Kako uporabljati Wireshark: popolna vadnica

2024 Avtor: Abigail Brown | [email protected]. Nazadnje spremenjeno: 2023-12-17 07:00

Kaj morate vedeti

• Wireshark je odprtokodna aplikacija, ki zajema in prikazuje podatke, ki potujejo naprej in nazaj po omrežju.
• Ker lahko poglobi in prebere vsebino vsakega paketa, se uporablja za odpravljanje težav z omrežjem in testiranje programske opreme.

Navodila v tem članku veljajo za Wireshark 3.0.3 za Windows in Mac.

Spodnja vrstica

Prvotno znan kot Ethereal, Wireshark prikazuje podatke iz več sto različnih protokolov v vseh glavnih vrstah omrežij. Pakete podatkov si lahko ogledate v realnem času ali analizirate brez povezave. Wireshark podpira na desetine formatov datotek za zajemanje/sledenje, vključno s CAP in ERF. Vgrajena orodja za dešifriranje prikažejo šifrirane pakete za več pogostih protokolov, vključno z WEP in WPA/WPA2.

Kako prenesti in namestiti Wireshark

Wireshark lahko brezplačno prenesete s spletnega mesta Wireshark Foundation za macOS in Windows. Videli boste najnovejšo stabilno izdajo in trenutno razvojno izdajo. Če niste napreden uporabnik, prenesite stabilno različico.

Med postopkom namestitve sistema Windows izberite namestitev WinPcap ali Npcap, če ste pozvani, saj te vključujejo knjižnice, potrebne za zajem podatkov v živo.

Za uporabo Wiresharka morate biti prijavljeni v napravo kot skrbnik. V sistemu Windows 10 poiščite Wireshark in izberite Zaženi kot skrbnik V macOS z desno miškino tipko kliknite ikono aplikacije in izberite Pridobi informacijeV nastavitvah Skupna raba in dovoljenja dodelite skrbniku Branje in pisanje privilegije.

Aplikacija je na voljo tudi za Linux in druge UNIX-u podobne platforme, vključno z Red Hat, Solaris in FreeBSD. Binarne datoteke, potrebne za te operacijske sisteme, najdete na dnu strani za prenos Wireshark v razdelku Paketi tretjih oseb. S te strani lahko tudi prenesete izvorno kodo Wireshark.

Kako zajeti podatkovne pakete z Wiresharkom

Ko zaženete Wireshark, so na pozdravnem zaslonu navedene razpoložljive omrežne povezave v vaši trenutni napravi. Desno od vsakega je prikazan črtni graf v slogu EKG, ki predstavlja promet v živo v tem omrežju.

Za začetek zajemanja paketov z Wiresharkom:

1. Izberite eno ali več omrežij, pojdite v menijsko vrstico in izberite Capture.

   Če želite izbrati več omrežij, med izbiro držite tipko Shift.

   

2. V oknu Wireshark Capture Interfaces oknu izberite Start.

   Obstajajo še drugi načini za začetek zajemanja paketov. Izberite plavut morskega psa na levi strani orodne vrstice Wireshark, pritisnite Ctrl+E ali dvokliknite omrežje.

   

3. Izberite Datoteka > Shrani kot ali izberite možnost Izvozi za snemanje posnetka.

   

4. Za ustavitev zajema pritisnite Ctrl+E. Ali pa pojdite v orodno vrstico Wireshark in izberite rdeči gumb Stop, ki se nahaja poleg plavuti morskega psa.

   

Kako si ogledati in analizirati vsebino paketa

Vmesnik zajetih podatkov vsebuje tri glavne razdelke:

• Podokno s seznamom paketov (zgornji del)
• Podokno s podrobnostmi o paketu (srednji del)
• Podokno z bajti paketov (spodnji del)

Seznam paketov

Podokno s seznamom paketov, ki se nahaja na vrhu okna, prikazuje vse pakete, najdene v aktivni zajemni datoteki. Vsak paket ima svojo vrstico in ustrezno številko, ki mu je dodeljena, skupaj z vsako od teh podatkovnih točk:

• No: To polje označuje, kateri paketi so del istega pogovora. Ostaja prazno, dokler ne izberete paketa.
• Time: V tem stolpcu je prikazan časovni žig, ko je bil paket zajet. Privzeti format je število sekund ali delnih sekund, odkar je bila ta datoteka za zajem prvič ustvarjena.
• Vir: Ta stolpec vsebuje naslov (IP ali drug), od koder izvira paket.
• Destination: Ta stolpec vsebuje naslov, na katerega je bil poslan paket.
• Protocol: Ime protokola paketa, kot je TCP, lahko najdete v tem stolpcu.
• Dolžina: V tem stolpcu je prikazana dolžina paketa v bajtih.
• Info: Dodatne podrobnosti o paketu so predstavljene tukaj. Vsebina tega stolpca se lahko zelo razlikuje glede na vsebino paketa.

