không phải là một giải pháp tốt; tốt hơn nên sử dụng dumpcap hoặc tcpdump và phân tích mà không cần đặc quyền để giảm thiểu rủi ro.

Lịch sử của dự án bao gồm các sự cố bảo mật trong các trình phân tích dữ liệu qua nhiều năm, và một số nền tảng như OpenBSD đã ngừng sử dụng phiên bản Ethereal cũ vì lý do đó. Với mô hình hiện tại, việc cô lập khỏi việc thu thập và cập nhật liên tục sẽ cải thiện tình hình, nhưng bạn nên luôn làm theo hướng dẫn an toàn Và, nếu bạn phát hiện hoạt động đáng ngờ, hãy biết cách chặn các kết nối mạng đáng ngờ và tránh mở ảnh chụp màn hình không đáng tin cậy mà không xem xét trước.

Định dạng tệp, nén và phông chữ đặc biệt

Wireshark đọc và ghi pcap và pcapng, cũng như các định dạng từ các trình phân tích khác như snoop, Network General Sniffer, Microsoft Network Monitor và nhiều trình phân tích được liệt kê ở trên của Wiretap. Nó có thể mở các tệp nén nếu chúng được biên dịch bằng thư viện cho pcapng. GZIP, LZ4 và ZSTDĐặc biệt, GZIP và LZ4 với các khối độc lập cho phép nhảy nhanh, cải thiện hiệu suất GUI khi chụp ảnh dung lượng lớn.

Dự án ghi lại các tính năng như AIX iptrace (nơi HUP đến daemon đóng hoàn toàn), hỗ trợ cho các dấu vết Lucent/Ascend, Toshiba ISDN hoặc CoSine L2 và chỉ ra cách nắm bắt đầu ra văn bản vào một tệp (ví dụ: với telnet <equipo> | tee salida.txt hoặc sử dụng công cụ kịch bản) để nhập nó sau bằng text2pcap. Những đường dẫn này đưa bạn ra khỏi chụp “thông thường” khi bạn sử dụng thiết bị không trực tiếp làm đổ pcap.

Tiện ích bộ sản phẩm và danh mục tùy chọn

Ngoài Wireshark và TShark, bản phân phối bao gồm một số công cụ bao gồm các nhiệm vụ rất cụ thểKhông sao chép nguyên văn văn bản trợ giúp, sau đây là bản tóm tắt được sắp xếp theo danh mục để bạn biết chức năng của từng danh mục và những tùy chọn bạn sẽ tìm thấy:

• cái mũ lưỡi trai: chụp pcap/pcapng “thuần túy và đơn giản”, lựa chọn giao diện, bộ lọc BPF, kích thước bộ đệm, xoay theo thời gian/kích thước/tệp, tạo bộ đệm vòng, chú thích chụp và xuất ra theo định dạng có thể đọc được bằng máyCảnh báo không nên kích hoạt JIT của BPF vì có thể xảy ra rủi ro.
• thông tin giới thiệuNó hiển thị loại tệp, đóng gói, giao diện và siêu dữ liệu; số lượng gói tin, kích thước tệp, tổng chiều dài, giới hạn ảnh chụp nhanh, thứ tự thời gian (đầu tiên/cuối cùng), tốc độ trung bình (bps/Bps/pps), kích thước gói tin trung bình, hàm băm và chú thích. Nó cho phép xuất dữ liệu dưới dạng bảng hoặc chi tiết và định dạng máy có thể đọc được.
• kiểu chữ viết hoa: xác định loại tệp chụp cho một hoặc nhiều mục nhập với tùy chọn trợ giúp và phiên bản.
• biên tậpNó chọn/xóa phạm vi gói tin, chụp/cắt, điều chỉnh dấu thời gian (bao gồm cả thứ tự nghiêm ngặt), loại bỏ các bản sao bằng cửa sổ có thể cấu hình, thêm chú thích cho mỗi khung hình, chia đầu ra theo số hoặc thời gian, thay đổi vùng chứa và đóng gói, làm việc với các bí mật giải mã và nén đầu ra. Đây là công cụ đa năng để "dọn dẹp" các bản chụp.
• sáp nhập: kết hợp nhiều lần chụp thành một, bằng cách nối tuyến tính hoặc trộn theo dấu thời gian, kiểm soát snaplen, xác định loại đầu ra, chế độ hợp nhất IDB và nén cuối cùng.
• sắp xếp lại: sắp xếp lại tệp theo dấu thời gian, tạo ra đầu ra sạch và nếu tệp đã được sắp xếp, có thể tránh việc ghi kết quả để lưu I/O.
• văn bản2pcap: chuyển đổi hexdump hoặc văn bản có biểu thức chính quy thành bản chụp hợp lệ; nhận dạng các giá trị bù trừ trong nhiều cơ sở dữ liệu khác nhau, dấu thời gian có định dạng strptime (bao gồm độ chính xác phân số), phát hiện ASCII đính kèm nếu có thể và có thể thêm tiêu đề "giả" (Ethernet, IPv4/IPv6, UDP/TCP/SCTP, EXPORTED_PDU) bằng cổng, địa chỉ và nhãn được chỉ định.
• cá mập sống: trình đọc hướng trường “thô”; cho phép bạn thiết lập giao thức đóng gói hoặc phân tích, vô hiệu hóa giải pháp tên, thiết lập bộ lọc đọc/hiển thị và quyết định định dạng đầu ra trường, hữu ích cho đường ống với các công cụ khác.
• randpktTạo các tệp với các gói ngẫu nhiên thuộc các loại như ARP, BGP, DNS, Ethernet, IPv4/IPv6, ICMP, TCP/UDP, SCTP, Syslog, USB-Linux, v.v., chỉ định tài khoản, kích thước tối đa và vùng chứa. Lý tưởng cho kiểm tra và trình diễn.
• mmdbresolve: Truy vấn cơ sở dữ liệu MaxMind (MMDB) để hiển thị vị trí địa lý của địa chỉ IPv4/IPv6, chỉ định một hoặc nhiều tệp cơ sở dữ liệu.
• cá mập: daemon hiển thị API (chế độ “vàng”) hoặc socket cổ điển (chế độ “cổ điển”); hỗ trợ các cấu hình và được điều khiển từ máy khách để phân tích và tìm kiếm phía máy chủ, hữu ích trong tự động hóa và dịch vụ.

