Como usar o Wireshark: um tutorial completo

Contente

• Capture e visualize os dados que viajam na sua rede com o Wireshark
• O que é o Wireshark?
• Como baixar e instalar o Wireshark
• Como capturar pacotes de dados com o Wireshark
• Como exibir e analisar o conteúdo de pacotes
• Lista de Pacotes
• Detalhes do pacote
• Bytes de Pacotes
• Como usar os filtros Wireshark
• Regras de cores do Wireshark
• Estatísticas em Wireshark
• Recursos avançados do Wireshark

Capture e visualize os dados que viajam na sua rede com o Wireshark

O Wireshark é um aplicativo de código aberto que captura e exibe dados que viajam para frente e para trás em uma rede. É comumente usado para solucionar problemas de rede e testar o software, pois fornece a capacidade de detalhar e ler o conteúdo de cada pacote.

As instruções neste artigo se aplicam ao Wireshark 3.0.3 para Windows e Mac.

O que é o Wireshark?

Originalmente conhecido como Ethereal, o Wireshark exibe dados de centenas de protocolos diferentes em todos os principais tipos de rede. Pacotes de dados podem ser visualizados em tempo real ou analisados ​​offline. O Wireshark suporta dezenas de formatos de arquivos de captura / rastreamento, incluindo CAP e ERF. As ferramentas de descriptografia integradas exibem os pacotes criptografados para vários protocolos comuns, incluindo WEP e WPA / WPA2.

Como baixar e instalar o Wireshark

O Wireshark pode ser baixado gratuitamente no site da Wireshark Foundation para macOS e Windows. Você verá a última versão estável e a atual versão de desenvolvimento. A menos que você seja um usuário avançado, baixe a versão estável.

Durante o processo de instalação do Windows, escolha instalar WinPcap ou Npcap se solicitado, pois incluem bibliotecas necessárias para captura de dados ao vivo.

Você deve estar logado no dispositivo como administrador para usar o Wireshark. No Windows 10, procure o Wireshark e selecione Executar como administrador. No macOS, clique com o botão direito do mouse no ícone do aplicativo e selecione Obter informação. No Compartilhamento e permissões configurações, dê ao administrador Ler escrever privilégios.

O aplicativo também está disponível para Linux e outras plataformas semelhantes ao UNIX, incluindo Red Hat, Solaris e FreeBSD. Os binários necessários para esses sistemas operacionais podem ser encontrados na parte inferior da página de download do Wireshark, sob o Pacotes de terceiros seção. Você também pode fazer o download do código fonte do Wireshark nesta página.

Como capturar pacotes de dados com o Wireshark

Quando você inicia o Wireshark, uma tela de boas-vindas lista as conexões de rede disponíveis no seu dispositivo atual. É exibido à direita de cada um um gráfico de linhas no estilo ECG que representa o tráfego ao vivo nessa rede.

Para começar a capturar pacotes com o Wireshark:

1. Selecione uma ou mais redes, vá para a barra de menus e selecione Capturar.

   Para selecionar várias redes, mantenha pressionado o botão Mudança tecla ao fazer sua seleção.

   

2. No Interfaces de captura do Wireshark janela, selecione Começar.

   Existem outras maneiras de iniciar a captura de pacotes. Selecione os barbatana de tubarão no lado esquerdo da barra de ferramentas do Wireshark, pressioneCtrl + Eou clique duas vezes na rede.

   

3. Selecione Arquivo > Salvar como ou escolha um Exportar opção para gravar a captura.

   

4. Para parar de capturar, pressione Ctrl + E. Ou vá para a barra de ferramentas do Wireshark e selecione o botão vermelho. Pare botão localizado próximo à barbatana de tubarão.

   

Como exibir e analisar o conteúdo de pacotes

A interface de dados capturados contém três seções principais:

• O painel da lista de pacotes (a seção superior)
• O painel de detalhes do pacote (a seção do meio)
• O painel bytes de pacote (a seção inferior)

Lista de Pacotes

O painel da lista de pacotes, localizado na parte superior da janela, mostra todos os pacotes encontrados no arquivo de captura ativo. Cada pacote tem sua própria linha e o número correspondente atribuído a ele, junto com cada um desses pontos de dados:

• Não: Este campo indica quais pacotes fazem parte da mesma conversa. Ele permanece em branco até você selecionar um pacote.
• Tempo: O registro de data e hora de quando o pacote foi capturado é exibido nesta coluna. O formato padrão é o número de segundos ou segundos parciais desde que este arquivo de captura específico foi criado pela primeira vez.
• Fonte: Esta coluna contém o endereço (IP ou outro) de onde o pacote se originou.
• Destino: Esta coluna contém o endereço para o qual o pacote está sendo enviado.
• Protocolo: O nome do protocolo do pacote, como TCP, pode ser encontrado nesta coluna.
• Comprimento: O comprimento do pacote, em bytes, é exibido nesta coluna.
• Informações: Detalhes adicionais sobre o pacote são apresentados aqui. O conteúdo desta coluna pode variar bastante, dependendo do conteúdo do pacote.

