Mikä on Wireshark?
Pikalinkit
- Mikä on Wireshark?
- Wiresharkin asentaminen
- Windows
- mac
- Linux
- Rajapinta
- Kaappausasetukset
- Sieppaa liikennettä
- Tietojen lukeminen
- Pakettien suodatus
- Suodatus sieppauksen aikana
- Tulosten suodattaminen
- Seurataan Packet Streams
- Ajatusten päättäminen
Wireshark on tehokas verkkoanalyysityökalu, jonka avulla voit tarkkailla ja tallentaa verkkoliikennettä. Se kaappaa liikennettä pakettitasolla, mikä tarkoittaa, että voit nähdä jokaisen bittiä tietoa, joka kulkee verkon ympäri, mitä se sisältää ja mihin se menee.
Tämän työkalun avulla voit visualisoida ja ymmärtää liikenteen kulkua verkon sisällä. Näkemällä, mitä tietoja siirretään ympäri, voit myös saada tietoa mahdollisista tietoturvaongelmista, joihin voit joutua, sekä mahdollisesti ei-toivottuun liikenteeseen, kuten haittaohjelmiin, kaistanleveyttä kohoaviin ohjelmiin ja jopa ei-toivottuihin vieraisiin langattomasti.
Wireshark on myös tärkeä työkalu, koska sen avulla voit nähdä tarkalleen kuinka verkostasi lähtevät tiedot lähetetään laajempaan Internetiin. Voit esimerkiksi nähdä ja lukea HTTP-pyyntöjä, jolloin voit nähdä, mitä tietoja lähetetään salaamatta. Se voi olla erittäin iso juttu, varsinkin jos tiedot ovat jotain pankkisalasanaa.
Wiresharkin asentaminen
Wireshark on avoimen lähdekoodin ja cross platform. Se on saatavana ilmaiseksi ja jokaiselle suurelle käyttöjärjestelmälle. Ohjelmat ohjelmistossa ovat täysin samat kaikilla alustoilla, joten sinun ei tarvitse huolehtia. Kuvat ovat Linuxia, mutta kaikki mitä näet toimii myös Windowsissa ja Macissa.
Windows
Siirry Wiresharkin lataussivulle ja lataa uusin versio Windows-versiosta. Suorita tuloksena oleva .exe. Asentaja on melko vakio. Voit napsauttaa suurimman osan siitä ja käyttää oletusasetuksia.
On kuitenkin yksi asia, josta haluat varoa. Näyttöön tulee näyttö, jossa kysytään, haluatko asentaa WinPcapin. WinPcap on Windowsin Wiresharkin lisäapuohjelma, jonka avulla se voi tallentaa kaiken verkon liikenteen tietokoneen liikenteen sijasta. Asenna WinPcap valitsemalla ruutu. Se kysyy myös USB-versiosta. Se ei ole välttämätöntä, mutta voit sisällyttää sen myös.
Sen jälkeen asennus valmistuu. Uusi asennus käynnistyy WinPcapille. Oletusarvot ovat siellä hyväksyttäviä.
mac
Siirry Wiresharkin lataussivulle ja napauta uusin .dmg-tiedosto. Kun lataus on valmis, avaa tiedosto kaksoisnapsauttamalla sitä. Vedä avoin sovellus / Applications-kansioon asentaaksesi Wireshark.
Linux
Useimmissa Linux-jakeluissa Wireshark on saatavilla arkistoihinsa. Asenna se paketinhallinnan kanssa.
$ sudo apt install cableshark-gtk
Jakelustasi riippuen sinulta kysytään, haluatko sallia tavallisten käyttäjien kaapata paketteja. Sinun pitäisi sanoa ”Kyllä”. Kun paketti on asennettu, lisää käyttäjän Wireshark-ryhmä. Kirjaudu ulos ja kirjaudu takaisin sisään, kun olet valmis.
$ sudo gpasswd - käyttäjän wirehark
Rajapinta
Kun avaat Wiresharkin ensimmäistä kertaa, näet samanlaisen näytön kuin yllä. Työkalurivien yläpuolella on melko vähän painikkeita, ja se voi näyttää ylivoimaiselta, mutta se on paljon yksinkertaisempi kuin luulet luultavasti.
