Ako používať Wireshark: Kompletný návod

2024 Autor: Abigail Brown | [email protected]. Naposledy zmenené: 2023-12-17 07:00

Čo by ste mali vedieť

Wireshark je aplikácia s otvoreným zdrojovým kódom, ktorá zachytáva a zobrazuje dáta putujúce tam a späť po sieti.
Pretože dokáže prehĺbiť a prečítať obsah každého paketu, používa sa na riešenie problémov so sieťou a testovanie softvéru.

Pokyny v tomto článku platia pre Wireshark 3.0.3 pre Windows a Mac.

Zrátané podčiarknutie

Wireshark, pôvodne známy ako Ethereal, zobrazuje údaje zo stoviek rôznych protokolov na všetkých hlavných typoch sietí. Dátové pakety je možné prezerať v reálnom čase alebo analyzovať offline. Wireshark podporuje desiatky formátov súborov na zachytávanie/sledovanie vrátane CAP a ERF. Integrované dešifrovacie nástroje zobrazujú šifrované pakety pre niekoľko bežných protokolov vrátane WEP a WPA/WPA2.

Ako stiahnuť a nainštalovať Wireshark

Wireshark si môžete bezplatne stiahnuť z webovej stránky Wireshark Foundation pre macOS aj Windows. Uvidíte najnovšie stabilné vydanie a aktuálne vývojové vydanie. Ak nie ste pokročilý používateľ, stiahnite si stabilnú verziu.

Počas procesu nastavenia systému Windows vyberte inštaláciu WinPcap alebo Npcap, ak sa zobrazí výzva, pretože zahŕňajú knižnice potrebné na zaznamenávanie živých údajov.

Ak chcete používať Wireshark, musíte byť prihlásení do zariadenia ako správca. Vo Windowse 10 vyhľadajte Wireshark a vyberte Spustiť ako správca V systéme macOS kliknite pravým tlačidlom myši na ikonu aplikácie a vyberte Získať informácieV nastaveniach Zdieľanie a povolenia udeľte správcovi privilégiá Čítanie a písanie.

Aplikácia je dostupná aj pre Linux a ďalšie platformy podobné UNIXu vrátane Red Hat, Solaris a FreeBSD. Binárne súbory potrebné pre tieto operačné systémy nájdete v spodnej časti stránky na stiahnutie Wireshark v časti Balíky tretích strán. Z tejto stránky si môžete stiahnuť aj zdrojový kód Wiresharku.

Ako zachytávať dátové pakety pomocou Wireshark

Keď spustíte Wireshark, na uvítacej obrazovke sa zobrazia dostupné sieťové pripojenia na vašom aktuálnom zariadení. Napravo od každého je zobrazený čiarový graf v štýle EKG, ktorý predstavuje aktuálnu premávku v danej sieti.

Ak chcete začať zachytávať pakety pomocou Wireshark:

Vyberte jednu alebo viac sietí, prejdite na panel ponuky a potom vyberte Capture.

Ak chcete vybrať viacero sietí, podržte pri výbere kláves Shift.

Image
V okne Wireshark Capture Interfaces vyberte Start.

Existujú aj iné spôsoby, ako spustiť zachytávanie paketov. Vyberte žraločia plutva na ľavej strane panela s nástrojmi Wireshark, stlačte Ctrl+E alebo dvakrát kliknite na sieť.

Image
Vyberte File > Uložiť ako alebo vyberte možnosť Export na zaznamenanie záberu.

Image
Ak chcete zastaviť snímanie, stlačte Ctrl+E. Alebo prejdite na panel nástrojov Wireshark a vyberte červené tlačidlo Stop, ktoré sa nachádza vedľa žraločej plutvy.

Image

Ako zobraziť a analyzovať obsah paketu

Zachytené dátové rozhranie obsahuje tri hlavné časti:

Panel so zoznamom paketov (horná časť)
Podokno podrobností paketu (stredná časť)
Panel bajtov paketu (spodná časť)

Zoznam paketov

Panel so zoznamom paketov, ktorý sa nachádza v hornej časti okna, zobrazuje všetky pakety nájdené v aktívnom zachytávacom súbore. Každý paket má svoj vlastný riadok a je mu priradené zodpovedajúce číslo, spolu s každým z týchto dátových bodov:

Nie: Toto pole označuje, ktoré pakety sú súčasťou tej istej konverzácie. Zostane prázdne, kým nevyberiete paket.
Time: V tomto stĺpci je zobrazená časová pečiatka, kedy bol paket zachytený. Predvolený formát je počet sekúnd alebo čiastočných sekúnd od prvého vytvorenia tohto konkrétneho zachytávacieho súboru.
Zdroj: Tento stĺpec obsahuje adresu (IP alebo inú), z ktorej paket pochádza.
Cieľ: Tento stĺpec obsahuje adresu, na ktorú sa paket posiela.
Protokol: Názov protokolu paketu, napríklad TCP, nájdete v tomto stĺpci.
Dĺžka: V tomto stĺpci je zobrazená dĺžka paketu v bajtoch.
Info: Ďalšie podrobnosti o pakete sú uvedené tu. Obsah tohto stĺpca sa môže značne líšiť v závislosti od obsahu paketu.

