Utforsk nettverket ditt med wireshark

Hva er Wireshark?

Hurtigkoblinger

• Hva er Wireshark?
• Installere Wireshark
  • Windows
  • Mac
  • Linux
• Grensesnittet
• Fangstalternativer
• Fange trafikk
• Lesing av dataene
• Filtrering av pakker
  • Filtrering under fangst
  • Filtrering av resultater
• Følger pakkestrømmer
• Lukkende tanker

Wireshark er et kraftig nettverksanalyseverktøy som lar deg overvåke og fange nettverkstrafikk. Den fanger trafikk på pakkenivå, noe som betyr at du kan se hver bit av informasjon som blir gitt rundt nettverket ditt, hva den inneholder og hvor den skal.

Dette verktøyet lar deg visualisere og forstå flyten i trafikken i et nettverk. Ved å se hvilke data som sendes rundt, kan du også få innsikt i potensielle sikkerhetsproblemer du måtte møte, samt potensielt uønsket trafikk, som malware, programmer som båndbredde, og til og med uønskede gjester på WiFi-en.

Wireshark er også et viktig verktøy fordi det lar deg se nøyaktig hvordan data som forlater nettverket ditt blir sendt til det større Internett. For eksempel kan du se og lese HTTP-forespørsler, slik at du kan se hvilke data som blir sendt ut ukryptert. Det kan være en veldig stor avtale, spesielt hvis disse dataene er noe som et bankpassord.

Installere Wireshark

Wireshark er åpen kildekode og kryssplattform. Det er tilgjengelig gratis og for alle større operativsystemer. Kontrollene i programmet er nøyaktig de samme på alle plattformer, så det er ingen grunn til bekymring. Bildene er fra Linux, men alt du ser vil også fungere på Windows og Mac.

Windows

Gå til Wireshark nedlastingsside, og last ned den siste versjonen for din versjon av Windows. Kjør det resulterende .exe. Installasjonsprogrammet er ganske standard. Du kan klikke deg gjennom det meste av det og bruke standardverdiene.

Det er imidlertid en ting du ønsker å passe på. En skjerm dukker opp og spør deg om du vil installere WinPcap. WinPcap er et ekstra verktøy for Wireshark på Windows som lar den fange all trafikk i et nettverk, i stedet for bare datamaskinens trafikk. Merk av for å installere WinPcap. Den vil også spørre deg om USB-versjonen. Det er ikke nødvendig, men du kan inkludere det også.

Etter det vil installasjonen fullføres. En ny installasjon vil starte opp for WinPcap. Standardverdiene er akseptable der også.

Mac

Gå til Wireshark nedlastingsside, og ta tak i den nyeste .dmg-filen. Når den er ferdig med nedlastingen, dobbeltklikker du på filen for å åpne den. Dra det åpne programmet til mappen / Applications for å installere Wireshark.

Linux

De fleste Linux-distribusjoner har Wireshark tilgjengelig i depotene. Installer det med pakkehåndtereren.

$ sudo apt installere wireshark-gtk

Avhengig av distribusjon, blir du spurt om du vil tillate vanlige brukere å fange pakker. Du bør si "Ja." Etter at pakken er installert, legger du til brukeren din Wireshark-gruppen. Logg ut og logg inn igjen når du er ferdig.

$ sudo gpasswd - en bruker wireshark

Grensesnittet

Når du først åpner Wireshark, vil du se en skjerm som ligner den ovenfor. Det er ganske mange knapper over i verktøylinjene, og det kan se overveldende ut, men det er mye enklere enn du sikkert tror.

Standardfangstgrensesnittet er slags vanskelig. Du kan endre oppsettet for å gjøre det mer behagelig, klikke på "Rediger." Finn "Innstillinger" -menyen og bunnen, og åpne den. Under innstillingene vil du se en "Layout" -fane til venstre. Velg det. Du vil se flere ikoner som viser forskjellige layoutalternativer. Velg den som ser best ut for deg. Det første alternativet med stablet layout fungerer vanligvis bra.

Ikke bekymre deg for mye om verktøylinjene ennå. De første fem ikonene er de viktigste. I orden lar de deg velge et grensesnitt du vil fange på, endre fangeinnstillingene, starte en fange, stoppe en fange og fortsette en. Ikonene i seg selv er ganske intuitive.

Fangstalternativer

Før du begynner å fange trafikk, bør du utforske fangstalternativene for å se hva Wireshark kan gjøre. Klikk på ikonet for fangstalternativer. Det skal se ut som et gir.