Oletuksena kaappausrajapinta on tavallaan hankala. Voit muuttaa asettelua mukavammaksi napsauttamalla ”Muokkaa”. Etsi ”Asetukset” -valikko ja alaosa ja avaa se. Asetusten alla vasemmalla on Asemointi-välilehti. Valitse se. Näet useita kuvakkeita, jotka kuvaavat erilaisia asetteluvaihtoehtoja. Valitse sinulle parhaiten sopiva. Ensimmäinen vaihtoehto pinotulla asettelulla toimii yleensä hyvin.
Älä ole vielä huolissasi työkaluriveistä. Ensimmäiset viisi kuvaketta ovat tärkeimmät. Niiden avulla voit valita kaapatavan käyttöliittymän, muuttaa sieppausasetuksia, aloittaa sieppauksen, lopettaa sieppauksen ja jatkaa sitä. Ikonit itse ovat melko intuitiivisia.
Kaappausasetukset
Ennen kuin aloitat liikenteen kaappaamisen, sinun tulisi tutkia sieppausvaihtoehtoja nähdäksesi mitä Wireshark voi tehdä. Napsauta sieppausvaihtoehtojen kuvaketta. Sen pitäisi näyttää pyydykseltä.
Ensimmäinen asia, jonka näet ikkunan yläosassa, on taulukko, jossa luetellaan kaikki verkkoliittymät. Valitse valintaruutu sen käyttöliittymän vieressä, johon haluat tallentaa. Useimmissa tapauksissa haluamasi käyttöliittymä on se, jota käytät yhteyden muodostamiseen verkkoon. Se vastaa Ethernet-porttia tai WiFi-laitetta.
Tämän alapuolella on muutama valintaruutu. Yksi kysyy, haluatko käyttää yksinkertaista tilaa. Edistyksellinen tila antaa sinulle mahdollisuuden nähdä kaikkien verkon laitteiden, ei vain oman tietokoneesi, vaihdot. Todennäköisesti haluat, että tämä otetaan käyttöön. Ole kuitenkin varovainen . Suojattoman tilan käyttäminen verkossa, jota et omista tai jolla ei ole lupaa testata, on laitonta .
Seuraava alaosa kattaa sieppaustiedostot. Wiresharkin avulla voit tallentaa kaapatut tiedot. Siellä olevassa ensimmäisessä kentässä voit määrittää yhden määränpääsi sieppauksellesi. Tämän alapuolella voit valita valintaruudun, jotta Wireshark voi hajottaa kaappauslokin. Lokit voivat saada erittäin suuria, etenkin suurissa verkoissa. Tämän ominaisuuden avulla voit hajottaa sieppaustiedot automaattisesti joko ajan tai tiedostokokojen perusteella. Joko niin, se on kätevä ominaisuus, kun kyseessä on pitkäaikainen skannaus tai varattu verkko.
Tämän alapuolella voit hallita sieppauksen kestoa. Kaappaukset voivat jälleen kasvaa, joten voit asettaa enimmäiskoon. Voit myös keskeyttää sen, mikä on hienoa, koska sen avulla voit ottaa valokuvan tietyn ajanjakson verkon.
Sieppaa liikennettä
Kun asetukset ovat kunnossa, voit alkaa kaappaa verkon liikennettä. Jos et ole koskaan ennen tehnyt tällaista asiaa, ole valmis yllättämään. Liikennettä on paljon enemmän kuin tiedät, joka virtaa verkon ympärillä. Aloita sieppaus joko napsauttamalla määritysikkunan alaosassa olevaa ”Käynnistä” -painiketta tai hainjään kuvaketta. Kumpikin tapa toimii.
Kun aloitat tallennuksen, näkemäsi liikenteen määrä riippuu verkossa olevista laitteista. Vaikka suurin osa ihmisistä ei pysty pysymään näkemänsä liikenteen kuormituksessa, on täysin mahdollista, että näet melkein mitään. Jos näin on, avaa verkkoselain ja aloita navigointi. Kaappaus alkaa nopeasti asua.
