Hvad er Wireshark?
hurtige links
- Hvad er Wireshark?
- Installation af Wireshark
- vinduer
- Mac
- Linux
- Grænsefladen
- Optagelsesindstillinger
- Fang trafik
- Læsning af dataene
- Filtrering af pakker
- Filtrering under optagelse
- Filtrering af resultater
- Efter pakkestrømme
- Lukende tanker
Wireshark er et kraftfuldt netværksanalyseværktøj, der giver dig mulighed for at overvåge og fange netværkstrafik. Det fanger trafik på et pakkeniveau, hvilket betyder, at du kan se hver bit af information, der bliver sendt rundt på dit netværk, hvad det indeholder, og hvor det skal hen.
Dette værktøj giver dig mulighed for at visualisere og forstå strømmen af trafik inden for et netværk. Ved at se, hvilke data der videregives, kan du også få indsigt i potentielle sikkerhedsmæssige problemer, som du måske står over for, samt enhver potentielt uønsket trafik, såsom malware, programmer, der trækker båndbredde og endda uønskede gæster på din WiFi.
Wireshark er også et vigtigt værktøj, fordi det giver dig mulighed for at se nøjagtigt, hvordan data, der forlader dit netværk, sendes til det større internet. For eksempel kan du se og læse HTTP-anmodninger, så du kan se, hvilke data der sendes ud ukrypteret. Det kan være en meget stor aftale, især hvis disse data ligner en bankadgangskode.
Installation af Wireshark
Wireshark er open source og cross platform. Det er tilgængeligt gratis og for alle større operativsystemer. Kontrolelementerne i programmet er nøjagtigt de samme på alle platforme, så der er ingen grund til at bekymre sig. Billederne er fra Linux, men alt hvad du ser, fungerer også på Windows og Mac.
vinduer
Gå til Wireshark-downloadsiden, og download den seneste version til din version af Windows. Kør det resulterende .exe. Installationsprogrammet er ret standard. Du kan klikke gennem det meste af det og bruge standardindstillingerne.
Der er dog en ting, du gerne vil kigge efter. Der vises en skærm, der spørger dig, om du vil installere WinPcap. WinPcap er et ekstra værktøj til Wireshark på Windows, der giver det mulighed for at fange al trafik på et netværk, snarere end kun din computers trafik. Marker afkrydsningsfeltet for at installere WinPcap. Det vil også spørge dig om USB-versionen. Det er ikke nødvendigt, men du kan også medtage det.
Derefter afsluttes installationen. En ny installation starter WinPcap. Standardindstillingerne kan også accepteres der.
Mac
Gå til Wireshark-downloadsiden, og tag den seneste .dmg-fil. Når det er færdig med at downloade, skal du dobbeltklikke på filen for at åbne den. Træk det åbne program ind i din / Applications-mappe for at installere Wireshark.
Linux
De fleste Linux-distributioner har Wireshark tilgængeligt i deres lagre. Installer det med din pakkehåndtering.
$ sudo apt installere wireshark-gtk
Afhængig af din distribution, bliver du spurgt, om du vil tillade almindelige brugere at fange pakker. Du skal sige "Ja." Når pakken er installeret, tilføj din bruger Wireshark-gruppen. Log ud og log ind igen, når du er færdig.
$ sudo gpasswd - et bruger wireshark
Grænsefladen
Når du først åbner Wireshark, ser du en skærm, der ligner den ovenfor. Der er ganske mange knapper ovenfor i værktøjslinjerne, og det kan se overvældende ud, men det er meget enklere end du sandsynligvis tror.
Standardoptagelsesgrænsefladen er lidt akavet. Du kan ændre layoutet for at gøre det mere behageligt, klikke på "Rediger". Find menuen "Præferencer" og bunden, og åbn den. Under præferencerne ser du en "Layout" -fane til venstre. Vælg det. Du vil se flere ikoner, der viser forskellige layoutindstillinger. Vælg den der passer bedst til dig. Den første mulighed med det stablede layout fungerer normalt godt.
Du skal ikke bekymre dig for meget om værktøjslinjerne endnu. De første fem ikoner er de vigtigste. For at lade dem vælge en grænseflade, der skal optages, ændre indstillingerne for optagelse, starte en optagelse, stoppe en optagelse og genoptage en. Ikonerne i sig selv er ret intuitive.
Optagelsesindstillinger
Inden du begynder at fange trafik, skal du undersøge indfangningsindstillingerne for at se, hvad Wireshark kan gøre. Klik på ikonet for optagelsesindstillinger. Det skal ligne et gear.
