Wireshark ist eine kostenlose Anwendung, mit der Sie Daten erfassen und anzeigen können, die in Ihrem Netzwerk hin und her gehen. Es bietet die Möglichkeit, den Inhalt jedes Pakets detailliert zu lesen und zu lesen, und wird nach Ihren speziellen Anforderungen gefiltert. Es wird häufig zur Behebung von Netzwerkproblemen und zum Entwickeln und Testen von Software verwendet. Dieser Open-Source-Protokollanalysator ist weithin als Industriestandard anerkannt und hat im Laufe der Jahre seinen fairen Anteil an Auszeichnungen gewonnen.
Ursprünglich als Ethereal bekannt, verfügt Wireshark über eine benutzerfreundliche Schnittstelle, mit der Daten aus Hunderten von verschiedenen Protokollen in allen wichtigen Netzwerktypen angezeigt werden können. Datenpakete können in Echtzeit angezeigt oder offline analysiert werden. Wireshark unterstützt Dutzende von unterstützten Capture- / Trace-Dateiformaten, einschließlich CAP und ERF. Mit integrierten Entschlüsselungstools können Sie verschlüsselte Pakete für verschiedene gängige Protokolle anzeigen, einschließlich WEP und WPA / WPA2.
01 von 07Wireshark herunterladen und installieren
Wireshark kann von der Wireshark Foundation-Website für MacOS- und Windows-Betriebssysteme kostenlos heruntergeladen werden. Wenn Sie kein fortgeschrittener Benutzer sind, wird empfohlen, nur die neueste stabile Version herunterzuladen. Während des Windows-Installationsvorgangs sollten Sie WinPcap installieren, wenn Sie dazu aufgefordert werden, da es eine Bibliothek enthält, die für die Live-Datenerfassung erforderlich ist.
Die Anwendung ist auch für Linux und die meisten anderen UNIX-ähnlichen Plattformen wie Red Hat, Solaris und FreeBSD verfügbar. Die für diese Betriebssysteme erforderlichen Binärdateien finden Sie am unteren Rand der Downloadseite im Abschnitt "Drittanbieter-Pakete". Sie können auch den Quellcode von Wireshark von dieser Seite herunterladen.
Erfassen von Datenpaketen
Wenn Sie Wireshark zum ersten Mal starten, wird ein Begrüßungsbildschirm mit einer Liste der verfügbaren Netzwerkverbindungen auf Ihrem aktuellen Gerät angezeigt. In diesem Beispiel werden folgende Verbindungstypen angezeigt: Bluetooth-Netzwerkverbindung, Ethernet, Nur-Host-Netzwerk für VirtualBox und Wi-Fi. Rechts von jedem wird ein EKG-Liniendiagramm angezeigt, das den Live-Verkehr in dem jeweiligen Netzwerk darstellt.
Um mit der Erfassung von Paketen zu beginnen, wählen Sie eines oder mehrere der Netzwerke aus, indem Sie auf Ihre Auswahl klicken und die Schaltfläche verwenden Verschiebung oder Ctrl Tasten, wenn Sie Daten aus mehreren Netzwerken gleichzeitig aufnehmen möchten. Nachdem ein Verbindungstyp für die Aufnahme ausgewählt wurde, ist der Hintergrund entweder blau oder grau schattiert. Klicke auf Erfassung im Hauptmenü am oberen Rand der Wireshark-Benutzeroberfläche. Wenn das Dropdown-Menü angezeigt wird, wählen Sie die Option Start Möglichkeit.
Sie können die Paketerfassung auch über eine der folgenden Tastenkombinationen starten.
- Tastatur: DrückenCtrl + E.
- Maus: Doppelklicken Sie auf den Namen, um Pakete von einem bestimmten Netzwerk zu erfassen.
- Werkzeugleiste: Klicken Sie auf die blaue Haifischflossen-Schaltfläche ganz links in der Wireshark-Symbolleiste.
Der Live-Capture-Prozess beginnt, und Wireshark zeigt die Paketdetails bei der Aufzeichnung an. So beenden Sie die Aufnahme:
- Tastatur: Drücken Sie Ctrl + E
- Werkzeugleiste: Klicke auf das rote Halt Schaltfläche neben der Haifischflosse in der Wireshark-Symbolleiste.