Kiến trúc, đặc điểm và hạn chế

Wireshark dựa vào libpcap/Npcap để thu thập dữ liệu, và dựa trên một hệ sinh thái các thư viện (libwireshark, libwiretap, libwsutil) phân tách các phân tích, định dạng và tiện ích. Wireshark cho phép phát hiện cuộc gọi VoIP, phát lại âm thanh ở các mã hóa được hỗ trợ, thu thập lưu lượng USB thô và lọc trên các mạng Wi-Fi (nếu chúng đi qua Ethernet được giám sát). plugin cho các giao thức mới được viết bằng C hoặc Lua. Nó cũng có thể nhận lưu lượng từ xa được đóng gói (ví dụ: TZSP) để phân tích thời gian thực từ một máy khác.

Nó không phải là một IDS, cũng không đưa ra cảnh báo; vai trò của nó là thụ động: kiểm tra, đo lường và hiển thị. Tuy nhiên, các công cụ hỗ trợ cung cấp số liệu thống kê và quy trình làm việc, và tài liệu đào tạo luôn sẵn có (bao gồm các ứng dụng giáo dục hướng đến năm 2025, hướng dẫn về bộ lọc, đánh hơi, nhận dạng dấu vân tay hệ điều hành cơ bản, phân tích thời gian thực, tự động hóa, lưu lượng được mã hóa và tích hợp với các hoạt động DevOps). Khía cạnh giáo dục này bổ sung cho chức năng cốt lõi của chẩn đoán và xử lý sự cố.

Khả năng tương thích và hệ sinh thái

Các nền tảng xây dựng và thử nghiệm bao gồm Linux (Ubuntu), Windows và macOSDự án cũng đề cập đến khả năng tương thích rộng rãi với các hệ thống tương tự Unix khác và khả năng phân phối thông qua các trình quản lý của bên thứ ba. Trong một số trường hợp, các phiên bản hệ điều hành cũ hơn yêu cầu các nhánh trước đó (ví dụ: Windows XP với phiên bản 1.10 trở về trước). Nhìn chung, bạn có thể cài đặt từ kho lưu trữ chính thức hoặc tệp nhị phân trong hầu hết các môi trường mà không gặp vấn đề lớn nào.

Chúng tích hợp với các trình mô phỏng mạng (ns, OPNET Modeler) và các công cụ của bên thứ ba (ví dụ: Aircrack cho 802.11) có thể được sử dụng để tạo ra các bản ghi mà Wireshark có thể mở mà không gặp khó khăn. Thay mặt cho tính hợp pháp và đạo đức nghiêm ngặtHãy nhớ chỉ chụp trên mạng và trong những trường hợp mà bạn có quyền rõ ràng.

Tên, trang web chính thức và dữ liệu kiểm soát

Trang web chính thức là wireshark.orgvới các bản tải xuống trong thư mục con /download và tài liệu trực tuyến dành cho người dùng và nhà phát triển. Có các trang với kiểm soát thẩm quyền (ví dụ: GND) và danh sách các liên kết đến kho lưu trữ mã, trình theo dõi lỗi và blog dự án, hữu ích để theo kịp tin tức và báo cáo sự cố.

Trước khi bắt đầu thu thập, hãy kiểm tra quyền và khả năng của hệ thống, quyết định xem bạn có sử dụng dumpcap/tcpdump để thu thập dữ liệu ra đĩa và phân tích mà không cần đặc quyền hay không, đồng thời chuẩn bị các bộ lọc thu thập và hiển thị phù hợp với mục tiêu của bạn. Với phương pháp luận tốt, Wireshark đơn giản hóa những điều phức tạp và cung cấp cho bạn thông tin chính xác. Khả năng hiển thị bạn cần để chẩn đoán, tìm hiểu hoặc kiểm tra các mạng ở mọi quy mô.

Bài viết liên quan:

Những việc cần làm trong 24 giờ đầu tiên sau khi bị hack: tài khoản di động, PC và trực tuyến

Daniel Terrasa

Biên tập viên chuyên về các vấn đề công nghệ và internet với hơn mười năm kinh nghiệm trong các lĩnh vực truyền thông kỹ thuật số khác nhau. Tôi đã từng làm biên tập viên và người sáng tạo nội dung cho các công ty thương mại điện tử, truyền thông, tiếp thị và quảng cáo trực tuyến. Tôi cũng đã viết trên các trang web kinh tế, tài chính và các lĩnh vực khác. Công việc của tôi cũng là niềm đam mê của tôi. Bây giờ, qua bài viết của tôi trong Tecnobits, Tôi cố gắng khám phá tất cả những tin tức và cơ hội mới mà thế giới công nghệ mang đến cho chúng ta hàng ngày để cải thiện cuộc sống của chúng ta.