Kun sieppaus on ollut käynnissä niin kauan kuin haluat testata, napsauta työkalurivin Stop-painiketta. Sen, minkä sinulla on, pitäisi näyttää yllä olevan kuvan kaltaiselta.
Tietojen lukeminen
Napsauta yhtä vangitsemiasi paketteja. Yritä löytää HTTP-pyyntö. Niiden lukeminen on yleensä helpompaa. Kun valitset paketin, näytön kaksi muuta osaa täyttävät tiedot valitsemastasi paketista.
Kohdassa, johon sinun on kiinnitettävä huomiota, on pinottu taitettavia välilehtiä. Nämä välilehdet seuraavat OSI-mallia ja on järjestetty alimmalta tasolta korkeimmalle, ja alhaisimmat tiedot ovat yläreunassa. Tämä tarkoittaa, että sinulle tärkeimmät tiedot ovat todennäköisesti alareunoissa.
Jokainen välilehti sisältää erilaisia tietoja paketista. HTTP-paketeissa näet tietoja HTTP-pyynnöstä, mukaan lukien vastaus, otsikot ja mahdollisesti jopa HTML. Muun tyyppiset paketit voivat sisältää tietoja käytetyistä satamista, käytetystä salausesta, protokollista ja MAC-osoitteista.
Pakettien suodatus
Se voi olla kipua kaivaamalla kuormien sieppaustietoja löytääksesi juuri etsimäsi. Se on tehoton, ja se on valtava ajanhukkaa. Wiresharkissa on suodatusominaisuudet, joiden avulla voit nopeasti lajitella paketit löytääksesi juuri sen, mikä on merkityksellistä milloin tahansa.
Wiresharkin avulla voit suodattaa tuloksia muutamalla peruselimellä. Ensinnäkin siinä on runsaasti sisäänrakennettuja suodattimia. Kun aloitat kirjoittamisen johonkin suodatinkentistä, Wireshark näyttää ne automaattisen täydennyksen ehdotuksina. Jos joku näistä on mitä etsit, hienoa! Suodatus on erittäin helppoa.
Wireshark käyttää myös niin kutsuttuja Boolean-operaattoreita. Boolen operaattoreita käytetään arvioimaan, onko lausunto totta vai ei. Esimerkiksi, kun haluat kahden ehdon täyttyvän, käyttäisit operaattoria “ja” niiden välillä, koska ehdon 1 ja ehdon 2 on oltava totta. “Tai” operaattori on samanlainen, vain se vaatii vain yhden ehdoistasi totta. Voit todennäköisesti arvata, että “ei” operaattori etsii, kun ehtoa ei ole.
Boolean-operaattoreiden lisäksi Wireshark tukee vertailuoperaattoreita. Kuten nimestä voi päätellä, vertailuoperaattorit vertaa kahta tai useampaa ehtoa. He arvioivat olosuhteiden vastaavuuden suuremmaksi, pienemmäksi tai yhtä suureksi kuin.
Suodatus sieppauksen aikana
Tulosten suodattaminen sieppauksen aikana on erittäin helppoa. Avaa tallennusvaihtoehtojen varmuuskopio. Etsi ”Sieppausasetukset” -painike kohti ikkunan keskustaa. Sen vieressä tulisi olla myös iso tekstikenttä.
Voit rakentaa suodattimen tyhjästä kentällä tai napsauttaa painiketta ja käyttää Wiresharkin sisäänrakennettuja suodattimia. Kokeile napsauttaa painiketta. Uusi ikkuna avautuu luettelolla suodattimista. Napsauttamalla näitä suodattimia, alla olevat kentät täytetään. Alakenttä on todellinen suodatin, jota käytetään. Voit muokata tätä suodatinta omien mukautettujen suodattimiesi perustana. Kun olet valmis, napsauta “Ok”. Suorita sitten skannaus normaalisti. Kaikkien sieppaamisen sijaan Wireshark siepataa vain paketit, jotka vastaavat suodattimen ehtoja. Tämä tekee pakettitietojen lajittelusta ja luokittelusta paljon helpompaa. Sinun ei tarvitse kaivaa läpi paljon lisätietoja löytääksesi tarvitsemasi.
