A Wireshark használata: Teljes oktatóanyag

Mit kell tudni

A Wireshark egy nyílt forráskódú alkalmazás, amely rögzíti és megjeleníti a hálózaton oda-vissza utazó adatokat.
Mivel minden egyes csomag tartalmát mélyrehatóan leolvashatja, a hálózati problémák elhárítására és a szoftverek tesztelésére használják.

Az ebben a cikkben szereplő utasítások a Wireshark 3.0.3 for Windows és Mac rendszerre vonatkoznak.

Mi az a Wireshark?

Az eredetileg Ethereal néven ismert Wireshark több száz különböző protokoll adatait jeleníti meg az összes főbb hálózati típuson. Az adatcsomagok valós időben megtekinthetők vagy offline módon elemezhetők. A Wireshark több tucat rögzítési / nyomkövetési fájlformátumot támogat, beleértve a CAP és az ERF fájlokat is. Az integrált visszafejtő eszközök több közös protokoll, köztük a WEP és a WPA / WPA2 titkosított csomagjait jelenítik meg.

A Wireshark letöltése és telepítése

A Wireshark ingyenesen letölthető a Wireshark Foundation webhelyéről mind macOS, mind Windows rendszerhez. Látni fogja a legújabb stabil kiadást és a jelenlegi fejlesztői kiadást. Hacsak nem haladó felhasználó, töltse le a stabil verziót.

A Windows telepítési folyamata során válassza a telepítést WinPcap or Npcap ha a rendszer kéri, mivel ezek tartalmazzák az élő adatrögzítéshez szükséges könyvtárakat.

A Wireshark használatához rendszergazdaként kell bejelentkeznie az eszközre. A Windows 10 rendszerben keresse meg a Wireshark szót, és válassza a lehetőséget Futtatás rendszergazdaként. A MacOS rendszerben kattintson a jobb gombbal az alkalmazás ikonjára, és válassza a lehetőséget Get Info. Az Megosztás és engedélyek beállításokat, adja meg az adminnak Ír olvas jogosultságokat.

Az alkalmazás Linux és más UNIX-szerű platformokhoz is elérhető, beleértve a Red Hat, a Solaris és a FreeBSD. Az ezekhez az operációs rendszerekhez szükséges bináris fájlok a Wireshark letöltési oldal alján találhatók a Harmadik fél csomagjai szakasz. Erről az oldalról letöltheti a Wireshark forráskódját is.

Hogyan lehet rögzíteni az adatcsomagokat a Wireshark segítségével

A Wireshark indításakor egy üdvözlő képernyő felsorolja a jelenlegi eszközén elérhető hálózati kapcsolatokat. Mindegyik jobb oldalán egy EKG-stílusú vonaldiagram jelenik meg, amely az adott hálózat élő forgalmát ábrázolja.

A Wireshark csomagok rögzítésének megkezdéséhez:

Válasszon ki egy vagy több hálózatot, lépjen a menüsorra, majd válassza a lehetőséget Elfog.

Több hálózat kiválasztásához tartsa lenyomva a gombot műszak gombot, amikor kiválasztja.
Ban,-ben Wireshark Capture Interfaces ablak, válassza ki Rajt.

A csomagrögzítés kezdeményezésének más módjai is vannak. Válaszd ki a cápauszony a Wireshark eszköztár bal oldalán nyomja meg a gombotCtrl + E, vagy kattintson duplán a hálózatra.
választ filé > Mentés másként vagy válasszon egy Export lehetőség a rögzítés rögzítésére.
A rögzítés leállításához nyomja meg a gombot Ctrl + E. Vagy lépjen a Wireshark eszköztárra, és válassza ki a pirosat megáll gomb, amely a cápauszony mellett található.

A csomagok tartalmának megtekintése és elemzése

A rögzített adatfelület három fő részt tartalmaz:

A csomaglista ablaktábla (felső rész)
A csomag részletei ablaktábla (középső rész)
Csomagbájt ablaktábla (alsó rész)

Csomaglista

Az ablak tetején található csomaglista ablaktáblán az összes rögzítési csomag megtalálható az aktív rögzítési fájlban. Minden csomagnak saját sora és megfelelő száma van hozzárendelve, az alábbi adatokkal együtt:

Nem: Ez a mező jelzi, hogy mely csomagok tartoznak ugyanahhoz a beszélgetéshez. Addig üres marad, amíg ki nem választ egy csomagot.
Idő: A csomag rögzítésének időbélyege ebben az oszlopban jelenik meg. Az alapértelmezett formátum az adott rögzítési fájl első létrehozása óta eltelt másodpercek vagy részleges másodpercek száma.
Forrás: Ez az oszlop tartalmazza azt a címet (IP vagy egyéb), ahonnan a csomag származik.
Úti cél: Ez az oszlop tartalmazza azt a címet, amelyre a csomagot küldik.
Protokoll: A csomag protokollneve, például a TCP, ebben az oszlopban található.
Hossz: A csomag hossza bájtban jelenik meg ebben az oszlopban.
Info: A csomaggal kapcsolatos további részletek itt találhatók. Ennek az oszlopnak a tartalma a csomag tartalmától függően nagymértékben változhat.

