Hoe om Wireshark te gebruik: 'n volledige handleiding

2024 Outeur: Abigail Brown | [email protected]. Laas verander: 2023-12-17 06:37

Wat om te weet

Wireshark is 'n oopbrontoepassing wat data wat heen en weer beweeg op 'n netwerk vasvang en vertoon.
Omdat dit die inhoud van elke pakkie kan deurlê en lees, word dit gebruik om netwerkprobleme op te los en sagteware te toets.

Instruksies in hierdie artikel is van toepassing op Wireshark 3.0.3 vir Windows en Mac.

Onderste reël

Oorspronklik bekend as Ethereal, Wireshark vertoon data van honderde verskillende protokolle op alle groot netwerk tipes. Datapakkies kan intyds bekyk of vanlyn ontleed word. Wireshark ondersteun dosyne vang-/spoorlêerformate, insluitend CAP en ERF. Geïntegreerde dekripsienutsgoed vertoon die geënkripteerde pakkies vir verskeie algemene protokolle, insluitend WEP en WPA/WPA2.

Hoe om Wireshark af te laai en te installeer

Wireshark kan gratis afgelaai word vanaf die Wireshark Foundation-webwerf vir beide macOS en Windows. Jy sal die jongste stabiele vrystelling en die huidige ontwikkelingsvrystelling sien. Tensy jy 'n gevorderde gebruiker is, laai die stabiele weergawe af.

Tydens die Windows-opstellingsproses, kies om WinPcap of Npcap te installeer indien gevra, aangesien dit biblioteke insluit wat nodig is vir regstreekse datavaslegging.

Jy moet by die toestel aangemeld wees as 'n administrateur om Wireshark te gebruik. In Windows 10, soek vir Wireshark en kies Run as administrator In macOS, regskliek die programikoon en kies Kry inligtingIn die Sharing & Permissions instellings, gee die admin Lees en Skryf voorregte.

Die toepassing is ook beskikbaar vir Linux en ander UNIX-agtige platforms, insluitend Red Hat, Solaris en FreeBSD. Die binaries wat vir hierdie bedryfstelsels benodig word, kan gevind word aan die onderkant van die Wireshark-aflaaibladsy onder die Derdeparty-pakkette afdeling. Jy kan ook Wireshark se bronkode van hierdie bladsy aflaai.

Hoe om datapakkies met Wireshark vas te vang

Wanneer jy Wireshark begin, lys 'n welkomskerm die beskikbare netwerkverbindings op jou huidige toestel. Regs van elkeen word 'n EKG-styllyngrafiek vertoon wat regstreekse verkeer op daardie netwerk voorstel.

Om pakkies met Wireshark te begin vaslê:

Kies een of meer netwerke, gaan na die kieslysbalk, kies dan Capture.

Om veelvuldige netwerke te kies, hou die Shift-sleutel terwyl jy jou keuse maak.

Image
In die Wireshark Capture Interfaces-venster, kies Start.

Daar is ander maniere om pakkie vaslegging te begin. Kies die shark fin aan die linkerkant van die Wireshark-nutsbalk, druk Ctrl+E, of dubbelklik die netwerk.

Image
Kies Lêer > Save As of kies 'n Uitvoer opsie om die opname op te neem.

Image
Om op te hou vang, druk Ctrl+E. Of gaan na die Wireshark-nutsbalk en kies die rooi Stop-knoppie wat langs die haaivin geleë is.

Image

Hoe om pakkie-inhoud te bekyk en te ontleed

Die vasgelê data-koppelvlak bevat drie hoofafdelings:

Die pakkielys-paneel (die boonste gedeelte)
Die pakkie-besonderhedepaneel (die middelste gedeelte)
Die pakkiegrepe-paneel (die onderste gedeelte)

Pakketlys

Die pakkielys-paneel, bo-aan die venster, wys alle pakkies wat in die aktiewe vasleggingslêer gevind word. Elke pakkie het sy eie ry en ooreenstemmende nommer wat daaraan toegeken is, saam met elk van hierdie datapunte:

No: Hierdie veld dui aan watter pakkies deel is van dieselfde gesprek. Dit bly leeg totdat jy 'n pakkie kies.
Tyd: Die tydstempel van wanneer die pakkie vasgelê is, word in hierdie kolom vertoon. Die verstekformaat is die aantal sekondes of gedeeltelike sekondes sedert hierdie spesifieke vanglêer die eerste keer geskep is.
Bron: Hierdie kolom bevat die adres (IP of ander) waar die pakkie ontstaan het.
Bestemming: Hierdie kolom bevat die adres waarheen die pakkie gestuur word.
Protokol: Die pakkie se protokolnaam, soos TCP, kan in hierdie kolom gevind word.
Lengte: Die pakkielengte, in grepe, word in hierdie kolom vertoon.
Inligting: Bykomende besonderhede oor die pakkie word hier aangebied. Die inhoud van hierdie kolom kan baie verskil, afhangende van die pakkie-inhoud.

