Co to jest Wireshark?
Szybkie linki
- Co to jest Wireshark?
- Instalowanie Wireshark
- Windows
- Prochowiec
- Linux
- Interfejs
- Opcje przechwytywania
- Przechwytywanie ruchu
- Odczytywanie danych
- Filtrowanie pakietów
- Filtrowanie podczas przechwytywania
- Filtrowanie wyników
- Śledzenie strumieni pakietów
- Zamykanie myśli
Wireshark to potężne narzędzie do analizy sieci, które umożliwia monitorowanie i przechwytywanie ruchu sieciowego. Przechwytuje ruch na poziomie pakietu, co oznacza, że możesz zobaczyć każdy kawałek informacji, który jest przekazywany w sieci, co zawiera i dokąd zmierza.
To narzędzie pozwala wizualizować i rozumieć przepływ ruchu w sieci. Widząc, jakie dane są przekazywane, możesz również uzyskać wgląd w wszelkie potencjalne problemy bezpieczeństwa, z którymi możesz się spotkać, a także potencjalnie niechciany ruch, taki jak złośliwe oprogramowanie, programy ograniczające przepustowość, a nawet niechciani goście w twoim WiFi.
Wireshark jest również ważnym narzędziem, ponieważ pozwala dokładnie zobaczyć, w jaki sposób dane opuszczające sieć są wysyłane do większego Internetu. Na przykład możesz zobaczyć i odczytać żądania HTTP, co pozwala zobaczyć, które dane są wysyłane niezaszyfrowane. To może być bardzo ważna sprawa, zwłaszcza jeśli dane te przypominają hasło bankowe.
Instalowanie Wireshark
Wireshark jest open source i działa na wielu platformach. Jest dostępny bezpłatnie i dla każdego większego systemu operacyjnego. Sterowanie w programie jest dokładnie takie samo na wszystkich platformach, więc nie musisz się martwić. Obrazy pochodzą z systemu Linux, ale wszystko, co zobaczysz, będzie działać również w systemach Windows i Mac.
Windows
Przejdź do strony pobierania Wireshark i pobierz najnowszą wersję dla swojej wersji systemu Windows. Uruchom wynikowy plik .exe. Instalator jest dość standardowy. Możesz kliknąć większość z nich i użyć ustawień domyślnych.
Jest jednak jedna rzecz, na którą chcesz zwrócić uwagę. Pojawi się ekran z pytaniem, czy chcesz zainstalować WinPcap. WinPcap to dodatkowe narzędzie dla Wireshark w systemie Windows, które pozwala przechwytywać cały ruch w sieci, a nie tylko ruch komputera. Zaznacz pole, aby zainstalować WinPcap. Zapyta Cię również o wersję USB. To nie jest konieczne, ale możesz to również uwzględnić.
Następnie instalacja zostanie zakończona. Rozpocznie się nowa instalacja WinPcap. Domyślne są tam również dopuszczalne.
Prochowiec
Przejdź do strony pobierania Wireshark i pobierz najnowszy plik .dmg. Po zakończeniu pobierania kliknij dwukrotnie plik, aby go otworzyć. Przeciągnij otwartą aplikację do folderu / Aplikacje, aby zainstalować Wireshark.
Linux
Większość dystrybucji Linuksa ma Wireshark dostępny w swoich repozytoriach. Zainstaluj go za pomocą menedżera pakietów.
$ sudo apt install wireshark-gtk
W zależności od dystrybucji pojawi się monit, czy chcesz pozwolić zwykłym użytkownikom na przechwytywanie pakietów. Powinieneś powiedzieć „Tak”. Po zainstalowaniu pakietu dodaj użytkownika do grupy Wireshark. Wyloguj się i zaloguj ponownie, gdy skończysz.
$ sudo gpasswd - użytkownik wireshark
Interfejs
Po pierwszym otwarciu Wireshark zobaczysz ekran podobny do powyższego. Na paskach narzędzi znajduje się sporo przycisków powyżej, które mogą wyglądać przytłaczająco, ale jest to o wiele prostsze, niż się wydaje.
Domyślny interfejs przechwytywania jest dość niezręczny. Możesz zmienić układ, aby był bardziej wygodny, kliknij „Edytuj”. Znajdź menu „Preferencje” i dół i otwórz je. Pod preferencjami zobaczysz kartę „Układ” po lewej stronie. Wybierz to. Zobaczysz kilka ikon przedstawiających różne opcje układu. Wybierz ten, który wygląda najlepiej dla Ciebie. Pierwsza opcja z układem piętrowym zwykle działa dobrze.
Nie martw się jeszcze zbytnio o paski narzędzi. Najważniejsze jest pięć pierwszych ikon. Po kolei pozwalają wybrać interfejs do przechwycenia, zmienić ustawienia przechwytywania, rozpocząć przechwytywanie, zatrzymać przechwytywanie i wznowić. Same ikony są dość intuicyjne.
Opcje przechwytywania
Przed rozpoczęciem przechwytywania ruchu należy przejrzeć opcje przechwytywania, aby zobaczyć, co potrafi Wireshark. Kliknij ikonę opcji przechwytywania. Powinno to wyglądać jak sprzęt.
