Wireshark là gì?
đường dẫn nhanh
- Wireshark là gì?
- Cài đặt Wireshark
- các cửa sổ
- Mac
- Linux
- Giao diện
- Tùy chọn chụp
- Nắm bắt giao thông
- Đọc dữ liệu
- Gói lọc
- Lọc trong khi chụp
- Kết quả lọc
- Các luồng gói tiếp theo
- Bớt tư tưởng
Wireshark là một công cụ phân tích mạng mạnh mẽ cho phép bạn giám sát và nắm bắt lưu lượng mạng. Nó nắm bắt lưu lượng ở cấp gói, nghĩa là bạn có thể thấy từng bit thông tin được truyền qua mạng của bạn, nội dung chứa trong đó và nơi nó sẽ đến.
Công cụ này cho phép bạn hình dung và hiểu luồng lưu lượng trong mạng. Bằng cách xem dữ liệu nào đang được truyền xung quanh, bạn cũng có thể hiểu rõ hơn về bất kỳ mối lo ngại bảo mật tiềm ẩn nào mà bạn có thể gặp phải cũng như bất kỳ lưu lượng truy cập không mong muốn nào, như phần mềm độc hại, chương trình ăn cắp băng thông và thậm chí là khách không mong muốn trên WiFi của bạn.
Wireshark cũng là một công cụ quan trọng vì nó cho phép bạn xem chính xác cách dữ liệu rời khỏi mạng của bạn được gửi đến Internet lớn hơn. Ví dụ: bạn có thể xem và đọc các yêu cầu HTTP, cho phép bạn xem dữ liệu nào đang được gửi đi không được mã hóa. Đó có thể là một vấn đề rất lớn, đặc biệt nếu dữ liệu đó giống như mật khẩu ngân hàng.
Cài đặt Wireshark
Wireshark là mã nguồn mở và đa nền tảng. Nó có sẵn miễn phí và cho mọi hệ điều hành chính. Các điều khiển trong chương trình hoàn toàn giống nhau trên tất cả các nền tảng, vì vậy không cần phải lo lắng. Hình ảnh là từ Linux, nhưng mọi thứ bạn sẽ thấy cũng sẽ hoạt động trên Windows và Mac.
các cửa sổ
Truy cập trang tải xuống Wireshark và tải xuống bản phát hành mới nhất cho phiên bản Windows của bạn. Chạy kết quả .exe. Trình cài đặt khá chuẩn. Bạn có thể nhấp qua hầu hết và sử dụng mặc định.
Có một điều mà bạn muốn tìm ra, mặc dù. Một màn hình sẽ xuất hiện hỏi bạn có muốn cài đặt WinPcap không. WinPcap là một tiện ích bổ sung cho Wireshark trên Windows, cho phép nó nắm bắt tất cả lưu lượng truy cập trên mạng, thay vì chỉ lưu lượng máy tính của bạn. Chọn hộp để cài đặt WinPcap. Nó cũng sẽ hỏi bạn về phiên bản USB. Điều đó không cần thiết, nhưng bạn cũng có thể bao gồm nó.
Sau đó, việc cài đặt sẽ hoàn tất. Một cài đặt mới sẽ khởi động cho WinPcap. Mặc định cũng được chấp nhận ở đó.
Mac
Chuyển đến trang tải xuống Wireshark và lấy tệp .dmg mới nhất. Khi nó hoàn tất tải xuống, nhấp đúp chuột vào tập tin để mở nó. Kéo ứng dụng đang mở vào thư mục / Ứng dụng của bạn để cài đặt Wireshark.
Linux
Hầu hết các bản phân phối Linux đều có sẵn Wireshark trong kho của họ. Cài đặt nó với trình quản lý gói của bạn.
$ sudo apt cài đặt wireshark-gtk
Tùy thuộc vào phân phối của bạn, bạn sẽ được nhắc xem bạn có muốn cho phép người dùng thường xuyên chụp gói không. Bạn nên nói tiếng Có Có. Sau khi gói được cài đặt, hãy thêm người dùng của bạn vào nhóm Wireshark. Đăng xuất và đăng nhập lại, khi bạn hoàn thành.
$ sudo gpasswd -a người dùng wireshark
Giao diện
Khi bạn lần đầu tiên mở Wireshark, bạn sẽ thấy một màn hình tương tự như màn hình ở trên. Có khá nhiều nút ở trên trong thanh công cụ và nó có thể trông quá sức, nhưng nó đơn giản hơn nhiều so với bạn nghĩ.