Ak chcete zmeniť formát času na niečo užitočnejšie (napríklad skutočný čas dňa), vyberte Zobraziť > Formát zobrazenia času.

Po výbere paketu v hornom paneli si môžete všimnúť, že v stĺpci No. sa objaví jeden alebo viac symbolov. Otvorené alebo uzavreté zátvorky a rovná horizontálna čiara označujú, či je paket alebo skupina paketov súčasťou rovnakej konverzácie tam a späť v sieti. Prerušovaná vodorovná čiara znamená, že paket nie je súčasťou konverzácie.

Podrobnosti balíka

Podokno podrobností, ktoré sa nachádza v strede, predstavuje protokoly a polia protokolov vybratého paketu v zbaliteľnom formáte. Okrem rozšírenia každého výberu môžete použiť jednotlivé filtre Wireshark na základe konkrétnych podrobností a sledovať toky údajov na základe typu protokolu kliknutím pravým tlačidlom myši na požadovanú položku.

Packet bajtov

V spodnej časti je tabla bajtov paketu, ktorá zobrazuje nespracované údaje vybraného paketu v hexadecimálnom zobrazení. Tento hexadecimálny výpis obsahuje 16 hexadecimálnych bajtov a 16 ASCII bajtov spolu s posunom údajov.

Výberom konkrétnej časti týchto údajov sa automaticky zvýrazní jej zodpovedajúca časť na paneli s podrobnosťami paketu a naopak. Všetky bajty, ktoré nemožno vytlačiť, sú označené bodkou.

Ak chcete zobraziť tieto údaje v bitovom formáte, nie v hexadecimálnom, kliknite pravým tlačidlom myši kdekoľvek v paneli a vyberte as bits.

Ako používať filtre Wireshark

Filtre zachytávania prikazujú Wiresharku zaznamenávať iba pakety, ktoré spĺňajú špecifikované kritériá. Filtre možno použiť aj na zachytávací súbor, ktorý bol vytvorený tak, aby sa zobrazovali iba určité pakety. Tieto sa označujú ako filtre zobrazenia.

Wireshark štandardne poskytuje veľké množstvo preddefinovaných filtrov. Ak chcete použiť niektorý z týchto existujúcich filtrov, zadajte jeho názov do poľa Použiť filter zobrazenia, ktoré sa nachádza pod panelom s nástrojmi Wireshark alebo do poľa Zadajte filter zachytávaniapole umiestnené v strede uvítacej obrazovky.

Ak napríklad chcete zobraziť pakety TCP, zadajte tcp. Funkcia automatického dopĺňania Wireshark zobrazuje navrhované mená, keď začínate písať, čo uľahčuje nájdenie správnej prezývky pre filter, ktorý hľadáte.

Ďalším spôsobom, ako zvoliť filter, je vybrať záložku na ľavej strane zadávacieho poľa. Ak chcete pridať, odstrániť alebo upraviť filtre, vyberte Spravovať výrazy filtra alebo Spravovať filtre zobrazenia.

Môžete tiež pristupovať k predtým používaným filtrom výberom šípky nadol na pravej strane vstupného poľa, čím zobrazíte rozbaľovací zoznam histórie.

Filtre zachytávania sa použijú hneď, ako začnete zaznamenávať sieťovú prevádzku. Ak chcete použiť filter zobrazenia, vyberte šípku doprava na pravej strane vstupného poľa.

Pravidlá farieb Wireshark

Zatiaľ čo zachytávacie a zobrazovacie filtre Wiresharku obmedzujú, ktoré pakety sa zaznamenávajú alebo zobrazujú na obrazovke, funkcia zafarbenia posúva veci ešte o krok ďalej: Dokáže rozlišovať medzi rôznymi typmi paketov na základe ich individuálneho odtieňa. Toto rýchlo nájde určité pakety v rámci uloženej množiny podľa farby riadka na table so zoznamom paketov.

Wireshark prichádza s približne 20 predvolenými pravidlami farbenia, z ktorých každé je možné upraviť, zakázať alebo odstrániť. Vyberte Zobraziť > Pravidlá farbenia pre prehľad toho, čo jednotlivé farby znamenajú. Môžete tiež pridať svoje vlastné farebné filtre.

Vyberte Zobraziť > Colorize Packet List na zapnutie a vypnutie zafarbenia paketu.

Štatistiky vo Wireshark

Ďalšie užitočné metriky sú dostupné v rozbaľovacej ponuke Statistics. Patria medzi ne informácie o veľkosti a načasovaní súboru zachytávania spolu s desiatkami tabuliek a grafov v rôznych témach od rozpadov konverzácií paketov až po distribúciu zaťaženia požiadaviek

Zobrazovacie filtre možno použiť na mnohé z týchto štatistík prostredníctvom ich rozhraní a výsledky možno exportovať do bežných formátov súborov vrátane CSV, XML a TXT.