Den første ting, du ser øverst i vinduet, er en tabel, der viser alle dine netværksgrænseflader. Marker afkrydsningsfeltet ud for det interface, du vil optage på. I de fleste tilfælde er det ønskede interface det, du bruger til at oprette forbindelse til netværket. Det er den, der svarer til din Ethernet-port eller WiFi-enhed.
Under det ser du et par afkrydsningsfelter. Man spørger, om du vil bruge promiskuøs tilstand. Promiskuøs tilstand er det, der giver dig mulighed for at se udvekslingen mellem alle enheder på et netværk, ikke kun din egen computer. Chancerne er, at du vil have dette aktiveret. Vær dog forsigtig . Det er ulovligt at bruge promiskuøs tilstand på et netværk, som du ikke ejer eller har tilladelse til at teste.
Det næste afsnit ned dækker indfangningsfiler. Med Wireshark kan du gemme dine indfangede data. Det første felt der giver dig mulighed for at specificere en enkelt destination til din optagelse. Under det kan du markere afkrydsningsfeltet for at aktivere Wireshark til at opdele fangstloggen. Logfiler kan blive meget store, især på større netværk. Denne funktion giver dig mulighed for automatisk at opdele dine indfangningsdata baseret på tid eller filstørrelse. Uanset hvad er det en praktisk funktion, når du beskæftiger dig med langtidsscanninger eller et travlt netværk.
Under det kan du kontrollere varigheden af din optagelse. Igen kan optagelser blive store, så du kan indstille en maksimal størrelse. Du kan også time-out, hvilket er rart, fordi det giver dig mulighed for at tage et øjebliksbillede af en bestemt tidsramme på dit netværk.
Fang trafik
Når du har dine indstillinger i orden, kan du begynde at fange trafikken på dit netværk. Hvis du aldrig har gjort denne slags ting før, skal du være forberedt på at blive overrasket. Der er meget mere trafik, end du ved, der flyder rundt på dit netværk. For at starte optagelsen skal du enten klikke på “Start” -knappen i bunden af konfigurationsvinduet eller hajfinsikonet. Uanset hvad fungerer.
Når du starter optagelse, er den mængde trafik, du ser, afhængig af, hvilke enheder der er på dit netværk. Mens de fleste ikke kan holde trit med den mængde trafik, de ser, er det meget muligt, at du ser næsten intet. Hvis det er tilfældet, skal du åbne en webbrowser og begynde at navigere rundt. Din optagelse begynder hurtigt at udfyldes.
Når din optagelse er kørt i så meget tid, som du vil teste med, skal du klikke på stopknappen på værktøjslinjen. Det, du har, skal ligne billedet ovenfor.
Læsning af dataene
Klik på en af de pakker, du har taget. Prøv at finde en HTTP-anmodning. De har en tendens til at være lettere at læse. Når du vælger en pakke, udfyldes de to andre sektioner på skærmen med oplysninger om den, du valgte.
Det afsnit, du skal være opmærksom på, har stablede sammenklappelige faner. Disse faner følger OSI-modellen og bestilles fra laveste niveau til højeste med information om laveste niveau øverst. Det betyder, at de oplysninger, der er mest relevante for dig, sandsynligvis findes i de nederste faner.
Hver fane indeholder forskellige oplysninger om pakken. I HTTP-pakker kan du se oplysninger om HTTP-anmodningen, herunder svaret, overskrifter og muligvis endda noget HTML. Andre typer pakker kan indeholde oplysninger om, hvilke porte der er i brug, kryptering, der bruges, protokoller og MAC-adresser.
Filtrering af pakker
Det kan være en smerte, der graver igennem en masse indfangningsdata for at finde nøjagtigt, hvad du leder efter. Det er ineffektivt, og det er et enormt spild af tid. Wireshark har filtreringsfunktionalitet, der giver dig mulighed for hurtigt at sortere gennem pakker for at finde nøjagtigt, hvad der er relevant på ethvert givet tidspunkt.
Der er nogle få grundlæggende måder, Wireshark giver dig mulighed for at filtrere resultater. For det første har den masser af indbyggede filtre. Når du begynder at skrive i et af filterfelterne, vil Wireshark vise dem som forslag til autofuldførelse. Hvis nogen af dem er det, du leder efter, fantastisk! Filtrering vil være meget let.
Wireshark bruger også det, der kaldes boolske operatører. Booleske operatører bruges til at evaluere, om en erklæring er sand eller ej. For eksempel, når du ønsker, at to betingelser er opfyldt, skal du bruge "og" -operatøren mellem dem, fordi betingelse 1 og betingelse 2 begge skal være rigtige. Operatøren “eller” er ens, det kræver kun, at en af dine betingelser er rigtige. Du kan sandsynligvis gætte, at "ikke" -operatøren kigger efter, når der ikke findes en betingelse.