Giao diện chụp mặc định là loại khó xử. Bạn có thể thay đổi cách bố trí để làm cho nó thoải mái hơn, nhấp vào Chỉnh sửa. Bắt đầu Tìm các tùy chọn của Wikipedia Tùy chọn và phía dưới, và mở nó. Trong các tùy chọn, bạn sẽ thấy tab Bố cục trực tuyến ở bên trái. Chọn nó Bạn sẽ thấy một số biểu tượng mô tả các tùy chọn bố trí khác nhau. Chọn một cái có vẻ tốt nhất với bạn. Tùy chọn đầu tiên với bố cục xếp chồng thường hoạt động tốt.
Đừng lo lắng quá nhiều về các thanh công cụ. Năm biểu tượng đầu tiên là quan trọng nhất. Theo thứ tự, họ cho phép bạn chọn một giao diện để chụp, thay đổi cài đặt chụp, bắt đầu chụp, dừng chụp và tiếp tục giao diện. Các biểu tượng là khá trực quan.
Tùy chọn chụp
Trước khi bắt đầu nắm bắt lưu lượng truy cập, bạn nên khám phá các tùy chọn chụp để xem Wireshark có thể làm gì. Nhấp vào biểu tượng tùy chọn chụp. Nó sẽ trông giống như một thiết bị.
Điều đầu tiên bạn sẽ thấy ở đầu cửa sổ là một bảng liệt kê tất cả các giao diện mạng của bạn. Chọn hộp bên cạnh giao diện mà bạn muốn chụp. Trong hầu hết các trường hợp, giao diện mà bạn muốn là giao diện bạn đang sử dụng để kết nối với mạng. Nó sẽ là thiết bị tương ứng với cổng Ethernet hoặc thiết bị WiFi của bạn.
Dưới đó, bạn sẽ thấy một vài hộp kiểm tra. Người ta sẽ hỏi bạn có muốn sử dụng chế độ lăng nhăng không. Chế độ lăng nhăng là những gì cho phép bạn xem các trao đổi giữa tất cả các thiết bị trên mạng, không chỉ máy tính của riêng bạn. Rất có thể, bạn muốn điều này được kích hoạt. Hãy cẩn thận, mặc dù. Sử dụng chế độ lăng nhăng trên mạng mà bạn không sở hữu hoặc có quyền kiểm tra là bất hợp pháp .
Phần tiếp theo xuống bao gồm các tập tin chụp. Wireshark cho phép bạn lưu dữ liệu đã chụp. Trường đầu tiên ở đó cho phép bạn chỉ định một điểm đến duy nhất để chụp. Bên dưới đó, bạn có thể chọn hộp để cho phép Wireshark phá vỡ nhật ký chụp. Nhật ký có thể nhận được rất lớn, đặc biệt là trên các mạng lớn hơn. Tính năng này cho phép bạn tự động chia nhỏ dữ liệu chụp của mình dựa trên thời gian hoặc kích thước tệp. Dù bằng cách nào, đây là một tính năng tiện lợi khi bạn xử lý các bản quét dài hạn hoặc một mạng bận rộn.
Dưới đó, bạn có thể kiểm soát thời gian chụp của bạn. Một lần nữa, ảnh chụp có thể trở nên lớn, vì vậy bạn có thể đặt kích thước tối đa. Bạn cũng có thể hết thời gian, điều này thật tuyệt vì nó cho phép bạn chụp nhanh một khung thời gian cụ thể trên mạng của bạn.
Nắm bắt giao thông
Khi bạn đã có các cài đặt theo thứ tự, bạn có thể bắt đầu nắm bắt lưu lượng truy cập trên mạng của mình. Nếu bạn chưa bao giờ làm điều này trước đây, hãy chuẩn bị để được ngạc nhiên. Có nhiều lưu lượng truy cập hơn bạn biết chảy xung quanh mạng của bạn. Để bắt đầu chụp, hãy nhấp vào nút Bắt đầu trực tiếp ở dưới cùng của cửa sổ cấu hình hoặc biểu tượng vây cá mập. Cả hai cách đều hoạt động.
Khi bạn bắt đầu ghi, lượng lưu lượng truy cập mà bạn thấy phụ thuộc vào thiết bị nào trên mạng của bạn. Mặc dù hầu hết mọi người sẽ không thể theo kịp lưu lượng mà họ nhìn thấy, nhưng hoàn toàn có thể bạn không thấy gì bên cạnh. Nếu đó là trường hợp, mở một trình duyệt web và bắt đầu điều hướng xung quanh. Chụp của bạn sẽ nhanh chóng bắt đầu dân cư.
