Amit tudni kell
- A Wireshark egy nyílt forráskódú alkalmazás, amely rögzíti és megjeleníti a hálózaton oda-vissza utazó adatokat.
- Mivel képes lefúrni és elolvasni az egyes csomagok tartalmát, a hálózati problémák hibaelhárítására és a szoftver tesztelésére szolgál.
A cikkben található utasítások a Wireshark 3.0.3 Windows és Mac rendszerre vonatkoznak.
Bottom Line
Eredeti nevén Ethereal, a Wireshark több száz különböző protokoll adatait jeleníti meg az összes főbb hálózattípuson. Az adatcsomagok valós időben megtekinthetők, vagy offline módban elemezhetők. A Wireshark több tucat rögzítési/nyomkövetési fájlformátumot támogat, beleértve a CAP-ot és az ERF-et. Az integrált visszafejtő eszközök számos általános protokollhoz, köztük a WEP-hez és a WPA/WPA2-höz, megjelenítik a titkosított csomagokat.
A Wireshark letöltése és telepítése
A Wireshark ingyenesen letölthető a Wireshark Foundation webhelyéről mind macOS, mind Windows rendszeren. Látni fogja a legújabb stabil kiadást és a jelenlegi fejlesztői kiadást. Hacsak nem haladó felhasználó, töltse le a stabil verziót.
A Windows telepítési folyamata során válassza a WinPcap vagy Npcap telepítését, ha a rendszer kéri, mivel ezek az élő adatrögzítéshez szükséges könyvtárakat tartalmazzák.
A Wireshark használatához rendszergazdaként kell bejelentkeznie az eszközre. Windows 10 rendszerben keresse meg a Wiresharkot, és válassza a Futtatás rendszergazdaként lehetőséget. MacOS esetén kattintson jobb gombbal az alkalmazás ikonjára, és válassza a Get InfoA Megosztás és engedélyek beállításokban adjon Olvasási és Írási jogosultságot az adminisztrátornak.
Az alkalmazás Linuxra és más UNIX-szerű platformokra is elérhető, beleértve a Red Hat, a Solaris és a FreeBSD-t. Az ezekhez az operációs rendszerekhez szükséges binárisok a Wireshark letöltési oldalának alján, a Harmadik féltől származó csomagok részben találhatók. Erről az oldalról letöltheti a Wireshark forráskódját is.
Adatcsomagok rögzítése a Wireshark segítségével
A Wireshark elindításakor az üdvözlőképernyő felsorolja az aktuális eszközén elérhető hálózati kapcsolatokat. Mindegyiktől jobbra egy EKG-stílusú vonaldiagram látható, amely az adott hálózat élő forgalmát ábrázolja.
A csomagok rögzítésének megkezdéséhez a Wireshark segítségével:
-
Válasszon ki egy vagy több hálózatot, lépjen a menüsorba, majd válassza a Capture. lehetőséget.
Több hálózat kiválasztásához tartsa lenyomva a Shift billentyűt a kiválasztás során.
Image -
A Wireshark Capture Interfaces ablakban válassza a Start lehetőséget.
Vannak más módok is a csomagrögzítés kezdeményezésére. Válassza ki a shark fin elemet a Wireshark eszköztár bal oldalán, nyomja meg a Ctrl+E billentyűt, vagy kattintson duplán a hálózatra.
Image -
Válassza ki a Fájl > Mentés másként lehetőséget, vagy válasszon egy Exportálás lehetőséget a rögzítés rögzítéséhez.
Image -
A rögzítés leállításához nyomja meg a Ctrl+E gombot. Vagy lépjen a Wireshark eszköztárra, és válassza ki a piros Stop gombot, amely a cápauszony mellett található.
Image
A csomagok tartalmának megtekintése és elemzése
A rögzített adatfelület három fő részből áll:
- A csomaglista ablaktábla (a felső rész)
- A csomagrészletek ablaktáblája (a középső rész)
- A csomagbájtok panel (az alsó rész)
Csomaglista
Az ablak tetején található csomaglista ablaktábla az aktív rögzítési fájlban található összes csomagot mutatja. Minden csomagnak saját sora és megfelelő szám van hozzárendelve, valamint az alábbi adatpontok mindegyike:
- Nem: Ez a mező jelzi, hogy mely csomagok részei ugyanannak a beszélgetésnek. Addig üres marad, amíg ki nem választ egy csomagot.
- Time: Ebben az oszlopban a csomag rögzítésének időbélyege jelenik meg. Az alapértelmezett formátum az adott rögzítési fájl első létrehozása óta eltelt másodpercek vagy másodpercek részleges száma.
- Forrás: Ez az oszlop tartalmazza azt a címet (IP vagy egyéb), ahonnan a csomag származik.
- Cél: Ez az oszlop tartalmazza azt a címet, amelyre a csomagot küldik.
- Protokoll: Ebben az oszlopban található a csomag protokollneve, például a TCP.
- Length: A csomag hossza bájtban jelenik meg ebben az oszlopban.
- Információ: A csomaggal kapcsolatos további részletek itt találhatók. Ennek az oszlopnak a tartalma nagymértékben változhat a csomag tartalmától függően.