Pierwszą rzeczą, którą zobaczysz w górnej części okna, jest tabela z listą wszystkich interfejsów sieciowych. Zaznacz pole obok interfejsu, na którym chcesz przechwytywać. W większości przypadków pożądanym interfejsem jest interfejs używany do łączenia się z siecią. Będzie to ten, który odpowiada Twojemu portowi Ethernet lub urządzeniu WiFi.
Poniżej zobaczysz kilka pól wyboru. Jeden zapyta, czy chcesz użyć trybu rozwiązłego. Tryb rozwiązany pozwala zobaczyć wymiany między wszystkimi urządzeniami w sieci, a nie tylko własnym komputerem. Możliwe, że chcesz to włączyć. Bądź jednak ostrożny . Używanie trybu rozwiązanego w sieci, której nie jesteś właścicielem lub nie masz pozwolenia na testowanie, jest nielegalne .
Następna sekcja w dół obejmuje przechwytywanie plików. Wireshark pozwala zapisywać przechwycone dane. Pierwsze pole pozwala określić jedno miejsce docelowe dla przechwytywania. Poniżej możesz zaznaczyć pole wyboru, aby umożliwić Wireshark rozbicie dziennika przechwytywania. Dzienniki mogą stać się bardzo duże, szczególnie w większych sieciach. Ta funkcja umożliwia automatyczne dzielenie przechwyconych danych na podstawie czasu lub rozmiaru pliku. Tak czy inaczej, jest to wygodna funkcja, gdy masz do czynienia z długoterminowymi skanami lub zajętą siecią.
Poniżej możesz kontrolować czas przechwytywania. Ponownie, przechwytywanie może stać się duże, więc możesz ustawić maksymalny rozmiar. Możesz także ustalić limit czasu, co jest miłe, ponieważ pozwala zrobić migawkę określonego przedziału czasowego w sieci.
Przechwytywanie ruchu
Po uporządkowaniu ustawień możesz rozpocząć przechwytywanie ruchu w sieci. Jeśli nigdy wcześniej tego nie robiłeś, przygotuj się na zaskoczenie. Wokół sieci przepływa znacznie większy ruch niż wiesz. Aby rozpocząć przechwytywanie, kliknij przycisk „Start” u dołu okna konfiguracji lub ikonę płetwy rekina. Tak czy inaczej działa.
Po rozpoczęciu nagrywania ilość ruchu, który widzisz, zależy od tego, które urządzenia są w twojej sieci. Chociaż większość ludzi nie będzie w stanie nadążyć za ruchem, który widzą, jest całkiem możliwe, że widzisz prawie nic. W takim przypadku otwórz przeglądarkę internetową i zacznij nawigować. Twoje przechwytywanie szybko zacznie się zapełniać.
Po zakończeniu przechwytywania przez tyle czasu, ile chcesz przetestować, kliknij przycisk zatrzymania na pasku narzędzi. To, co masz, powinno wyglądać podobnie do powyższego obrazu.
Odczytywanie danych
Kliknij jeden z przechwyconych pakietów. Spróbuj znaleźć żądanie HTTP. Zwykle są łatwiejsze do odczytania. Po wybraniu pakietu pozostałe dwie sekcje ekranu wypełniają się informacjami o tym, który wybrałeś.
Sekcja, na którą należy zwrócić uwagę, ma ułożone składane zakładki. Zakładki te są zgodne z modelem OSI i są uporządkowane od najniższego poziomu do najwyższego z informacjami o najniższym poziomie na górze. Oznacza to, że informacje najbardziej odpowiednie dla Ciebie znajdują się prawdopodobnie w dolnych zakładkach.
Każda zakładka zawiera inne informacje o pakiecie. W pakietach HTTP zobaczysz informacje o żądaniu HTTP, w tym odpowiedź, nagłówki, a nawet trochę HTML. Inne typy pakietów mogą zawierać informacje o używanych portach, używanym szyfrowaniu, protokołach i adresach MAC.
Filtrowanie pakietów
Przeszukiwanie wielu danych w celu znalezienia dokładnie tego, czego szukasz, może być kłopotliwe. Jest nieefektywny i powoduje ogromne straty czasu. Wireshark ma funkcję filtrowania, która pozwala szybko sortować pakiety, aby znaleźć dokładnie to, co jest istotne w danym momencie.
Istnieje kilka podstawowych sposobów filtrowania wyników przez Wireshark. Po pierwsze, ma wiele wbudowanych filtrów. Gdy zaczniesz pisać w jednym z pól filtru, Wireshark wyświetli je jako sugestie autouzupełniania. Jeśli któreś z nich jest tym, czego szukasz, świetnie! Filtrowanie będzie bardzo łatwe.
Wireshark używa również tak zwanych operatorów boolowskich. Operatory logiczne służą do oceny, czy instrukcja jest prawdziwa, czy nie. Na przykład, jeśli chcesz spełnić dwa warunki, użyjesz operatora „i” między nimi, ponieważ oba warunki 1 i 2 muszą być prawdziwe. Operator „lub” jest podobny, tyle że tylko jeden z warunków musi być spełniony. Prawdopodobnie można się domyślić, że operator „nie” szuka, gdy warunek nie istnieje.