Para alterar o formato da hora para algo mais útil (como a hora real do dia), selecione Visão > Formato de exibição da hora.

Quando um pacote é selecionado no painel superior, você pode observar um ou mais símbolos aparecerem no Não. coluna. Parênteses abertos ou fechados e uma linha horizontal reta indicam se um pacote ou grupo de pacotes faz parte da mesma conversa de vaivém na rede. Uma linha horizontal quebrada significa que um pacote não faz parte da conversa.

Detalhes do pacote

O painel de detalhes, localizado no meio, apresenta os protocolos e os campos de protocolo do pacote selecionado em um formato recolhível. Além de expandir cada seleção, você pode aplicar filtros individuais do Wireshark com base em detalhes específicos e seguir fluxos de dados com base no tipo de protocolo clicando com o botão direito do mouse no item desejado.

Bytes de Pacotes

Na parte inferior, está o painel de bytes do pacote, que exibe os dados brutos do pacote selecionado em uma exibição hexadecimal. Esse dump hexadecimal contém 16 bytes hexadecimais e 16 bytes ASCII ao lado do deslocamento de dados.

A seleção de uma parte específica desses dados destaca automaticamente sua seção correspondente no painel de detalhes do pacote e vice-versa. Quaisquer bytes que não podem ser impressos são representados por um ponto.

Para exibir esses dados no formato de bit, em vez de hexadecimal, clique com o botão direito do mouse em qualquer lugar do painel e selecione como bits.

Como usar os filtros Wireshark

Os filtros de captura instruem o Wireshark a gravar apenas pacotes que atendem aos critérios especificados. Os filtros também podem ser aplicados a um arquivo de captura criado para que apenas certos pacotes sejam mostrados. Eles são chamados de filtros de exibição.

O Wireshark fornece um grande número de filtros predefinidos por padrão. Para usar um desses filtros existentes, digite seu nome no diretório Aplique um filtro de exibição campo de entrada localizado abaixo da barra de ferramentas do Wireshark ou no Digite um filtro de captura campo localizado no centro da tela de boas-vindas.

Por exemplo, se você deseja exibir pacotes TCP, digite tcp. O recurso de preenchimento automático do Wireshark mostra nomes sugeridos quando você começa a digitar, facilitando a localização do apelido correto para o filtro que você está procurando.

Outra maneira de escolher um filtro é selecionar o marca páginas no lado esquerdo do campo de entrada. Escolher Gerenciar expressões de filtro ou Gerenciar filtros de exibição para adicionar, remover ou editar filtros.

Você também pode acessar os filtros usados ​​anteriormente, selecionando a seta para baixo no lado direito do campo de entrada para exibir uma lista suspensa do histórico.

Os filtros de captura são aplicados assim que você começa a registrar o tráfego de rede. Para aplicar um filtro de exibição, selecione a seta à direita no lado direito do campo de entrada.

Regras de cores do Wireshark

Enquanto os filtros de captura e exibição do Wireshark limitam quais pacotes são gravados ou exibidos na tela, sua função de coloração leva um passo adiante: pode distinguir entre diferentes tipos de pacotes com base em sua tonalidade individual. Isso localiza rapidamente determinados pacotes em um conjunto salvo pela cor da linha no painel da lista de pacotes.

O Wireshark vem com cerca de 20 regras de coloração padrão, cada uma pode ser editada, desativada ou excluída. Selecione Visão > Regras para Colorir para uma visão geral do significado de cada cor. Você também pode adicionar seus próprios filtros baseados em cores.

Selecione Visão > Colorir lista de pacotes para ativar e desativar a colorização de pacotes.

Estatísticas em Wireshark

Outras métricas úteis estão disponíveis através do Estatisticas menu suspenso. Isso inclui informações de tamanho e tempo sobre o arquivo de captura, além de dezenas de tabelas e gráficos, que variam de tópicos, desde interrupções na conversação de pacotes até a distribuição de pedidos HTTP.

Os filtros de exibição podem ser aplicados a muitas dessas estatísticas por meio de suas interfaces e os resultados podem ser exportados para formatos de arquivo comuns, incluindo CSV, XML e TXT.

Recursos avançados do Wireshark

O Wireshark também suporta recursos avançados, incluindo a capacidade de escrever dissecadores de protocolo na linguagem de programação Lua.