Det første du ser øverst i vinduet er en tabell som viser alle nettverksgrensesnittene dine. Merk av i ruten ved siden av grensesnittet du vil fange på. I de fleste tilfeller er det grensesnittet du ønsker det du bruker for å koble til nettverket. Det vil være den som tilsvarer Ethernet-porten eller WiFi-enheten.

Under det ser du et par avmerkingsbokser. Man vil spørre seg om du vil bruke promiskuøs modus. Promiskuøs modus er det som lar deg se utvekslingen mellom alle enheter i et nettverk, ikke bare din egen datamaskin. Sjansen er at du vil at dette skal være aktivert. Vær imidlertid forsiktig . Det er ulovlig å bruke promiskuøs modus i et nettverk som du ikke eier eller har tillatelse til å teste.

Den neste delen ned dekker fangstfiler. Wireshark lar deg lagre innfangede data. Det første feltet der lar deg spesifisere en enkelt destinasjon for fangsten din. Under det kan du merke av i ruten for å aktivere Wireshark til å dele opp fangstloggen. Logger kan bli veldig store, spesielt i større nettverk. Denne funksjonen lar deg dele opp fangstdataene dine automatisk basert på tid eller filstørrelse. Uansett er det en praktisk funksjon når du arbeider med langtidsskanninger eller et travelt nettverk.

Under det kan du kontrollere varigheten av fangsten din. Igjen kan fangstene bli store, slik at du kan angi en maksimal størrelse. Du kan også time-out, noe som er fint fordi det lar deg ta et øyeblikksbilde av en bestemt tidsramme i nettverket ditt.

Fange trafikk

Når du har innstillingene i orden, kan du begynne å fange trafikken i nettverket. Hvis du aldri har gjort denne typen ting før, må du være forberedt på å bli overrasket. Det er mye mer trafikk enn du vet som flyter rundt i nettverket. For å starte fangsten, klikker du enten på "Start" -knappen nederst i konfigurasjonsvinduet eller hai finikonet. Uansett fungerer.

Når du begynner å spille inn, er trafikkmengden du ser avhengig av hvilke enheter som er i nettverket ditt. Selv om de fleste ikke vil kunne følge med på hvor mye trafikk de ser, er det fullt mulig at du ser nesten ingenting. Hvis det er tilfelle, kan du åpne en nettleser og begynne å navigere rundt. Fangsten din vil raskt begynne å fylles.

Etter at fangsten din har kjørt i så mye tid du vil teste med, klikker du på stoppknappen på verktøylinjen. Det du har, skal se ut som på bildet over.

Lesing av dataene

Klikk på en av pakkene du har fanget. Prøv å finne en HTTP-forespørsel. De har en tendens til å være lettere å lese. Når du velger en pakke, fyller de to andre delene av skjermen opp informasjon om den du valgte.

Seksjonen du må ta hensyn til, har stablet sammenleggbare faner. Disse fanene følger OSI-modellen og blir bestilt fra laveste nivå til høyeste med laveste nivåinformasjon øverst. Det betyr at den informasjonen som er mest relevant for deg, sannsynligvis ligger i de nederste fanene.

Hver fane inneholder forskjellig informasjon om pakken. I HTTP-pakker vil du se informasjon om HTTP-forespørselen, inkludert svaret, overskrifter og muligens til og med HTML. Andre typer pakker kan inneholde informasjon om hvilke porter som er i bruk, kryptering som brukes, protokoller og MAC-adresser.

Filtrering av pakker

Det kan være en smerte å grave gjennom masse fangstdata for å finne nøyaktig hva du leter etter. Det er ineffektivt, og det er enormt bortkastet tid. Wireshark har filtreringsfunksjonalitet som lar deg raskt sortere gjennom pakker for å finne nøyaktig hva som er relevant til enhver tid.

Det er noen få grunnleggende måter Wireshark lar deg filtrere resultater. For det første har den rikelig med innebygde filtre. Når du begynner å skrive i et av filterfeltene, vil Wireshark vise dem som forslag til autofullføring. Hvis noe av det du er ute etter, flott! Filtrering vil være veldig enkelt.

Wireshark bruker også det som kalles boolske operatører. Boolske operatører brukes til å evaluere om en uttalelse er sann eller ikke. Når du for eksempel ønsker at to betingelser er oppfylt, bruker du operatøren “og” mellom dem fordi betingelse 1 og betingelse 2 begge må være sanne. Operatøren “eller” er lik, bare det krever bare at en av betingelsene dine er sanne. Du kan antagelig gjette at "ikke" -operatøren ser etter når en tilstand ikke eksisterer.

