Kako uporabljati Wireshark za zajemanje, filtriranje in pregledovanje paketov

Wireshark, orodje za analizo omrežja, prej znano kot Ethereal, zajame pakete v realnem času in jih prikaže v berljivi obliki. Wireshark vključuje filtre, barvno kodiranje in druge funkcije, ki vam omogočajo globoko kopanje v omrežni promet in pregledovanje posameznih paketov.

Ta vadnica vas bo spravila v ospredje z osnovami zajemanja paketov, filtriranjem in pregledovanjem. Z Wiresharkom lahko pregledate omrežni promet sumljivega programa, analizirate prometni tok v omrežju ali odpravite težave z omrežjem.

Pridobite Wireshark

Wireshark za Windows ali macOS lahko prenesete z njegove uradne spletne strani. Če uporabljate Linux ali drug sistem, podoben Unixu, boste verjetno našli Wireshark v njegovih skladiščih paketov. Na primer, če uporabljate Ubuntu, boste našli Wireshark v Ubuntu Software Center.

Samo hitro opozorilo: Veliko organizacij ne dovoljuje Wireshark in podobnih orodij v svojih omrežjih. Tega orodja ne uporabljajte pri delu, razen če imate dovoljenje.

Zajemanje paketov

Ko prenesete in namestite Wireshark, ga lahko zaženete in dvokliknete ime omrežnega vmesnika v programu Capture, da začnete zajemati pakete na tem vmesniku. Če želite na primer zajeti promet v brezžičnem omrežju, kliknite brezžični vmesnik. Napredne funkcije lahko konfigurirate tako, da kliknete Capture> Options, vendar to za zdaj ni potrebno.

Takoj, ko kliknete ime vmesnika, boste videli, da se paketi začnejo prikazovati v realnem času. Wireshark zajame vsak paket, poslan v vaš sistem ali iz njega.

Če imate omogočen nepristranski način, je privzeto omogočen - videli boste tudi vse druge pakete v omrežju namesto samo paketov, naslovljenih na omrežno kartico. Če želite preveriti, ali je omogočen brezobzirni način, kliknite Capture> Options in potrdite potrditveno polje »Omogoči neomejen način na vseh vmesnikih« na dnu tega okna..

Kliknite rdeč gumb “Stop” v zgornjem levem kotu okna, ko želite ustaviti zajemanje prometa.

Barvno kodiranje

Verjetno boste videli označene pakete v različnih barvah. Wireshark uporablja barve, da vam pomaga hitro prepoznati vrste prometa. Privzeto je svetlo vijolična prometa TCP, svetlo modra je promet UDP in črna označuje pakete z napakami - na primer, lahko so bili dostavljeni izven.

Če želite videti, kaj pomenijo barvne kode, kliknite Pogled> Pravila barvanja. Prav tako lahko prilagodite in spremenite pravila za barvanje od tukaj, če želite.

Vzorec zajemanja

Če na vašem omrežju ni nič zanimivega, da bi pregledali, vas je Wiresharkov wiki pokril. Wiki vsebuje stran vzorčnih datotek za zajem, ki jih lahko naložite in pregledate. Kliknite Datoteka> Odpri v Wiresharku in poiščite preneseno datoteko, da jo odprete.

Svoje posnetke lahko shranite tudi v Wiresharku in jih kasneje odprete. Kliknite Datoteka> Shrani, da shranite zajete pakete.

Filtriranje paketov

Če poskušate pregledati nekaj posebnega, kot je promet, ki ga program pošlje ob telefonu domov, pomaga zapreti vse druge aplikacije, ki uporabljajo omrežje, tako da lahko omejite promet. Kljub temu boste verjetno imeli veliko količino paketov, ki jih boste lahko prebirali. Tukaj pridejo Wiresharkovi filtri.

Najbolj osnovni način uporabe filtra je, da ga vnesete v polje za filter na vrhu okna in kliknete Uporabi (ali pritisnete Enter). Na primer, vnesite »dns« in videli boste samo DNS pakete. Ko začnete tipkati, vam bo Wireshark pomagal samodokončati svoj filter.

Prav tako lahko kliknete Analyze> Display Filters, da izberete filter med privzetimi filtri, vključenimi v Wireshark. Od tu lahko dodajate lastne filtre po meri in jih shranite za lažji dostop do njih v prihodnosti.

Za več informacij o Wiresharkovem jeziku za filtriranje zaslona preberite stran Izrazi filtrov stavbe v uradni dokumentaciji Wireshark.

Še ena zanimiva stvar, ki jo lahko storite, je, da z desno tipko miške kliknete paket in izberete Sledi> TCP Stream.

Med odjemalcem in strežnikom boste videli celoten pogovor TCP. V meniju Spremljanje lahko kliknete tudi druge protokole, če si želite ogledati celotne pogovore za druge protokole, če je primerno.

Zaprite okno in ugotovili, da je bil filter samodejno uporabljen. Wireshark vam pokaže pakete, ki sestavljajo pogovor.

Pregledovanje paketov

Kliknite paket, da ga izberete, in si lahko ogledate njegove podrobnosti.

Filtre lahko ustvarite tudi tukaj - z desno tipko miške kliknite eno od podrobnosti in uporabite podmeni Apply as Filter (Ustvari kot filter), da ustvarite filter, ki temelji na njem..

Wireshark je izjemno zmogljivo orodje, in ta vadnica je samo brskanje po površini tega, kar lahko naredite z njim. Strokovnjaki ga uporabljajo za odpravljanje napak pri implementaciji omrežnega protokola, pregledovanje varnostnih težav in pregledovanje vmesnikov omrežnega protokola.

Podrobnejše informacije najdete v uradnem priročniku za Wireshark in na drugih straneh dokumentacije na Wiresharkovi spletni strani.