Utforska ditt nätverk med wireshark

Vad är Wireshark?

snabblänkar

• Vad är Wireshark?
• Installera Wireshark
  • Windows
  • Mac
  • Linux
• Gränssnittet
• Fångaralternativ
• Fånga trafik
• Läsa data
• Filtrera paket
  • Filtrering under fångst
  • Filtrera resultat
• Följer paketströmmar
• Avslutande tankar

Wireshark är ett kraftfullt nätverksanalysverktyg som låter dig övervaka och fånga nätverkstrafik. Den fångar trafik på paketnivå, vilket innebär att du kan se varje bit av information som skickas runt ditt nätverk, vad den innehåller och vart den ska.

Med det här verktyget kan du visualisera och förstå trafikflödet i ett nätverk. Genom att se vilken information som skickas runt kan du också få insikt i eventuella säkerhetsproblem som du kan möta såväl som eventuellt oönskad trafik, som skadlig programvara, program med hög bandbredd och till och med oönskade gäster på din WiFi.

Wireshark är också ett viktigt verktyg eftersom det låter dig se exakt hur data som lämnar ditt nätverk skickas till det större Internet. Till exempel kan du se och läsa HTTP-förfrågningar, så att du kan se vilka data som skickas ut okrypterade. Det kan vara en väldigt stor affär, speciellt om dessa data är något som ett banklösenord.

Installera Wireshark

Wireshark är open source och cross platform. Det finns gratis och för alla större operativsystem. Kontrollerna inom programmet är exakt desamma på alla plattformar, så det finns ingen anledning att oroa sig. Bilderna kommer från Linux, men allt du ser kommer också att fungera på Windows och Mac.

Windows

Gå till Wireshark nedladdningssida och ladda ner den senaste versionen för din version av Windows. Kör resulterande .exe. Installatören är ganska standard. Du kan klicka igenom det mesta och använda standardvärdena.

Det är dock en sak som du vill se upp för. En skärm kommer upp och frågar dig om du vill installera WinPcap. WinPcap är ett ytterligare verktyg för Wireshark på Windows som gör att den kan fånga all trafik i ett nätverk, snarare än bara datorns trafik. Markera rutan för att installera WinPcap. Det kommer också att fråga dig om USB-versionen. Det är inte nödvändigt, men du kan inkludera det också.

Därefter kommer installationen att slutföras. En ny installation startar för WinPcap. Standardvärdena är också acceptabla där.

Mac

Gå till Wireshark-nedladdningssidan och ta den senaste .dmg-filen. När nedladdningen är klar, dubbelklickar du på filen för att öppna den. Dra det öppna programmet till mappen / Applications för att installera Wireshark.

Linux

De flesta Linux-distributioner har Wireshark tillgängliga i sina förvar. Installera det med din paketansvarig.

$ sudo apt installera wireshark-gtk

Beroende på din distribution blir du tillfrågad om du vill tillåta vanliga användare att fånga paket. Du bör säga "Ja." När paketet har installerats, lägg till din användare Wireshark-gruppen. Logga ut och logga in igen när du är klar.

$ sudo gpasswd - en användare wireshark

Gränssnittet

När du först öppnar Wireshark ser du en skärm som liknar den ovan. Det finns en hel del knappar ovan i verktygsfältet, och det kan se överväldigande ut, men det är mycket enklare än du antagligen tror.

Standardfångstgränssnittet är lite besvärligt. Du kan ändra layouten så att den blir bekvämare, klicka på "Redigera". Hitta menyn "Inställningar" och botten och öppna den. Under inställningarna ser du en "Layout" -flik till vänster. Välj det. Du ser flera ikoner som visar olika layoutalternativ. Välj den som ser bäst ut för dig. Det första alternativet med den staplade layouten fungerar vanligtvis bra.

Oroa dig inte för mycket för verktygsfälten än. De första fem ikonerna är de viktigaste. För att de låter dig välja ett gränssnitt att fånga på, ändra inspelningsinställningarna, starta en inspelning, stoppa en inspelning och återuppta en. Ikonerna själva är ganska intuitiva.

Fångaralternativ

Innan du börjar fånga trafik bör du utforska fångstalternativen för att se vad Wireshark kan göra. Klicka på ikonen för fångstalternativ. Det ska se ut som ett redskap.