Če želite spremeniti obliko časa v nekaj bolj uporabnega (na primer dejanski čas), izberite Pogled > Oblika prikaza časa.

Ko je v zgornjem podoknu izbran paket, boste morda opazili, da se v stolpcu Št. pojavi eden ali več simbolov. Odprti ali zaprti oklepaji in ravna vodoravna črta označujejo, ali je paket ali skupina paketov del istega pogovora naprej in nazaj v omrežju. Prekinjena vodoravna črta pomeni, da paket ni del pogovora.

Podrobnosti o paketu

Podokno s podrobnostmi, ki ga najdete na sredini, predstavlja protokole in polja protokolov izbranega paketa v strnjeni obliki. Poleg razširitve vsake izbire lahko uporabite posamezne filtre Wireshark na podlagi določenih podrobnosti in sledite tokovom podatkov na podlagi vrste protokola tako, da z desno miškino tipko kliknete želeni element.

Paketni bajti

Na dnu je podokno z bajti paketov, ki prikazuje neobdelane podatke izbranega paketa v šestnajstiškem pogledu. Ta šestnajstiški izpis vsebuje 16 šestnajstiških bajtov in 16 bajtov ASCII poleg odmika podatkov.

Izbira določenega dela teh podatkov samodejno označi njegov ustrezen razdelek v podoknu s podrobnostmi paketa in obratno. Vsi bajti, ki jih ni mogoče natisniti, so predstavljeni s piko.

Če želite prikazati te podatke v bitni obliki v nasprotju s šestnajstiško, z desno miškino tipko kliknite kjer koli v podoknu in izberite as bits.

Kako uporabljati filtre Wireshark

Filtri za zajemanje naročijo Wiresharku, naj snema samo pakete, ki ustrezajo določenim kriterijem. Filtre je mogoče uporabiti tudi za zajemno datoteko, ki je bila ustvarjena tako, da so prikazani samo določeni paketi. Ti se imenujejo filtri zaslona.

Wireshark privzeto ponuja veliko število vnaprej določenih filtrov. Če želite uporabiti enega od teh obstoječih filtrov, vnesite njegovo ime v vnosno polje Apply a display filter pod orodno vrstico Wireshark ali v Enter a capture filterpolje na sredini pozdravnega zaslona.

Na primer, če želite prikazati pakete TCP, vnesite tcp. Funkcija samodokončanja Wireshark prikaže predlagana imena, ko začnete tipkati, kar olajša iskanje pravega vzdevka za filter, ki ga iščete.

Drug način za izbiro filtra je, da izberete zaznamek na levi strani vnosnega polja. Izberite Manage Filter Expressions ali Manage Display Filters za dodajanje, odstranjevanje ali urejanje filtrov.

Do prej uporabljenih filtrov lahko dostopate tudi tako, da izberete puščico navzdol na desni strani vnosnega polja, da prikažete spustni seznam zgodovine.

Filtri za zajem se uporabijo takoj, ko začnete snemati omrežni promet. Če želite uporabiti filter prikaza, izberite desno puščico na desni strani vnosnega polja.

Barvna pravila Wiresharka

Medtem ko Wiresharkovi filtri za zajemanje in prikaz omejujejo, kateri paketi so posneti ali prikazani na zaslonu, njegova funkcija barvanja naredi stvari še korak dlje: razlikuje lahko med različnimi vrstami paketov na podlagi njihovega posameznega odtenka. To hitro poišče določene pakete znotraj shranjenega niza glede na njihovo barvo vrstice v podoknu seznama paketov.

Wireshark ima približno 20 privzetih pravil za barvanje, vsako pa je mogoče urejati, onemogočiti ali izbrisati. Izberite Pogled > Pravila za barvanje za pregled, kaj vsaka barva pomeni. Dodate lahko tudi lastne barvne filtre.

Izberite View > Colorize Packet List za vklop in izklop barvanja paketov.

Statistika v Wiresharku

Druge uporabne meritve so na voljo v spustnem meniju Statistika. Ti vključujejo informacije o velikosti in časovnem razporedu datoteke za zajem, skupaj z desetinami grafikonov in grafov, ki segajo po temah od razčlenitev paketnih pogovorov do porazdelitve obremenitve zahtev

Prikazne filtre je mogoče uporabiti za veliko teh statističnih podatkov prek njihovih vmesnikov, rezultate pa je mogoče izvoziti v običajne formate datotek, vključno s CSV, XML in TXT.

Napredne funkcije Wireshark

Wireshark podpira tudi napredne funkcije, vključno z možnostjo pisanja disektorjev protokola v programskem jeziku Lua.