Paketinhalte anzeigen und analysieren
Nachdem Sie einige Netzwerkdaten aufgezeichnet haben, sollten Sie sich die erfassten Pakete ansehen. Die erfasste Datenschnittstelle enthält drei Hauptabschnitte: den Paketlistenbereich, den Paketdetailsbereich und den Paketbytesbereich.
Paketliste
Im Paketlistenbereich oben im Fenster werden alle in der aktiven Erfassungsdatei gefundenen Pakete angezeigt. Jedes Paket hat eine eigene Zeile und eine entsprechende Nummer sowie alle diese Datenpunkte.
- Zeit: In dieser Spalte wird der Zeitstempel angezeigt, zu dem das Paket erfasst wurde. Das Standardformat ist die Anzahl von Sekunden oder Teilsekunden seit der Erstellung dieser spezifischen Erfassungsdatei. Um dieses Format in etwas zu ändern, das möglicherweise nützlicher ist, z. B. die tatsächliche Tageszeit, wählen Sie die Option Zeitanzeigeformat Option von Wireshark Aussicht Menü oben auf der Hauptoberfläche.
- Quelle: Diese Spalte enthält die Adresse (IP oder andere), von der das Paket stammt.
- Ziel: Diese Spalte enthält die Adresse, an die das Paket gesendet wird.
- Protokoll: In dieser Spalte finden Sie den Protokollnamen des Pakets, z. B. TCP.
- Länge: Die Paketlänge in Byte wird in dieser Spalte angezeigt.
- Info: Weitere Details zum Paket werden hier vorgestellt. Der Inhalt dieser Spalte kann je nach Paketinhalt stark variieren.
Wenn ein Paket im oberen Bereich ausgewählt wird, werden möglicherweise ein oder mehrere Symbole in der ersten Spalte angezeigt. Offene oder geschlossene Klammern und eine gerade horizontale Linie geben an, ob ein Paket oder eine Gruppe von Paketen Teil derselben Konversation im Netzwerk ist. Eine unterbrochene horizontale Linie bedeutet, dass ein Paket nicht Teil der Konversation ist.
Paketdetails
Im Detailbereich in der Mitte werden die Protokolle und Protokollfelder des ausgewählten Pakets in einem reduzierbaren Format angezeigt. Sie können nicht nur jede Auswahl erweitern, sondern auch einzelne Wireshark-Filter basierend auf bestimmten Details anwenden und Datenströme basierend auf dem Protokolltyp über das Detailkontextmenü verfolgen. Klicken Sie dazu mit der rechten Maustaste auf das gewünschte Element in diesem Bereich.
Paket-Bytes
Am unteren Rand befindet sich das Paket-Byte-Fenster, in dem die Rohdaten des ausgewählten Pakets in einer Hexadezimalansicht angezeigt werden.Dieser Hex-Dump enthält neben dem Datenversatz 16 hexadezimale Bytes und 16 ASCII-Bytes.
Wenn Sie einen bestimmten Teil dieser Daten auswählen, wird der entsprechende Abschnitt im Bereich mit den Paketdetails automatisch hervorgehoben und umgekehrt. Alle Bytes, die nicht gedruckt werden können, werden stattdessen durch einen Punkt dargestellt.
Sie können auswählen, dass diese Daten im Bit-Format und nicht im Hexadezimalformat angezeigt werden, indem Sie mit der rechten Maustaste auf eine beliebige Stelle innerhalb des Bereichs klicken und die entsprechende Option im Kontextmenü auswählen.
04 von 07Wireshark-Filter verwenden
Eine der wichtigsten Funktionen in Wireshark ist die Filterfunktion, insbesondere wenn es sich um Dateien handelt, deren Größe erheblich ist. Capture-Filter können vor dem Ereignis eingestellt werden, sodass Wireshark nur die Pakete aufzeichnet, die den angegebenen Kriterien entsprechen.
Filter können auch auf eine bereits erstellte Erfassungsdatei angewendet werden, sodass nur bestimmte Pakete angezeigt werden. Diese werden als Anzeigefilter bezeichnet.