Om die tydformaat na iets nuttiger te verander (soos die werklike tyd van die dag), kies View > Time Display Format.

Wanneer 'n pakkie in die boonste paneel gekies word, sal jy dalk sien dat een of meer simbole in die No. kolom verskyn. Oop of geslote hakies en 'n reguit horisontale lyn dui aan of 'n pakkie of groep pakkies deel is van dieselfde heen-en-weer gesprek op die netwerk.'n Gebroke horisontale lyn dui aan dat 'n pakkie nie deel van die gesprek is nie.

Pakketbesonderhede

Die besonderhedepaneel, wat in die middel gevind word, bied die protokolle en protokolvelde van die geselekteerde pakkie in 'n opvoubare formaat aan. Benewens die uitbreiding van elke seleksie, kan jy individuele Wireshark-filters toepas op grond van spesifieke besonderhede en strome data volg op grond van protokoltipe deur met die rechtermuisknop op die verlangde item te klik.

Pakketgrepe

Aan die onderkant is die pakkiegrepe-paneel, wat die rou data van die geselekteerde pakkie in 'n heksadesimale aansig vertoon. Hierdie hex dump bevat 16 heksadesimale grepe en 16 ASCII grepe langs die data offset.

Deur 'n spesifieke gedeelte van hierdie data te kies, word die ooreenstemmende gedeelte outomaties in die pakkiebesonderhede-paneel uitgelig en omgekeerd. Enige grepe wat nie gedruk kan word nie, word deur 'n punt voorgestel.

Om hierdie data in bis-formaat in teenstelling met heksadesimale te vertoon, regskliek enige plek binne die paneel en kies as bits.

Hoe om Wireshark-filters te gebruik

Capture-filters gee Wireshark opdrag om net pakkies op te neem wat aan gespesifiseerde kriteria voldoen. Filters kan ook toegepas word op 'n vanglêer wat geskep is sodat slegs sekere pakkies gewys word. Daar word na hulle verwys as vertoonfilters.

Wireshark verskaf by verstek 'n groot aantal voorafbepaalde filters. Om een van hierdie bestaande filters te gebruik, voer die naam daarvan in die Pas 'n vertoonfilter toe toe, geleë onder die Wireshark-nutsbalk of in die Voer 'n vasvangfilter inveld geleë in die middel van die welkomskerm.

Byvoorbeeld, as jy TCP-pakkies wil vertoon, tik tcp. Die Wireshark-outovoltooi-kenmerk wys voorgestelde name terwyl jy begin tik, wat dit makliker maak om die korrekte bynaam te vind vir die filter wat jy soek.

'n Ander manier om 'n filter te kies, is om die boekmerk aan die linkerkant van die invoerveld te kies. Kies Manage Filter Expressions of Manage Display Filters om filters by te voeg, te verwyder of te wysig.

Jy kan ook toegang tot voorheen gebruikte filters kry deur die afpyltjie aan die regterkant van die invoerveld te kies om 'n geskiedenis-aftreklys te vertoon.

Vasgfilters word toegepas sodra jy begin om netwerkverkeer op te neem. Om 'n vertoonfilter toe te pas, kies die regspyltjie aan die regterkant van die invoerveld.

Wireshark-kleurreëls

Terwyl Wireshark se vang- en vertoonfilters beperk watter pakkies op die skerm opgeneem of gewys word, neem sy inkleurfunksie dinge 'n stap verder: dit kan onderskei tussen verskillende pakkietipes gebaseer op hul individuele kleur. Dit vind vinnig sekere pakkies binne 'n gestoorde stel volgens hul rykleur in die pakkielys-paneel op.

Wireshark kom met ongeveer 20 verstekkleurreëls, elkeen kan geredigeer, gedeaktiveer of uitgevee word. Kies View > Coloring Rules vir 'n oorsig van wat elke kleur beteken. Jy kan ook jou eie kleurgebaseerde filters byvoeg.

Kies Bekyk > Colorize Packet List om pakkie-inkleuring aan en af te skakel.

Statistiek in Wireshark

Ander nuttige maatstawwe is beskikbaar deur die Statistics aftreklys. Dit sluit in grootte en tydsberekening inligting oor die vaslegging lêer, tesame met dosyne kaarte en grafieke wat wissel in onderwerp van pakkie gesprek uiteensettings tot laai verspreiding van HTTP versoeke.

Vertoonfilters kan op baie van hierdie statistieke toegepas word via hul koppelvlakke, en die resultate kan na algemene lêerformate uitgevoer word, insluitend CSV, XML en TXT.