Det första du ser längst upp i fönstret är en tabell med alla dina nätverksgränssnitt. Markera rutan bredvid gränssnittet som du vill fånga på. I de flesta fall är det gränssnitt du vill använda det du använder för att ansluta till nätverket. Det är den som motsvarar din Ethernet-port eller WiFi-enhet.

Nedanför ser du ett par kryssrutor. Man kommer att fråga om du vill använda promiskuös läge. Promiskuöst läge är det som låter dig se utbytet mellan alla enheter i ett nätverk, inte bara din egen dator. Chansen är att du vill ha detta aktiverat. Var dock försiktig . Det är olagligt att använda promiskuös läge i ett nätverk som du inte äger eller har tillstånd att testa.

Nästa avsnitt nedan täcker fånga filer. Med Wireshark kan du spara dina fångade data. Det första fältet där låter dig ange en enda destination för din fångst. Nedanför kan du kryssa i rutan för att aktivera Wireshark att bryta upp fångstloggen. Loggar kan bli mycket stora, särskilt i större nätverk. Med den här funktionen kan du dela upp dina fångstdata automatiskt baserat på tid eller filstorlek. Hursomhelst är det en bekväm funktion när du har att göra med långsiktiga skanningar eller ett upptaget nätverk.

Under det kan du kontrollera varaktigheten på din inspelning. Återigen kan tagningar bli stora, så att du kan ställa in en maximal storlek. Du kan också ta bort tiden, vilket är trevligt eftersom det låter dig ta en stillbild av en specifik tidsram i ditt nätverk.

Fånga trafik

När du har ordnat dina inställningar kan du börja fånga trafiken i ditt nätverk. Om du aldrig har gjort den här typen tidigare, var du beredd att bli förvånad. Det finns mycket mer trafik än du vet flyter runt ditt nätverk. För att starta inspelningen klickar du antingen på "Start" -knappen längst ned i konfigurationsfönstret eller på hajfinikonen. Hur som helst fungerar.

När du börjar spela in beror mängden trafik som du ser på vilka enheter som finns i ditt nätverk. Medan de flesta människor inte kan hålla jämna steg med den mängd trafik de ser, är det fullt möjligt att du ser nästan ingenting. Om så är fallet öppnar du en webbläsare och börjar navigera runt. Din fångst börjar snabbt fylla.

När du har tagit så lång tid som du vill testa med dig klickar du på stoppknappen i verktygsfältet. Det du har ska se ut som bilden ovan.

Läsa data

Klicka på ett av paketen du fångade. Försök hitta en HTTP-begäran. De tenderar att vara lättare att läsa. När du väljer ett paket fylls de andra två sektionerna på skärmen med information om det du valde.

Det avsnitt som du måste vara uppmärksam på har staplade hopfällbara flikar. Dessa flikar följer OSI-modellen och beställs från lägsta nivå till högsta med information om lägsta nivå längst upp. Det betyder att den information som är mest relevant för dig förmodligen finns i nedre flikarna.

Varje flik innehåller olika information om paketet. I HTTP-paket ser du information om HTTP-begäran, inklusive svaret, rubriker och eventuellt till och med HTML. Andra typer av paket kan innehålla information om vilka portar som används, kryptering som används, protokoll och MAC-adresser.

Filtrera paket

Det kan vara en smärta som gräver igenom massor av fångstdata för att hitta exakt vad du letar efter. Det är ineffektivt och det är ett enormt slöseri med tid. Wireshark har filtreringsfunktioner som gör att du snabbt kan sortera igenom paket för att hitta exakt vad som är relevant vid varje given tidpunkt.

Det finns några grundläggande sätt som Wireshark låter dig filtrera resultat. Först har det gott om inbyggda filter. När du börjar skriva i ett av filterfältet kommer Wireshark att visa dem som förslag att automatiskt fylla i. Om något av det här är vad du letar efter, bra! Filtrering kommer att vara mycket enkelt.

Wireshark använder också vad som kallas booleska operatörer. Booleska operatörer används för att utvärdera om ett uttalande är sant eller inte. Till exempel, om du vill ha två villkor uppfyllt, använder du operatören "och" mellan dem eftersom villkor 1 och villkor 2 båda måste vara sanna. Operatören “eller” är likadant, det kräver bara att en av dina villkor är sanna. Du kan antagligen gissa att operatören "inte" letar efter när ett villkor inte finns.