I tillegg til de boolske operatørene, støtter Wireshark sammenligningsoperatører. Som navnet antyder, sammenligner operatører to eller flere forhold. De vurderer ekvivalensen av forhold som større enn, mindre enn eller lik.

Filtrering under fangst

Det er veldig enkelt å filtrere resultatene under fangsten. Åpne sikkerhetskopieringsalternativene. Se etter “Capture Options” -knappen mot midten av vinduet. Det skal også være et stort tekstfelt ved siden av.

Du kan konstruere filteret ditt fra bunnen av i det feltet, eller du kan klikke på knappen og bruke Wiresharks innebygde filtre. Prøv å klikke på knappen. Et nytt vindu åpnes med en liste over filtre. Ved å klikke på filtrene fylles feltene nedenfor. Det nederste feltet er det aktuelle filteret som blir brukt. Du kan endre dette filteret som grunnlag for dine egne mer tilpassede filtre. Når du er klar, klikker du på "OK". Kjør deretter skanningen slik du normalt ville gjort. I stedet for å fange alt, vil Wireshark bare fange pakker som måler betingelsene for filteret ditt. Dette gjør sortering og kategorisering av pakkedataene mye enklere. Du trenger ikke å grave gjennom mye ekstra informasjon for å finne det du trenger.

Filtrering av resultater

Hvis du gjorde en fullstendig fange eller en mer robust fange, men du vil filtrere gjennom den etter faktum, kan du gjøre det også. Etter at du har utført en fange, vil du se en ekstra verktøylinje under kontrollikonene. Den verktøylinjen har et "Filter" -felt. Du kan skrive uttrykk i det arkiverte for å filtrere hvilke resultater Wireshark viser.

Som med filtrering under fangst, er det en enkel måte. Klikk på “Uttrykk” -knappen for å åpne et vindu som hjelper deg å sette sammen filteruttrykkene dine. Den venstre kolonnen inneholder en liste over felt. Disse feltene lar deg velge hvilken informasjon du skal målrette mot. Den neste kolonnen inneholder en liste over mulige forhold. De fleste er symbolene for mindre enn, større enn, lik og kombinasjoner av disse. Den siste kolonnen er for verdier. Dette er verdiene du sammenligner med. Avhengig av felt, kan du velge eller skrive inn verdien du vil sammenligne med.

Disse kan bli mer komplekse, og du kan legge til flere uttrykk sammen. Det faller på de boolske operatørene. Disse booleanerne er forskjellige. Dette uttrykksfeltet bruker symbolene for og, eller, og ikke i stedet for selve ordene. || står for “eller.” && er “og.” En enkel! er ikke."

Hvis du for eksempel vil ha alt annet enn UDP, bruk! Udp. Hvis du vil ha HTTP eller TCP, kan du prøve http || tcp. Du kan kombinere dem også til mer komplekse uttrykk. Jo mer komplekst uttrykket ditt blir, desto mer raffinert blir filteret ditt.

Følger pakkestrømmer

Når du har en pakke eller pakker som interesserer deg, kan du bruke et fantastisk innebygd verktøy i Wireshark til å følge hele “samtalen” mellom de to datamaskinene som bytter ut disse pakkene. Etter pakkestrømmer lar Wirshark sette det sammen og danne et større resulterende bilde. Når det gjelder HTTP-pakker, vil Wireshark sannsynligvis sette sammen HTML-kilden til en webside. Med visse ikke-krypterte VOIP-programmer kan Wireshark til og med hente lyden som blir utvekslet. Ja, den kan faktisk høre på VOIP-samtaler.

Høyreklikk på en pakke du vil følge. Velg "Følg … strøm", med prikkene erstattet av protokollen for pakken. Det vil ta noen sekunder å sy sammen Wireshark. Etter at den er ferdig, vil Wireshark presentere det ferdige resultatet. Denne funksjonen gjør det mye enklere å se nøyaktig hva som utveksles over nettverket ditt. Den demonstrerer også hvor viktig nettverkskryptering er, siden denne funksjonen bare vil sette sammen totalt tull med krypterte pakker.

Lukkende tanker

Wireshark er et helt fantastisk verktøy i nettverksanalyse. Det gir deg tilgang til å se alt som skjer på nettverket ditt. Med Wireshark kan du få en bedre forståelse av hvor problemene med nettverket ditt ligger, både når det gjelder hastighet og sikkerhet. Husk å alltid bruke Wireshark med omhu, og forstå at det er veldig påtrengende. Ikke spion på folk, og husk å holde Wireshark-bruken innenfor loven.