Oprócz operatorów logicznych Wireshark obsługuje operatory porównania. Jak sama nazwa wskazuje, operatory porównania porównują dwa lub więcej warunków. Oceniają równoważność warunków jako większą, niższą lub równą.
Filtrowanie podczas przechwytywania
Filtrowanie wyników podczas przechwytywania jest bardzo łatwe. Otwórz kopię zapasową opcji przechwytywania. Poszukaj przycisku „Opcje przechwytywania” w środkowej części okna. Obok powinno też znajdować się duże pole tekstowe.
Możesz zbudować swój filtr od zera w tym polu lub kliknąć przycisk i użyć wbudowanych filtrów Wireshark. Spróbuj kliknąć przycisk. Otworzy się nowe okno z listą filtrów. Kliknięcie tych filtrów spowoduje wypełnienie poniższych pól. Dolne pole to aktualnie używany filtr. Możesz zmodyfikować ten filtr jako podstawę własnych filtrów niestandardowych. Kiedy będziesz gotowy, kliknij „OK”. Następnie uruchom skanowanie w normalny sposób. Zamiast przechwytywać wszystko, Wireshark przechwytuje tylko pakiety spełniające warunki twojego filtra. To znacznie ułatwia sortowanie i kategoryzację danych pakietowych. Nie musisz przeglądać wielu dodatkowych informacji, aby znaleźć to, czego potrzebujesz.
Filtrowanie wyników
Jeśli wykonałeś pełne lub bardziej niezawodne przechwytywanie, ale chcesz to przefiltrować po fakcie, możesz to zrobić. Po wykonaniu przechwytywania zobaczysz dodatkowy pasek narzędzi pod ikonami kontrolnymi. Ten pasek narzędzi zawiera pole „Filtr”. Możesz wpisać wyrażenia w tym polu, aby przefiltrować wyniki wyświetlane przez Wireshark.
Podobnie jak w przypadku filtrowania podczas przechwytywania, istnieje prosty sposób. Kliknij przycisk „Wyrażenie”, aby otworzyć okno, które pomoże ci połączyć wyrażenia filtrujące. Lewa kolumna zawiera listę pól. Te pola pozwalają wybrać informacje, na które chcesz kierować. Następna kolumna zawiera listę możliwych relacji. Większość z nich to symbole mniejsze niż, większe niż, równe i ich kombinacje. Ostatnia kolumna dotyczy wartości. Są to wartości, które porównujesz. W zależności od pola możesz wybrać lub wpisać wartość, którą chcesz porównać.
Mogą one stać się bardziej złożone i można dodawać więcej wyrażeń razem. To spada na operatory logiczne. Te booleany są jednak inne. To pole wyrażenia używa symboli dla i, lub, a nie samych słów. || oznacza „lub”. && to „i”. Proste! nie jest."
Na przykład, jeśli chcesz mieć wszystko oprócz UDP, użyj! Udp. Jeśli chcesz HTTP lub TCP, spróbuj http || tcp. Możesz też połączyć je w bardziej złożone wyrażenia. Im bardziej złożone staje się Twoje wyrażenie, tym bardziej wyrafinowany będzie Twój filtr.
Śledzenie strumieni pakietów
Gdy masz pakiet lub pakiety, które Cię interesują, możesz skorzystać z niesamowitego wbudowanego narzędzia w Wireshark, aby śledzić całą „rozmowę” między dwoma komputerami wymieniającymi te pakiety. Śledzenie strumieni pakietów pozwala Wirshark poskładać wszystko i stworzyć większy wynikowy obraz. W przypadku pakietów HTTP Wireshark prawdopodobnie połączy źródło HTML strony internetowej. W przypadku niektórych nieszyfrowanych programów VOIP Wireshark może nawet odzyskać wymieniany dźwięk. Tak, może podsłuchiwać rozmowy VoIP.
Kliknij prawym przyciskiem myszy pakiet, który chcesz śledzić. Wybierz „Follow… Stream”, z kropkami zastąpionymi protokołem pakietu. Wireshark zajmie kilka sekund, aby to wszystko połączyć. Po zakończeniu Wireshark przedstawi Ci ukończony wynik. Ta funkcja znacznie ułatwia sprawdzenie, co jest wymieniane w sieci. Pokazuje także, jak ważne jest szyfrowanie sieciowe, ponieważ ta funkcja połączy tylko całkowite bzdury z zaszyfrowanymi pakietami.
Zamykanie myśli
Wireshark to absolutnie niesamowite narzędzie do analizy sieci. Umożliwia dostęp do wszystkiego, co dzieje się w Twojej sieci. Dzięki Wireshark możesz lepiej zrozumieć, gdzie leżą problemy z siecią, zarówno pod względem szybkości, jak i bezpieczeństwa. Pamiętaj, aby zawsze używać Wireshark z rozwagą i rozumieć, że jest to bardzo nachalne. Nie szpieguj ludzi i pamiętaj, aby korzystanie z Wireshark było zgodne z prawem.