Förutom de booleska operatörerna stöder Wireshark jämförelser. Som namnet antyder jämför jämförande operatörer två eller flera villkor. De utvärderar likvärdigheten hos förhållandena som större än, mindre än eller lika med.

Filtrering under fångst

Det är mycket enkelt att filtrera dina resultat under inspelningen. Öppna säkerhetskopiera fångstalternativ. Leta efter knappen "Capture Options" mot mitten av fönstret. Det bör också finnas ett stort textfält bredvid det.

Du kan konstruera ditt filter från grunden i det fältet, eller du kan klicka på knappen och använda Wiresharks inbyggda filter. Prova att klicka på knappen. Ett nytt fönster öppnas med en lista med filter. Om du klickar på dessa filter fylls fälten nedan. Det nedre fältet är det faktiska filtret som används. Du kan ändra det filtret som grund för dina egna mer anpassade filter. När du är redo klickar du på "Ok." Kör sedan din skanning som du normalt skulle göra. Istället för att fånga allt kommer Wireshark bara att fånga paket som överensstämmer med villkoren för ditt filter. Detta gör det lättare att sortera och kategorisera dina paketdata. Du behöver inte gräva igenom massor av extra information för att hitta det du behöver.

Filtrera resultat

Om du gjorde en fullständig inspelning eller en mer robust inspelning, men du vill filtrera igenom det efter det faktum, kan du också göra det. När du har gjort en inspelning ser du ett ytterligare verktygsfält under kontrollikonerna. Det verktygsfältet har ett "Filter" -fält. Du kan skriva uttryck i det arkiverade för att filtrera vilka resultat Wireshark visar.

Liksom med filtrering under inspelning finns det ett enkelt sätt. Klicka på knappen "Expression" för att öppna ett fönster som hjälper dig att sätta ihop dina filteruttryck. Den vänstra kolumnen innehåller en lista med fält. Dessa fält låter dig välja vilken information du ska rikta in dig på. Nästa kolumn innehåller en lista över möjliga relationer. De flesta är symbolerna för mindre än, större än, lika med och kombinationer av dessa. Den sista kolumnen är för värden. Det här är värdena som du jämför med. Beroende på ditt fält kan du välja eller skriva i det värde du vill jämföra med.

Dessa kan bli mer komplexa och du kan lägga till fler uttryck tillsammans. Det faller på de booleska operatörerna. Dessa booléer är dock olika. Detta uttrycksfält använder symbolerna för och, eller, inte i stället för själva orden. || står för “eller.” && är “och.” En enkel! är inte."

Om du till exempel vill ha allt annat än UDP, använd! Udp. Om du vill ha HTTP eller TCP, prova http || tcp. Du kan också kombinera dem i mer komplexa uttryck. Ju mer komplexa ditt uttryck blir, desto mer raffinerat blir ditt filter.

Följer paketströmmar

När du har ett paket eller paket som intresserar dig kan du använda ett fantastiskt inbyggt verktyg i Wireshark för att följa hela "konversationen" mellan de två datorerna som byter ut dessa paket. Efter paketströmmar låter Wirshark sätta samman allt och bilda en större bild. När det gäller HTTP-paket kommer Wireshark troligen att sätta ihop HTML-källan på en webbsida. Med vissa okrypterade VOIP-program kan Wireshark till och med hämta ljudet som byts ut. Ja, det kan faktiskt lyssna på VOIP-konversationer.

Högerklicka på ett paket som du vill följa. Välj "Följ … ström" med punkterna ersatt av paketets protokoll. Wireshark kommer att ta några sekunder att sy samman allt. När det är klart kommer Wireshark att presentera det slutförda resultatet. Denna funktion gör det mycket lättare att se exakt vad som utbyts via ditt nätverk. Den visar också hur viktig nätverkskryptering är, eftersom den här funktionen bara kommer att sammansätta totala nonsens med krypterade paket.

Avslutande tankar

Wireshark är ett helt fantastiskt verktyg i nätverksanalys. Det ger dig tillgång till att se allt som händer i ditt nätverk. Med Wireshark kan du få en större förståelse för var problemen med ditt nätverk ligger, både vad gäller hastighet och säkerhet. Kom ihåg att alltid använda Wireshark med omsorg och förstå att det är väldigt påträngande. Spionera inte på människor, och kom ihåg att hålla din Wireshark-användning inom lagen.