Sau khi chụp của bạn đã chạy được bao nhiêu thời gian bạn muốn kiểm tra, nhấp vào nút dừng trên thanh công cụ. Những gì bạn có nên trông giống như hình ảnh trên.
Đọc dữ liệu
Bấm vào một trong những gói bạn đã chụp. Cố gắng tìm một yêu cầu HTTP. Họ có xu hướng dễ đọc hơn. Khi bạn chọn một gói, hai phần khác của màn hình sẽ điền thông tin về phần bạn đã chọn.
Phần mà bạn cần chú ý có các tab có thể xếp chồng lên nhau. Các tab đó tuân theo mô hình OSI và được sắp xếp theo thứ tự từ cấp thấp nhất đến cao nhất với thông tin cấp thấp nhất ở trên cùng. Điều đó có nghĩa là thông tin phù hợp nhất với bạn có lẽ nằm ở các tab dưới cùng.
Mỗi tab chứa thông tin khác nhau về gói. Trong các gói HTTP, bạn sẽ thấy thông tin về yêu cầu HTTP, bao gồm phản hồi, tiêu đề và thậm chí có thể là một số HTML. Các loại gói khác có thể chứa thông tin về cổng nào đang được sử dụng, mã hóa đang được sử dụng, giao thức và địa chỉ MAC.
Gói lọc
Nó có thể là một nỗi đau đào qua vô số dữ liệu chụp để tìm chính xác những gì bạn đang tìm kiếm. Nó không hiệu quả, và nó rất lãng phí thời gian. Wireshark có chức năng lọc cho phép bạn nhanh chóng sắp xếp các gói để tìm chính xác những gì có liên quan tại bất kỳ thời điểm nào.
Có một vài cách cơ bản mà Wireshark cho phép bạn lọc kết quả. Đầu tiên, nó có rất nhiều bộ lọc tích hợp. Khi bạn bắt đầu nhập vào một trong các trường của bộ lọc, Wireshark sẽ hiển thị chúng dưới dạng các đề xuất để tự động hoàn tất. Nếu bất kỳ ai trong số đó là những gì bạn đang tìm kiếm, tuyệt vời! Lọc sẽ rất dễ dàng.
Wireshark cũng sử dụng cái được gọi là toán tử Boolean. Toán tử Boolean được sử dụng để đánh giá xem một tuyên bố có đúng hay không. Ví dụ: khi bạn muốn hai điều kiện được đáp ứng, bạn sẽ sử dụng toán tử giữa và điều kiện giữa hai điều kiện bởi vì điều kiện 1 và điều kiện 2 đều cần phải đúng. Toán tử hay hay tương tự, chỉ có điều nó yêu cầu một trong những điều kiện của bạn là đúng. Bạn có thể đoán rằng toán tử không phải của Wap tìm kiếm khi một điều kiện không tồn tại.
Ngoài các toán tử Boolean, Wireshark hỗ trợ các toán tử so sánh. Như tên cho thấy, các toán tử so sánh so sánh hai hoặc nhiều điều kiện. Họ đánh giá sự tương đương của các điều kiện lớn hơn, nhỏ hơn hoặc bằng.
Lọc trong khi chụp
Lọc kết quả của bạn trong quá trình chụp là rất dễ dàng. Mở lại các tùy chọn chụp. Hãy tìm nút Tùy chọn chụp hình chụp ảnh ở giữa cửa sổ. Cũng cần có một trường văn bản lớn bên cạnh nó.
Bạn có thể xây dựng bộ lọc của mình từ đầu trong trường đó hoặc bạn có thể nhấp vào nút và sử dụng các bộ lọc tích hợp của Wireshark. Hãy thử nhấp vào nút. Một cửa sổ mới sẽ mở ra với một danh sách các bộ lọc. Nhấp vào các bộ lọc đó sẽ điền vào các trường bên dưới. Trường dưới cùng là bộ lọc thực tế đang được sử dụng. Bạn có thể sửa đổi bộ lọc đó làm cơ sở cho các bộ lọc tùy chỉnh hơn của riêng bạn. Khi bạn đã sẵn sàng, hãy nhấp vào Ok Ok. Sau đó, chạy quét như bạn thường làm. Thay vì chụp mọi thứ, Wireshark sẽ chỉ chụp các gói theo các điều kiện của bộ lọc của bạn. Điều này làm cho việc sắp xếp và phân loại dữ liệu gói của bạn dễ dàng hơn nhiều. Bạn không cần phải tìm hiểu thêm thông tin để tìm thấy những gì bạn cần.
