Ką žinoti
- Wireshark yra atvirojo kodo programa, kuri fiksuoja ir rodo duomenis, keliaujančius pirmyn ir atgal tinkle.
- Kadangi jis gali įsigilinti ir nuskaityti kiekvieno paketo turinį, jis naudojamas tinklo problemoms šalinti ir programinei įrangai išbandyti.
Šiame straipsnyje pateiktos instrukcijos taikomos „Wireshark 3.0.3“, skirta „Windows“ir „Mac“.
Bottom Line
Iš pradžių žinoma kaip Ethereal, „Wireshark“rodo duomenis iš šimtų skirtingų protokolų visuose pagrindinių tinklų tipuose. Duomenų paketus galima peržiūrėti realiuoju laiku arba analizuoti neprisijungus.„Wireshark“palaiko daugybę fiksavimo / sekimo failų formatų, įskaitant CAP ir ERF. Integruoti iššifravimo įrankiai rodo užšifruotus kelių įprastų protokolų paketus, įskaitant WEP ir WPA/WPA2.
Kaip atsisiųsti ir įdiegti Wireshark
„Wireshark“galima nemokamai atsisiųsti iš „Wireshark Foundation“svetainės, skirtos „MacOS“ir „Windows“. Pamatysite naujausią stabilų leidimą ir dabartinį tobulinimo leidimą. Jei nesate pažengęs naudotojas, atsisiųskite stabilią versiją.
„Windows“sąrankos metu pasirinkite įdiegti WinPcap arba Npcap, jei būsite paraginti, nes tai apima bibliotekas, reikalingas tiesioginiam duomenų fiksavimui.
Jei norite naudoti „Wireshark“, prie įrenginio turite prisijungti kaip administratorius. „Windows 10“sistemoje ieškokite „Wireshark“ir pasirinkite Vykdyti kaip administratorių „MacOS“sistemoje dešiniuoju pelės mygtuku spustelėkite programos piktogramą ir pasirinkite Gauti informacijąBendrinimo ir leidimų nustatymuose suteikite administratoriui Skaitymo ir rašymo teises.
Programa taip pat prieinama Linux ir kitoms UNIX tipo platformoms, įskaitant Red Hat, Solaris ir FreeBSD. Šioms operacinėms sistemoms reikalingus dvejetainius failus galite rasti „Wireshark“atsisiuntimo puslapio apačioje, skiltyje Trečiųjų šalių paketai. Taip pat iš šio puslapio galite atsisiųsti Wireshark š altinio kodą.
Kaip užfiksuoti duomenų paketus naudojant Wireshark
Kai paleidžiate „Wireshark“, pasisveikinimo ekrane pateikiami galimi tinklo ryšiai jūsų dabartiniame įrenginyje. Kiekvieno iš jų dešinėje rodoma EKG stiliaus linijinė diagrama, kuri rodo tiesioginį srautą tame tinkle.
Jei norite pradėti fiksuoti paketus su Wireshark:
-
Pasirinkite vieną ar daugiau tinklų, eikite į meniu juostą, tada pasirinkite Capture.
Jei norite pasirinkti kelis tinklus, pasirinkdami laikykite nuspaudę Shift klavišą.
Image -
Wireshark Capture Interfaces lange pasirinkite Start.
Yra ir kitų būdų, kaip pradėti paketų fiksavimą. Kairėje Wireshark įrankių juostos pusėje pasirinkite shark fin, paspauskite Ctrl+E arba dukart spustelėkite tinklą.
Image -
Pasirinkite Failas > Išsaugoti kaip arba pasirinkite parinktį Eksportuoti, kad įrašytumėte fiksavimą.
Image -
Jei norite sustabdyti fiksavimą, paspauskite Ctrl+E. Arba eikite į Wireshark įrankių juostą ir pasirinkite raudoną mygtuką Stop, esantį šalia ryklio peleko.
Image
Kaip peržiūrėti ir analizuoti paketo turinį
Užfiksuotų duomenų sąsają sudaro trys pagrindinės dalys:
- Paketų sąrašo sritis (viršutinė dalis)
- Paketo informacijos sritis (vidurinė dalis)
- Paketų baitų sritis (apatinė dalis)
Paketų sąrašas
Paketų sąrašo srityje, esančioje lango viršuje, rodomi visi paketai, rasti aktyviame fiksavimo faile. Kiekvienas paketas turi savo eilutę ir jam priskirtą atitinkamą numerį, taip pat kiekvieną iš šių duomenų taškų:
- Ne: Šis laukas nurodo, kurie paketai yra to paties pokalbio dalis. Jis lieka tuščias, kol pasirenkate paketą.
- Time: Šiame stulpelyje rodoma laiko žyma, kada buvo užfiksuotas paketas. Numatytasis formatas yra sekundžių skaičius arba dalis sekundžių nuo šio konkretaus fiksavimo failo sukūrimo.
- Š altinis: Šiame stulpelyje yra adresas (IP ar kitas), iš kurio kilo paketas.
- Destination: Šiame stulpelyje yra adresas, kuriuo siunčiamas paketas.
- Protocol: Šiame stulpelyje galite rasti paketo protokolo pavadinimą, pvz., TCP.
- Length: Šiame stulpelyje rodomas paketo ilgis baitais.