Ha az időformátumot valami hasznosabbra szeretné módosítani (például a tényleges napszak), válassza a View > Időmegjelenítési formátum.
Ha egy csomagot kiválaszt a felső ablaktáblában, észrevehet egy vagy több szimbólumot a No. oszlopban. A nyitott vagy zárt zárójelek és egy egyenes vízszintes vonal jelzi, hogy egy csomag vagy csomagcsoport ugyanannak az oda-vissza beszélgetésnek a részét képezi-e a hálózaton. A törött vízszintes vonal azt jelzi, hogy a csomag nem része a beszélgetésnek.
Csomag részletei
A középen található részletek ablaktábla összecsukható formátumban mutatja be a kiválasztott csomag protokolljait és protokollmezőit. Az egyes kijelölések kibővítése mellett egyedi Wireshark-szűrőket is alkalmazhat meghatározott részletek alapján, és követheti az adatfolyamokat a protokoll típusa alapján, ha jobb gombbal kattint a kívánt elemre.
Packet Bytes
Alul a csomagbájtok panel található, amely a kiválasztott csomag nyers adatait jeleníti meg hexadecimális nézetben. Ez a hexadecimális dump 16 hexadecimális bájtot és 16 ASCII bájtot tartalmaz az adateltolás mellett.
Az adatok egy meghatározott részének kiválasztása automatikusan kiemeli a megfelelő szakaszt a csomagrészletek ablaktáblán, és fordítva. A nem nyomtatható bájtokat pont jelzi.
Ha ezt az adatot bitformátumban szeretné megjeleníteni a hexadecimális helyett, kattintson a jobb gombbal bárhová a panelen, és válassza a bits lehetőséget.
A Wireshark szűrők használata
A rögzítési szűrők arra utasítják a Wiresharkot, hogy csak a meghatározott feltételeknek megfelelő csomagokat rögzítsen. Szűrők alkalmazhatók a létrehozott rögzítési fájlokra is, így csak bizonyos csomagok jelennek meg. Ezeket kijelzőszűrőknek nevezzük.
A Wireshark alapértelmezés szerint számos előre meghatározott szűrőt biztosít. A meglévő szűrők valamelyikének használatához írja be a nevét a Apply a Display filter beviteli mezőbe, amely a Wireshark eszköztár alatt található, vagy az Rögzítési szűrő megadásamező az üdvözlőképernyő közepén található.
Ha például TCP-csomagokat szeretne megjeleníteni, írja be: tcp. A Wireshark automatikus kiegészítési funkciója a javasolt neveket jeleníti meg a gépelés megkezdésekor, így könnyebben megtalálhatja a keresett szűrő megfelelő becenevét.
A szűrő kiválasztásának másik módja a könyvjelző kiválasztása a beviteli mező bal oldalán. A szűrők hozzáadásához, eltávolításához vagy szerkesztéséhez válassza a Szűrőkifejezések kezelése vagy Megjelenítési szűrők kezelése lehetőséget.
A korábban használt szűrőket úgy is elérheti, hogy a beviteli mező jobb oldalán található lefelé mutató nyilat választja az előzmények legördülő lista megjelenítéséhez.
A rögzítési szűrőket a rendszer azonnal alkalmazza, amint elkezdi rögzíteni a hálózati forgalmat. Megjelenítési szűrő alkalmazásához válassza ki a jobbra mutató nyilat a beviteli mező jobb oldalán.
Wireshark színszabályok
A Wireshark rögzítési és megjelenítési szűrői korlátozzák, hogy mely csomagok rögzíthetők vagy jelenjenek meg a képernyőn, színező funkciója egy lépéssel tovább viszi a dolgokat: egyedi árnyalatuk alapján képes megkülönböztetni a különböző csomagtípusokat. Ez gyorsan megkeres bizonyos csomagokat egy mentett halmazon belül a sorszínük alapján a csomaglista panelen.
A Wireshark körülbelül 20 alapértelmezett színezési szabállyal rendelkezik, amelyek mindegyike szerkeszthető, letiltható vagy törölhető. Válassza a Nézet > Színezési szabályok az egyes színek jelentésének áttekintéséhez. Saját színalapú szűrőket is hozzáadhat.
Válassza a Nézet > Csomaglista színezése a csomagszínezés be- és kikapcsolásához.
Statisztikák a Wiresharkban
További hasznos mutatók érhetők el a Statisztika legördülő menüben. Ezek magukban foglalják a rögzítési fájl méretére és időzítésére vonatkozó információkat, valamint több tucat grafikont és grafikont, amelyek témája a csomagalapú beszélgetések lebontásától a HTTP-kérelmek terheléselosztásáig terjed.
A megjelenítési szűrők sok ilyen statisztikára alkalmazhatók a felületükön keresztül, és az eredmények exportálhatók általános fájlformátumokba, beleértve a CSV-t, XML-t és TXT-t.
A Wireshark speciális funkciói
A Wireshark a fejlett funkciókat is támogatja, beleértve a protokollbontó írásának lehetőségét a Lua programozási nyelven.
