Wireshark este unul dintre cele mai bune analizoare de pachete GUI de rețea open source disponibile astăzi. Este folosit pentru a captura pachetele de rețea și pentru a afișa detaliile pachetelor de date. Wireshark și tcpdump folosesc libpcap pentru a obține date de rețea în direct. Adesea este mai ușor să capturați pachetele folosind comanda tcpdump și să le vizualizați folosind Wireshark. Acest lucru este util pentru depanarea rețelei sau a problemelor de securitate a rețelei și pentru a depana implementările de protocol.
În acest tutorial, vom trece prin instalarea lui Wireshark pe Ubuntu 16.04, CentOS 7 și Arch Linux.
Instalarea pe Ubuntu 16.04
Înainte de a începe instalarea, să ne întâlnim cu dependențele:
$ sudo apt-get install build-essential checkinstall libcurl4-openssl-dev bison flex qt5-default qttools5-dev libssl-dev libgtk-3-dev libpcap-d
După ce toate dependențele au fost instalate, executăm următoarele în terminal.
$ sudo add-apt-repository ppa:wireshark-dev/stable$ sudo apt-get update$ sudo apt-get install wireshark
În timpul instalării, dacă sunteți întrebat dacă cei care nu sunt super-utilizatori să fie capabili să captureze pachete. Apăsați tasta săgeată stânga de pe tastatură pentru a selecta <Yes> și apăsați Enter.
Puteți să o lansați din dash sau să tastați comanda:
$ wireshark
Instalare pe CentOS 7
Vom instala Wireshark pe CentOS 7 folosind yum. În terminal, tastați următoarele comenzi:
Lansați-l din lansator sau tastați următoarea comandă în linia de comandă:
$ wireshark
Instalare pe Arch Linux
În terminal, tastați următoarele comenzi:
În terminal, tastați următoarele comenzi:
$ sudo pacman -S wireshark-qt
sau, dacă preferați interfața GTK+, utilizați următoarea comandă:
$ sudo pacman -S wireshark-gtk
Instalare din sursă
Instalarea din sursă va necesita compilarea codului sursă. Odată ce cerințele sunt îndeplinite, rulați următoarele comenzi în terminal pentru a instala codul sursă.
Tshark
TShark este un instrument în linie de comandă care vine împreună cu Wireshark pentru a capta traficul în direct, precum și pentru a citi și analiza fișierele de captură. Fără nicio opțiune setată, TShark va funcționa la fel ca tcpdump. Acesta va folosi biblioteca pcap pentru a captura traficul de la prima interfață de rețea disponibilă și va afișa o linie de rezumat pe stdout pentru fiecare pachet primit.
Tshark este automat pe CentOS 7 atunci când instalați wireshark. Pe Ubuntu, îl puteți instala cu comanda:
$ sudo apt install tshark
Utilizarea Tshark
Dacă doriți să capturați pachetele care vin de la/către portul UDP 1812 pe eth0, puteți utiliza comanda tshark după cum urmează:
$ tshark -f "tcp port 80" -i eth0 -w capture.capCapturing on 'eth0'
Semnalizatorul -f este utilizat pentru a specifica un filtru de captură de rețea (mai multe despre filtre mai târziu). Pachetele care nu verifică condiția care urmează steagului -f nu vor fi capturate. În acest exemplu, sunt capturate numai pachetele IP care vin de la sau se îndreaptă către portul UDP 1812.
Semnalizatorul -i este utilizat pentru a specifica interfața de la care ne așteptăm să vedem pachetele RADIUS. Schimbați ‘eth0’ cu orice nume al interfeței dvs. este.
Semnalizatorul -w este folosit pentru a specifica un fișier în care traficul capturat va fi salvat pentru procesare ulterioară.
Dacă primiți o eroare de ‘Permission Denied’ atunci când rulați wireshark ca utilizator local, puteți să îl porniți cu privilegii de root sau să adăugați contul de utilizator la grupul wireshark folosind următoarea comandă:
$ sudo usermod -a -G wireshark username