Az időformátum hasznosabbra (például a tényleges napszakra) történő módosításához válassza a lehetőséget Megnézem > Időkijelző formátum.

Ha egy csomagot választ a felső ablaktáblán, észreveheti, hogy egy vagy több szimbólum jelenik meg a Nem. oszlop. Nyitott vagy zárt zárójelek és egyenes vízszintes vonal jelzik, hogy egy csomag vagy csomagcsoport ugyanazon oda-vissza beszélgetés része-e a hálózaton. A törött vízszintes vonal azt jelzi, hogy egy csomag nem része a beszélgetésnek.

Csomag részletei

A közepén található részletek ablaktáblán mutatják be a kiválasztott csomag protokolljait és protokollmezõit. Az egyes kijelölések kibővítésén túl egyedi részletek alapján alkalmazhat egyedi Wireshark szűrőket, és a kívánt elemre jobb gombbal kattintva követheti az adatfolyamokat a protokoll típusa alapján.

Csomag bájtok

Alul van a csomag bájt ablaktábla, amely hexadecimális nézetben jeleníti meg a kiválasztott csomag nyers adatait. Ez a hexadecimális 16 hexadecimális és 16 ASCII bájtot tartalmaz az adateltolás mellett.

Az adatok egy adott részének kiválasztása automatikusan kiemeli annak megfelelő szakaszát a csomag részletei ablaktáblában és fordítva. A nem nyomtatható bájtokat pont jelöli.

Ha ezeket az adatokat bit formátumban szeretné megjeleníteni a hexadecimális adatokkal szemben, kattintson a jobb gombbal az ablaktábla bármely pontjára, és válassza a lehetőséget bitként.

A Wireshark szűrők használata

A rögzítési szűrők arra utasítják a Wiresharkot, hogy csak olyan csomagokat rögzítsen, amelyek megfelelnek a megadott feltételeknek. A szűrők egy létrehozott rögzítési fájlra is alkalmazhatók, így csak bizonyos csomagok jelennek meg. Ezeket kijelzőszűrőknek nevezzük.

A Wireshark alapértelmezés szerint nagyszámú előre definiált szűrőt biztosít. A meglévő szűrők egyikének használatához írja be a nevét a Alkalmazzon megjelenítési szűrőt beviteli mező a Wireshark eszköztár alatt vagy a Adjon meg egy rögzítési szűrőt mező az üdvözlő képernyő közepén található.

Például, ha TCP-csomagokat szeretne megjeleníteni, írja be: tcp. A Wireshark automatikus kiegészítés funkció a javasolt neveket jeleníti meg, amikor elkezdi gépelni, megkönnyítve ezzel a kívánt moniker megtalálását a keresett szűrőhöz.

A szűrő kiválasztásának másik módja a könyvjelző a beviteli mező bal oldalán. Választ Szűrőkifejezések kezelése or Kijelzőszűrők kezelése szűrők hozzáadásához, eltávolításához vagy szerkesztéséhez.

A korábban használt szűrőkhöz úgy is hozzáférhet, hogy a beviteli mező jobb oldalán található lefelé mutató nyílra kattintva megjeleníti az előzmények legördülő listát.

A rögzítési szűrőket azonnal alkalmazzák, amint elkezdik rögzíteni a hálózati forgalmat. Megjelenítési szűrő alkalmazásához válassza a jobb nyíl a beviteli mező jobb oldalán.

Wireshark színszabályok

Míg a Wireshark elfogási és megjelenítési szűrői korlátozzák, hogy mely csomagok kerülnek rögzítésre vagy megjelenítésre a képernyőn, színező funkciója egy lépéssel tovább visz: megkülönböztethet különböző csomagtípusokat az egyes színárnyalatok alapján. Ez gyorsan megtalálja bizonyos csomagokat egy mentett halmazon belül a színükkel a csomaglista ablaktáblán.

A Wireshark körülbelül 20 alapértelmezett színezési szabályt tartalmaz, mindegyiket lehet szerkeszteni, letiltani vagy törölni. Válassza a lehetőséget Megnézem > Színező szabályok az egyes színek jelentésének áttekintése. Hozzáadhat saját színalapú szűrőket is.

választ Megnézem > A csomaglista színezése a csomag színezésének be- és kikapcsolásához.

Statisztikák a Wiresharkban

Egyéb hasznos mutatók állnak rendelkezésre a Statisztika legördülő menü. Ezek magukban foglalják a rögzítési fájl méretét és időzítését, valamint tucatnyi diagramot és grafikont, amelyek a témában a csomagbeszélgetések lebontásától a HTTP kérések betöltéséig terjednek.

A megjelenítő szűrők ezekre a statisztikákra sokukra alkalmazhatók az interfészeiken keresztül, és az eredmények exportálhatók általános fájlformátumokba, beleértve a CSV, az XML és a TXT fájlokat is.

Wireshark speciális funkciók

A Wireshark emellett támogatja a fejlett funkciókat, többek között a protokoll-boncolók Lua programozási nyelven történő írásának lehetőségét.