Ud over de boolske operatører understøtter Wireshark sammenligningsoperatører. Som navnet antyder, sammenligner operatørerne to eller flere forhold. De vurderer ækvivalensen af forholdene som større end, mindre end eller lig med.
Filtrering under optagelse
Det er meget let at filtrere dine resultater under optagelsen. Åbn sikkerhedskopiering af optagelsesindstillingerne. Se efter knappen "Optagelsesindstillinger" mod midten af vinduet. Der skal også være et stort tekstfelt ved siden af.
Du kan konstruere dit filter fra bunden i det felt, eller du kan klikke på knappen og bruge Wiresharks indbyggede filtre. Prøv at klikke på knappen. Et nyt vindue åbnes med en liste over filtre. Klik på disse filtre udfylder felterne herunder. Det nederste felt er det faktiske filter, der bruges. Du kan ændre dette filter som grundlag for dine egne mere tilpassede filtre. Når du er klar, skal du klikke på "Ok." Kør derefter din scanning, som du normalt ville. I stedet for at fange alt, vil Wireshark kun fange pakker, der er tilpasset betingelserne for dit filter. Dette gør sortering og kategorisering af dine pakkedata meget lettere. Du behøver ikke at grave gennem masser af ekstra information for at finde det, du har brug for.
Filtrering af resultater
Hvis du lavede en fuld fangst eller en mere robust optagelse, men du vil filtrere igennem den efter faktum, kan du også gøre det. Når du har udført en optagelse, ser du en ekstra værktøjslinje under kontrolikonerne. Denne værktøjslinje har et "Filter" -felt. Du kan skrive udtryk i det arkiverede for at filtrere, hvilke resultater Wireshark viser.
Ligesom med filtrering under optagelse, er der en nem måde. Klik på knappen "Udtryk" for at åbne et vindue, der hjælper dig med at sammensætte dine filterudtryk. Den venstre kolonne indeholder en liste over felter. Disse felter giver dig mulighed for at vælge, hvilke oplysninger du vil målrette mod. Den næste kolonne indeholder en liste over mulige relationer. De fleste er symbolerne for mindre end, større end, lig med og kombinationer af dem. Den sidste kolonne er for værdier. Dette er de værdier, du sammenligner med. Afhængigt af dit felt kan du vælge eller skrive den værdi, du vil sammenligne med.
Disse kan blive mere komplekse, og du kan tilføje flere udtryk sammen. Det falder på de boolske operatører. Disse booleanere er dog forskellige. Dette udtryksfelt bruger symbolerne til og, eller, ikke i stedet for selve ordene. || står for “eller.” && er “og.” En enkel! er ikke."
Hvis du f.eks. Vil have alt andet end UDP, skal du bruge! Udp. Hvis du vil have HTTP eller TCP, kan du prøve http || tcp. Du kan også kombinere dem i mere komplekse udtryk. Jo mere kompliceret dit udtryk bliver, desto mere raffineret bliver dit filter.
Efter pakkestrømme
Når du har en pakke eller pakker, der interesserer dig, kan du bruge et fantastisk indbygget værktøj i Wireshark til at følge hele “samtalen” mellem de to computere, der udveksler disse pakker. Efter pakkestrømme lader Wirshark sammensætte det hele og danne et større resulterende billede. I tilfælde af HTTP-pakker vil Wireshark sandsynligvis sammensætte HTML-kilden på en webside. Med visse ikke-krypterede VOIP-programmer kan Wireshark endda hente lyden, der udveksles. Ja, det kan faktisk lytte til VOIP-samtaler.
Højreklik på en pakke, du vil følge. Vælg "Følg … Stream", med prikkerne erstattet af pakkeprotokollen. Wireshark vil tage et par sekunder at sy det hele sammen. Når det er afsluttet, vil Wireshark præsentere dig for det færdige resultat. Denne funktion gør det meget lettere at se nøjagtigt, hvad der udveksles over dit netværk. Det demonstrerer også, hvor vigtig netværkskryptering er, da denne funktion kun vil sammensætte total vrøvl med krypterede pakker.
Lukende tanker
Wireshark er et absolut fantastisk værktøj i netværksanalyse. Det giver dig adgang til at se alt, hvad der foregår på dit netværk. Med Wireshark kan du få en bedre forståelse af, hvor problemerne med dit netværk ligger, både med hensyn til hastighed og sikkerhed. Husk altid at bruge Wireshark med omhu og forstå, at det er meget påtrængende. Spion ikke på folk, og husk at holde din Wireshark-anvendelse inden for loven.