- Informacija: Čia pateikiama papildoma informacija apie paketą. Šio stulpelio turinys gali labai skirtis priklausomai nuo paketo turinio.
Jei norite pakeisti laiko formatą į naudingesnį (pvz., tikrąjį paros laiką), pasirinkite View > Laiko rodymo formatas.
Kai viršutinėje srityje pasirenkamas paketas, stulpelyje No. galite pastebėti vieną ar daugiau simbolių. Atviri arba uždaryti skliaustai ir tiesi horizontali linija rodo, ar paketas arba paketų grupė yra to paties pokalbio tinkle dalis. Nutrūkusi horizontali linija reiškia, kad paketas nėra pokalbio dalis.
Paketo informacija
Išsamios informacijos srityje, esančioje viduryje, sutraukiamu formatu pateikiami pasirinkto paketo protokolai ir protokolų laukai. Be kiekvieno pasirinkimo išplėtimo, galite taikyti atskirus „Wireshark“filtrus pagal konkrečią informaciją ir sekti duomenų srautus pagal protokolo tipą, dešiniuoju pelės klavišu spustelėdami norimą elementą.
Paketo baitai
Apačioje yra paketų baitų sritis, kurioje šešioliktaine tvarka rodomi neapdoroti pasirinkto paketo duomenys. Šiame šešioliktainiame išvestyje yra 16 šešioliktainių baitų ir 16 ASCII baitų kartu su duomenų poslinkiu.
Pasirinkus konkrečią šių duomenų dalį, paketo informacijos srityje automatiškai paryškinama atitinkama dalis ir atvirkščiai. Visi baitai, kurių negalima atspausdinti, yra pažymėti tašku.
Kad šie duomenys būtų rodomi bitų formatu, o ne šešioliktaine, dešiniuoju pelės mygtuku spustelėkite bet kurioje srityje ir pasirinkite kaip bitais.
Kaip naudoti Wireshark filtrus
Capture filtrai nurodo Wireshark įrašyti tik nurodytus kriterijus atitinkančius paketus. Filtrai taip pat gali būti taikomi užfiksuotam failui, kuris buvo sukurtas taip, kad būtų rodomi tik tam tikri paketai. Jie vadinami ekrano filtrais.
Wireshark pagal numatytuosius nustatymus teikia daug iš anksto nustatytų filtrų. Norėdami naudoti vieną iš šių esamų filtrų, įveskite jo pavadinimą Taikyti ekrano filtrą, esančiame po Wireshark įrankių juosta, arba Įveskite fiksavimo filtrąlaukas yra pasveikinimo ekrano centre.
Pavyzdžiui, jei norite rodyti TCP paketus, įveskite tcp. „Wireshark“automatinio užbaigimo funkcija rodo siūlomus pavadinimus, kai pradedate vesti tekstą, todėl lengviau rasti tinkamą ieškomo filtro pravardę.
Kitas būdas pasirinkti filtrą – kairėje įvesties lauko pusėje pasirinkti bookmark. Norėdami pridėti, pašalinti arba redaguoti filtrus, pasirinkite Tvarkyti filtrų išraiškas arba Tvarkyti ekrano filtrus.
Taip pat galite pasiekti anksčiau naudotus filtrus pasirinkę rodyklę žemyn dešinėje įvesties lauko pusėje, kad būtų rodomas istorijos išskleidžiamasis sąrašas.
Užfiksavimo filtrai taikomi iškart, kai tik pradedate įrašyti tinklo srautą. Norėdami pritaikyti rodymo filtrą, dešinėje įvesties lauko pusėje pasirinkite rodyklę į dešinę.
Wireshark spalvų taisyklės
Nors Wireshark fiksavimo ir rodymo filtrai riboja, kurie paketai įrašomi arba rodomi ekrane, jo spalvinimo funkcija žengia dar žingsnį toliau: ji gali atskirti skirtingus paketų tipus pagal jų individualų atspalvį. Tai greitai suranda tam tikrus paketus išsaugotame rinkinyje pagal jų eilutės spalvą paketų sąrašo srityje.
Wireshark turi apie 20 numatytųjų spalvinimo taisyklių, kurių kiekvieną galima redaguoti, išjungti arba ištrinti. Pasirinkite Rodyti > Spalvinimo taisyklės, kad peržiūrėtumėte, ką kiekviena spalva reiškia. Taip pat galite pridėti savo spalvų filtrų.
Pasirinkite View > Colorize Packet List, kad įjungtumėte ir išjungtumėte paketų spalvinimą.
Statistika sistemoje Wireshark
Kita naudinga metrika pasiekiama Statistika išskleidžiamajame meniu. Tai apima dydžio ir laiko informaciją apie fiksavimo failą, taip pat daugybę diagramų ir diagramų, kurių tema yra nuo paketinio pokalbio suskirstymo iki HTTP užklausų įkėlimo paskirstymo.
Rodymo filtrai gali būti taikomi daugeliui šios statistikos per jų sąsajas, o rezultatus galima eksportuoti į įprastus failų formatus, įskaitant CSV, XML ir TXT.
Išplėstinės Wireshark funkcijos
Wireshark taip pat palaiko pažangias funkcijas, įskaitant galimybę rašyti protokolų skirstytuvus Lua programavimo kalba.
