Kaj je Wireshark?
hitre povezave
- Kaj je Wireshark?
- Namestitev Wiresharka
- Windows
- Mac
- Linux
- Vmesnik
- Možnosti zajema
- Ujemite promet
- Branje podatkov
- Filtriranje paketov
- Filtriranje med zajemom
- Filtriranje rezultatov
- Po paketnih tokovih
- Zaključne misli
Wireshark je močno orodje za analizo omrežja, ki vam omogoča spremljanje in zajem omrežnega prometa. Zajema promet na paketni ravni, kar pomeni, da lahko vidite vsak delček informacij, ki se prenašajo po vašem omrežju, kaj vsebuje in kam gre.
To orodje vam omogoča vizualizacijo in razumevanje pretoka prometa v omrežju. Z ogledom podatkov, ki se prenašajo naokoli, lahko dobite tudi vpogled v morebitne varnostne pomisleke, s katerimi se lahko srečujete, in na kakršen koli potencialno nezaželen promet, kot so zlonamerna programska oprema, programi, ki skačejo s pasovno širino in celo nezaželeni gostje na vašem WiFi.
Wireshark je tudi pomembno orodje, saj vam omogoča, da natančno vidite, kako se podatki, ki zapustijo vaše omrežje, pošiljajo v večji internet. Na primer, lahko vidite in preberete zahteve HTTP, kar vam omogoča, da vidite, kateri podatki se pošiljajo nezašifrirano. To bi lahko bilo zelo veliko, še posebej, če so ti podatki podobni geslu banke.
Namestitev Wiresharka
Wireshark je odprtokodna in navzkrižna platforma. Na voljo je brezplačno in za vse večje operacijske sisteme. Kontrole znotraj programa so popolnoma enake na vseh platformah, zato ni treba skrbeti. Slike so iz Linuxa, vendar vse, kar boste videli, deluje tudi v operacijskem sistemu Windows in Mac.
Windows
Pojdite na stran za prenos Wireshark in prenesite zadnjo izdajo za svojo različico sistema Windows. Zaženite nastali .exe. Namestitveni program je dokaj standarden. Lahko kliknete po večini in uporabite privzete vrednosti.
Vendar pa morate biti pozorni na eno stvar. Prikaže se zaslon, ki vas bo vprašal, ali želite namestiti WinPcap. WinPcap je dodatni pripomoček za Wireshark v operacijskem sistemu Windows, ki omogoča zajem celotnega prometa v omrežju, ne le prometa vašega računalnika. Označite polje, če želite namestiti WinPcap. Vprašal vas bo tudi o različici USB. To ni potrebno, lahko pa ga vključite tudi vi.
Po tem bo namestitev končana. Za WinPcap se bo začela nova namestitev. Tudi privzete vrednosti so sprejemljive.
Mac
Pojdite na stran za prenos Wireshark in zgrabite najnovejšo datoteko .dmg. Ko konča prenos, dvokliknite datoteko, da jo odprete. Če želite namestiti Wireshark, odprto aplikacijo povlecite v mapo / Applications.
Linux
Večina distribucij Linuxa ima Wireshark na voljo v svojih skladiščih. Namestite ga s svojim upraviteljem paketov.
$ sudo apt namestite wireshark-gtk
Glede na vašo distribucijo boste pozvani, ali želite omogočiti rednim uporabnikom zajem paketov. Po namestitvi paketa dodajte uporabniku skupino Wireshark. Ko se končate, se odjavite in se ponovno prijavite.
$ sudo gpasswd - uporabniški žice
Vmesnik
Ko prvič odprete Wireshark, boste videli zaslon, podoben zgornjemu. Zgoraj je v orodnih vrsticah kar nekaj gumbov in lahko izgleda presenetljivo, vendar je veliko bolj preprosto, kot si verjetno mislite.
Privzeti vmesnik za zajem je nekako neroden. Lahko spremenite postavitev, da jo naredite bolj udobno, kliknite »Uredi«. Poiščite meni »Nastavitve« in na dnu ter ga odprite. Pod nastavitvami boste na levi strani videli kartico »Postavitev«. Izberite ga. Videlo se bo več ikon, ki prikazujejo različne možnosti postavitve. Izberite tisto, ki vam najbolj ustreza. Prva možnost z zloženo postavitvijo ponavadi deluje dobro.
Še ne skrbite preveč o orodnih vrsticah. Prvih pet ikon je najpomembnejših. Zato vam omogočajo, da izberete vmesnik za zajem, spremenite nastavitve zajema, začnete zajem, ustavite zajem in ga nadaljujete. Sami ikone so dokaj intuitivne.
Možnosti zajema
Preden začnete zajemati promet, raziščite možnosti zajemanja, da vidite, kaj lahko Wireshark naredi. Kliknite ikono možnosti zajemanja. Videti bi moral kot zobnik.