Kết quả lọc
Nếu bạn đã chụp toàn bộ hoặc chụp mạnh hơn, nhưng bạn muốn lọc qua nó sau thực tế, bạn cũng có thể làm điều đó. Sau khi bạn thực hiện chụp, bạn sẽ thấy một thanh công cụ bổ sung bên dưới các biểu tượng điều khiển. Thanh công cụ đó có trường Bộ lọc Bộ lọc. Bạn có thể nhập biểu thức vào tệp đã nộp để lọc kết quả mà Wireshark hiển thị.
Giống như lọc trong khi chụp, có một cách dễ dàng. Nhấp vào nút Express Expression để mở một cửa sổ giúp bạn kết hợp các biểu thức lọc của mình. Cột bên trái chứa danh sách các trường. Những trường đó cho phép bạn chọn thông tin bạn sẽ nhắm mục tiêu. Cột tiếp theo chứa một danh sách các mối quan hệ có thể. Hầu hết là các ký hiệu cho ít hơn, lớn hơn, bằng và kết hợp của những cái đó. Cột cuối cùng là cho các giá trị. Đây là những giá trị mà bạn đang so sánh. Tùy thuộc vào lĩnh vực của bạn, bạn có thể chọn hoặc viết giá trị mà bạn muốn so sánh.
Chúng có thể trở nên phức tạp hơn và bạn có thể thêm nhiều biểu thức lại với nhau. Điều đó rơi vào các toán tử Boolean. Những Booleans này là khác nhau, mặc dù. Trường biểu thức này sử dụng các ký hiệu cho và, hoặc, thay vì chính các từ. | | là viết tắt của cụm từ hay hay. không phải."
Ví dụ: nếu bạn muốn mọi thứ trừ UDP, hãy sử dụng! Udp. Nếu bạn muốn HTTP hoặc TCP, hãy thử http || tcp. Bạn có thể kết hợp chúng quá thành các biểu thức phức tạp hơn. Biểu thức của bạn càng phức tạp, bộ lọc của bạn sẽ càng tinh tế.
Các luồng gói tiếp theo
Khi bạn có một gói hoặc các gói mà bạn quan tâm, bạn có thể sử dụng một công cụ tích hợp tuyệt vời trong Wireshark để theo dõi toàn bộ cuộc hội thoại của mối quan hệ giữa hai máy tính trao đổi các gói đó. Các luồng gói tiếp theo cho phép Wirshark kết hợp tất cả lại với nhau và tạo thành một bức tranh kết quả lớn hơn. Trong trường hợp các gói HTTP, Wireshark có thể sẽ kết hợp nguồn HTML của một trang web. Với một số chương trình VOIP không được mã hóa, Wireshark thậm chí có thể truy xuất âm thanh được trao đổi. Vâng, nó thực sự có thể lắng nghe các cuộc hội thoại VOIP.
Nhấp chuột phải vào một gói mà bạn muốn theo dõi. Chọn dòng theo dõi Stream Stream, dòng chữ với các dấu chấm được thay thế bởi giao thức của gói. Wireshark sẽ mất vài giây để gắn kết tất cả lại với nhau. Sau khi kết thúc, Wireshark sẽ đưa cho bạn kết quả hoàn thành. Tính năng này giúp dễ dàng hơn để xem chính xác những gì đang được trao đổi qua mạng của bạn. Nó cũng cho thấy mức độ mã hóa mạng quan trọng như thế nào, vì tính năng này sẽ chỉ kết hợp tổng số vô nghĩa với các gói được mã hóa.
Bớt tư tưởng
Wireshark là một công cụ hoàn toàn tuyệt vời trong phân tích mạng. Nó cho phép bạn truy cập để xem mọi thứ diễn ra trên mạng của bạn. Với Wireshark, bạn có thể hiểu rõ hơn về vấn đề với mạng của bạn, cả về tốc độ và bảo mật. Hãy nhớ luôn luôn sử dụng Wireshark một cách cẩn thận và hiểu rằng nó rất xâm phạm. Đừng theo dõi mọi người, và nhớ giữ cho Wireshark của bạn sử dụng theo luật.