Wireshark bietet standardmäßig eine große Anzahl vordefinierter Filter an, mit denen Sie die Anzahl der sichtbaren Pakete mit nur wenigen Tastendrücken oder Mausklicks eingrenzen können. Um einen dieser vorhandenen Filter zu verwenden, geben Sie seinen Namen in das Verzeichnis ein Wenden Sie einen Anzeigefilter an Eingabefeld direkt unter der Wireshark-Symbolleiste oder in der Geben Sie einen Erfassungsfilter ein Eingabefeld in der Mitte des Willkommensbildschirms.
Es gibt mehrere Möglichkeiten, dies zu erreichen. Wenn Sie den Namen Ihres Filters bereits kennen, geben Sie ihn in das entsprechende Feld ein. Wenn Sie beispielsweise nur TCP-Pakete anzeigen möchten, geben Sie Folgendes ein tcp. Die Autovervollständigungsfunktion von Wireshark zeigt die vorgeschlagenen Namen an, wenn Sie mit der Eingabe beginnen. Dadurch wird es einfacher, den richtigen Filter für den von Ihnen gesuchten Filter zu finden.
Sie können einen Filter auch auswählen, indem Sie auf das symbolähnliche Symbol links neben dem Eingabefeld klicken. Dies zeigt ein Menü mit einigen der am häufigsten verwendeten Filter sowie eine Option für Capture-Filter verwalten oder Anzeigefilter verwalten. Wenn Sie sich für einen der beiden Typen entscheiden, wird eine Oberfläche angezeigt, in der Sie Filter hinzufügen, entfernen oder bearbeiten können.
Sie können auch auf zuvor verwendete Filter zugreifen, indem Sie auf den Abwärtspfeil rechts neben dem Eingabefeld klicken, um eine Dropdown-Liste mit Verlauf anzuzeigen.
Einmal festgelegt, werden Erfassungsfilter angewendet, sobald Sie mit der Aufzeichnung des Netzwerkverkehrs beginnen. Um einen Anzeigefilter anzuwenden, klicken Sie auf den Pfeil nach rechts, der sich ganz rechts im Eingabefeld befindet.
05 von 07Farbregeln
Zwar können Sie mit den Capture- und Display-Filtern von Wireshark einschränken, welche Pakete aufgezeichnet oder auf dem Bildschirm angezeigt werden. Die Funktion zur Kolorisierung geht jedoch noch einen Schritt weiter, da die verschiedenen Pakettypen anhand ihres jeweiligen Farbtons unterschieden werden können. Mit dieser praktischen Funktion können Sie bestimmte Pakete innerhalb einer gespeicherten Gruppe anhand ihrer Zeilenfarbe im Paketlistenbereich schnell finden.
Wireshark enthält etwa 20 standardmäßige Farbregeln, die Sie bearbeiten, deaktivieren oder löschen können, wenn Sie möchten. Sie können auch neue farbbasierte Filter über die Benutzeroberfläche für Farbregeln hinzufügen Aussicht Speisekarte. Neben der Definition von Namen und Filterkriterien für jede Regel werden Sie außerdem aufgefordert, sowohl eine Hintergrundfarbe als auch eine Textfarbe zuzuordnen.
Die Paketfärbung kann über die Funktion ein- und ausgeschaltet werden Paketliste kolorieren Option auch im gefunden Aussicht Speisekarte.
06 von 07Statistiken
Neben den detaillierten Informationen zu den Daten Ihres Netzwerks, die im Hauptfenster von Wireshark angezeigt werden, sind über das Netzwerk einige weitere nützliche Metriken verfügbar Statistiken Dropdown-Menü am oberen Bildschirmrand. Dazu gehören Informationen zur Größe und zum Timing der Erfassungsdatei sowie Dutzende Diagramme und Diagramme, die von der Aufschlüsselung der Paketkonversation bis zur Lastverteilung von HTTP-Anforderungen reichen.
Anzeigefilter können auf viele dieser Statistiken über ihre Schnittstellen angewendet werden, und die Ergebnisse können in verschiedene gängige Dateiformate exportiert werden, darunter CSV, XML und TXT.
07 von 07Erweiterte Funktionen
Neben der Hauptfunktionalität von Wireshark gibt es in diesem leistungsstarken Werkzeug eine Reihe zusätzlicher Funktionen, die normalerweise fortgeschrittenen Benutzern vorbehalten sind. Dies beinhaltet die Möglichkeit, eigene Protokollsektoren in der Programmiersprache Lua zu schreiben.