Prva stvar, ki jo boste videli na vrhu okna, je tabela s seznamom vseh vaših omrežnih vmesnikov. Potrdite polje poleg vmesnika, ki ga želite zajeti. V večini primerov je želeni vmesnik tisti, ki ga uporabljate za povezavo z omrežjem. To bo tista, ki ustreza vašemu Ethernet pristanišču ali WiFi napravi.
Spodaj boste videli nekaj potrditvenih polj. Nekdo vas bo vprašal, ali želite uporabljati promiskuitetni način. Promiskuzen način je tisto, kar vam omogoča, da vidite izmenjave med vsemi napravami v omrežju, ne le z lastnim računalnikom. Verjetno je, da želite, da je to omogočeno. Vendar bodite previdni . Uporaba promiskuitetnega načina v omrežju, ki nimate v lasti ali nimate dovoljenja za testiranje, je nezakonita .
Naslednji del spodaj zajema zajemne datoteke. Wireshark vam omogoča shranjevanje zajetih podatkov. Prvo polje vam omogoča, da določite en sam cilj za zajem. Spodaj lahko potrdite polje, da Wireshark omogoči razčlenitev dnevnika zajemanja. Dnevniki so lahko zelo obsežni, zlasti pri večjih omrežjih. Ta funkcija omogoča samodejno razčlenitev podatkov o zajemanju glede na čas ali velikost datoteke. Kakor koli že, to je priročna funkcija, če imate opravka z dolgoročnimi pregledi ali z zasedenim omrežjem.
Spodaj lahko nadzirate trajanje zajemanja. Ponovno lahko zajeti postanejo veliki, zato lahko nastavite največjo velikost. Lahko ga tudi začasno, kar je lepo, ker vam omogoča posnetek določenega časovnega okvira v vašem omrežju.
Ujemite promet
Ko so nastavitve v redu, lahko začnete zajemati promet v svojem omrežju. Če tega še niste storili, bodite pripravljeni presenetiti. Po vašem omrežju teče veliko več prometa, kot ga poznate. Če želite zajeti, kliknite gumb »Start« na dnu konfiguracijskega okna ali ikono plavuti morskega psa. Kakor koli že, deluje.
Ko začnete snemati, je količina prometa, ki ga vidite, odvisna od tega, katere naprave so v vašem omrežju. Čeprav večina ljudi ne bo mogla biti v koraku s prometom, ki ga vidijo, je povsem mogoče, da vidite skoraj nič. V tem primeru odprite spletni brskalnik in začnite navigirati. Vaš zajem se bo hitro začel pojavljati.
Ko posnetek zajema toliko časa, kot ga želite preizkusiti, v orodni vrstici kliknite gumb stop. Kar imate, bi moralo izgledati nekako kot zgornja slika.
Branje podatkov
Kliknite enega od zajetih paketov. Poskusite najti zahtevo HTTP. Običajno jih je lažje brati. Ko izberete paket, se preostala dva dela zaslona napolnijo s podatki o izbranem.
V razdelku, na katerega morate biti pozorni, so zloženi zložljivi jezički. Ti zavihki sledijo modelu OSI in so razvrščeni od najnižje do najvišje z informacijami o najnižji ravni na vrhu. To pomeni, da so najpomembnejši podatki za vas verjetno na spodnjih zavihkih.
Vsak zavihek vsebuje različne informacije o paketu. V paketih HTTP boste videli informacije o zahtevi HTTP, vključno z odzivom, glavo in morda celo nekaj HTML-ja. Druge vrste paketov lahko vsebujejo podatke o tem, katera vrata se uporabljajo, šifriranje, protokole in MAC naslove.
Filtriranje paketov
Kopanje številnih podatkov o zajemanju je lahko boleče, če želite najti točno tisto, kar iščete. Neučinkovit je in pomeni ogromno izgubo časa. Wireshark ima funkcijo filtriranja, ki vam omogoča hitro razvrščanje po paketih in poiščete točno tisto, kar je v danem trenutku relevantno.
Obstaja nekaj osnovnih načinov, s katerimi vam Wireshark omogoča filtriranje rezultatov. Prvič, ima veliko vgrajenih filtrov. Ko začnete vnašati v eno od filtrskih polj, jih bo Wireshark prikazal kot predloge za samodejno dokončanje. Če je kaj od tega, kar iščete, super! Filtriranje bo zelo enostavno.
Wireshark uporablja tudi tako imenovane Boolove operaterje. Boolovi operaterji se uporabljajo za oceno, ali je izjava resnična ali ne. Na primer, če želite, da sta izpolnjena dva pogoja, bi med njima uporabljali operater "in", ker morata biti pogoj 1 in pogoj 2 resnična. Operater »ali« je podoben, le da je za izpolnitev potreben le eden od vaših pogojev. Verjetno lahko ugibate, da operater »ne« išče, ko pogoj ne obstaja.