Tulosten suodattaminen
Jos teit täydellisen tai vankemman sieppauksen, mutta haluat suodattaa sen tosiasian jälkeen, voit tehdä sen myös. Kun olet ottanut talteen, näet lisätyökalurivin ohjauskuvakkeiden alla. Työkalurivillä on ”Suodatin” -kenttä. Voit kirjoittaa lausekkeita tiedostoon suodattaaksesi, mitkä tulokset Wireshark näyttää.
Kuten suodatuksessa kaappauksen aikana, siellä on helppo tapa. Napsauta ”Lauseke” -painiketta avataksesi ikkunan, joka auttaa sinua lataamaan suodatinlausekkeesi. Vasen sarake sisältää luettelon kentistä. Nämä kentät antavat sinun valita, mihin tietoihin aiot kohdistaa. Seuraava sarake sisältää luettelon mahdollisista suhteista. Suurin osa on vähemmän kuin, suurempi, yhtäsuuri ja niiden yhdistelmien symboleja. Viimeinen sarake on arvoille. Näihin arvoihin verrataan. Kentästäsi riippuen voit valita arvon, johon haluat verrata, tai kirjoittaa siihen.
Ne voivat tulla monimutkaisemmiksi, ja voit lisätä enemmän lausekkeita. Se kuuluu Boolen operaattoreille. Nämä Booleanit ovat kuitenkin erilaisia. Tämä lausekekenttä käyttää symboleja ja, tai, eikä itse sanojen sijasta. || tarkoittaa "tai". && on "ja". Yksinkertainen! ei ole."
Esimerkiksi, jos haluat kaiken paitsi UDP, käytä! Udp. Jos haluat HTTP tai TCP, kokeile http || tcp. Voit yhdistää ne myös monimutkaisempiin lausekkeisiin. Mitä monimutkaisempi ilmaisu tulee, sitä hienostuneempi suodatin tulee.
Seurataan Packet Streams
Kun sinulla on kiinnostava paketti tai paketit, voit käyttää Wiresharkin mahtavaa sisäänrakennettua työkalua seuraamaan koko "keskustelua" kahden tietokoneen välillä, jotka vaihtavat näitä paketteja. Pakettivirtojen seuraaminen antaa Wirsharkin koota kaiken ja muodostaa suuremman tuloksen. HTTP-pakettien tapauksessa Wireshark todennäköisesti kokoaa verkkosivun HTML-lähteen. Tietyillä salaamattomilla VOIP-ohjelmilla Wireshark voi hakea jopa vaihdetun äänen. Kyllä, se voi todella kuunnella VOIP-keskusteluja.
Napsauta hiiren kakkospainikkeella pakettia, jota haluat seurata. Valitse ”Seuraa… Suoratoisto”, jolloin pisteet korvataan paketin protokollalla. Wireshark vie muutaman sekunnin ommellaksesi sen kaikki yhteen. Kun se on valmis, Wireshark esittelee sinulle valmiin tuloksen. Tämän ominaisuuden avulla on paljon helpompaa nähdä tarkalleen mitä verkossa vaihdetaan. Se osoittaa myös, kuinka tärkeä verkon salaus on, koska tämä ominaisuus kokoaa vain hölynpölyn salattuihin paketteihin.
Ajatusten päättäminen
Wireshark on ehdottoman mahtava työkalu verkkoanalyyseihin. Se antaa sinulle pääsyn näkemään kaiken, mitä verkossa tapahtuu. Wiresharkin avulla voit ymmärtää paremmin, missä verkon ongelmat ovat, sekä nopeuden että turvallisuuden suhteen. Muista käyttää Wiresharkia aina huolellisesti ja ymmärrä, että se on erittäin tunkeileva. Älä vakoile ihmisiä ja muista pitää Wireshark-käyttösi laissa.