Wireshark poleg boolovih operaterjev podpira tudi primerjalne operaterje. Kot pove že ime, izvajalci primerjave primerjajo dva ali več pogojev. Enakovrednost pogojev ocenjujejo kot večjo od, manjšo ali enako.
Filtriranje med zajemom
Filtriranje rezultatov med zajemom je zelo enostavno. Odprite varnostno kopijo možnosti zajema. Poiščite gumb »Možnosti zajemanja« proti sredini okna. Ob njem naj bo tudi veliko besedilno polje.
Svoj filter lahko na tem področju sestavite iz nič ali pa kliknete gumb in uporabite vgrajene filtre Wireshark. Poskusite s klikom na gumb. Odpre se novo okno s seznamom filtrov. S klikom na te filtre se polji spodaj. Spodnje polje je dejanski filter, ki se uporablja. Ta filter lahko spremenite kot osnovo svojih filtrov po meri. Ko ste pripravljeni, kliknite »V redu«. Nato skenirajte tako, kot običajno. Namesto da zajame vse, bo Wireshark zajel samo pakete, ki ustrezajo pogojem vašega filtra. To olajša razvrščanje in kategorizacijo paketnih podatkov. Da bi našli tisto, kar potrebujete, vam ni treba kopati veliko dodatnih informacij.
Filtriranje rezultatov
Če ste naredili popolni zajem ali bolj trden zajem, vendar želite filtrirati po njem, to lahko storite tudi vi. Ko izvedete zajem, boste pod nadzornimi ikonami videli dodatno orodno vrstico. V tej orodni vrstici je polje »Filter«. V to datoteko lahko vnesete izraze, da filtrirate, katere rezultate se prikaže Wireshark.
Kot pri filtriranju med zajemom, obstaja preprost način. Kliknite gumb »Izraz«, da odprete okno, ki vam pomaga sestaviti filtrirne izraze. V levem stolpcu je seznam polj. Ta polja vam omogočajo, da izberete, na katere informacije boste ciljali. Naslednji stolpec vsebuje seznam možnih odnosov. Večina je simbolov za manj kot, večje kot, enake in kombinacije teh. Končni stolpec je za vrednosti. To so vrednosti, s katerimi primerjate. Glede na vaše polje lahko izberete ali napišete vrednost, s katero želite primerjati.
Te lahko postanejo bolj zapletene in lahko skupaj dodate več izrazov. To sodi med Boolove operaterje. Vendar so ti Boolei različni. To izrazno polje uporablja simbole za in ali, in ne, namesto samih besed. || pomeni "ali." && je "in." Preprost! ni."
Na primer, če želite vse, razen UDP, uporabite! Udp. Če želite HTTP ali TCP, poskusite http || tcp. Lahko jih kombinirate tudi v bolj zapletene izraze. Bolj zapleten postane izraz, bolj rafiniran bo vaš filter.
Po paketnih tokovih
Ko imate paket ali pakete, ki vas zanimajo, lahko v Wiresharku uporabite vgrajeno orodje za sledenje celotnemu "pogovoru" med dvema računalnikoma, ki izmenjujeta te pakete. Sledenje paketnim tokovom omogoča, da Wirshark vse skupaj sestavi in ustvari večjo sliko. V primeru paketov HTTP bo Wireshark verjetno sestavil izvor HTML spletne strani. Z določenimi šifriranimi programi VOIP lahko Wireshark celo prikliče izmenjeni zvok. Da, dejansko lahko posluša VOIP pogovore.
Z desno miškino tipko kliknite na paket, ki mu želite slediti. Izberite "Sledite … toku", s pikami, ki jih nadomešča protokol paketa. Wireshark bo potreboval nekaj sekund, da bo vse skupaj šival. Po zaključku vam bo Wireshark predstavil izpolnjen rezultat. S to funkcijo je veliko lažje videti točno, kaj se izmenjuje prek vašega omrežja. Prav tako dokazuje, kako pomembno je šifriranje omrežja, saj bo ta funkcija združila le popolne neumnosti s šifriranimi paketi.
Zaključne misli
Wireshark je popolnoma super orodje pri analizi omrežij. Omogoča vam, da vidite vse, kar se dogaja v vašem omrežju. Z Wiresharkom lahko dobite boljše razumevanje, kje so težave z vašim omrežjem, tako glede hitrosti kot varnosti. Ne pozabite, da Wireshark vedno uporabljate previdno, in razumejte, da je zelo vsiljiv. Ne vohunite za ljudmi in ne pozabite, da bo vaš Wireshark uporabljen v zakonu.
