Как бесплатный анализатор пакетов с открытым исходным кодом, Wireshark предлагает множество удобных функций. Одним из них является поиск адресов управления доступом к среде (MAC), которые могут предоставить вам больше информации о различных пакетах в сети.
Если вы новичок в Wireshark и не знаете, как найти MAC-адреса, вы попали по адресу. Здесь мы расскажем вам больше о MAC-адресах, объясним, почему они полезны, и покажем, как их найти.
Что такое MAC-адрес?
MAC-адрес — это уникальный идентификатор, назначаемый сетевым устройствам, таким как компьютеры, коммутаторы и маршрутизаторы. Эти адреса обычно назначаются производителем и представлены в виде шести групп из двух шестнадцатеричных цифр.
Для чего используется MAC-адрес в Wireshark?
Основная роль MAC-адреса заключается в том, чтобы пометить источник и место назначения пакета. Вы также можете использовать их для отслеживания пути определенного пакета в сети, мониторинга веб-трафика, выявления вредоносной активности и анализа сетевых протоколов.
Wireshark Как найти MAC-адрес
Найти MAC-адрес в Wireshark относительно просто. Здесь мы покажем вам, как найти MAC-адрес источника и MAC-адрес назначения в Wireshark.
Как найти MAC-адрес источника в Wireshark
MAC-адрес источника — это адрес устройства, отправляющего пакет, и обычно его можно увидеть в заголовке Ethernet пакета. С помощью исходного MAC-адреса вы можете отслеживать путь пакета по сети и идентифицировать источник каждого пакета.
Вы можете найти исходный MAC-адрес пакета на вкладке Ethernet. Вот как это сделать:
- Откройте Wireshark и перехватите пакеты.
- Выберите интересующий вас пакет и отобразите сведения о нем.
- Выберите и разверните “Рамка” чтобы получить дополнительную информацию о пакете.
- Перейдите на страницу “ Ethernet” заголовок для просмотра сведений об Ethernet.
- Выберите “Источник” поле. Здесь вы увидите MAC-адрес источника.
Как найти MAC-адрес назначения в Wireshark
MAC-адрес назначения представляет собой адрес устройства, получающего пакет. Как и адрес источника, MAC-адрес назначения находится в заголовке Ethernet. Выполните следующие действия, чтобы найти MAC-адрес назначения в Wireshark:
- Откройте Wireshark и начните захват пакетов.
- Найдите пакет, который хотите проанализировать, и просмотрите его сведения на панели сведений.
- Выберите “Frame” чтобы получить дополнительные данные об этом.
- Перейдите к “Ethernet. ” Вы увидите “Источник” “Пункт назначения” и “Тип”
- Выберите “Назначение” поле и просмотрите MAC-адрес назначения.
Как подтвердить MAC-адрес в Ethernet-трафике
Если вы устраняете проблемы с сетью или хотите идентифицировать вредоносный трафик, вы можете проверить, отправляется ли конкретный пакет из правильного источника и направляется ли он в правильное место назначения. Следуйте приведенным ниже инструкциям, чтобы подтвердить MAC-адрес в трафике Ethernet:
- Отобразите физический адрес вашего компьютера с помощью ipconfig/all или Getmac.
- Просмотрите поля Source и Destination в захваченном трафике и сравните с ними физический адрес вашего компьютера. Используйте эти данные, чтобы проверить, какие кадры были отправлены или получены вашим компьютером, в зависимости от того, что вас интересует.
- Используйте arp-a для просмотра кеша протокола разрешения адресов (ARP).< br>
- Найдите IP-адрес шлюза по умолчанию, используемый в командной строке, и просмотреть его физический адрес. Проверьте, совпадает ли физический адрес шлюза с некоторыми из адресов “Source” и “Пункт назначения” полей в захваченном трафике.
- Завершите действие, закрыв Wireshark. Если вы хотите удалить захваченный трафик, нажмите “Выйти без сохранения”
Как отфильтровать MAC-адрес в Wireshark
Wireshark позволяет использовать фильтры и быстро просматривать большие объемы информации. Это особенно полезно, если есть проблема с определенным устройством. В Wireshark вы можете фильтровать по исходному MAC-адресу или по MAC-адресу назначения.
Как фильтровать по исходному MAC-адресу в Wireshark
Если вы хотите фильтровать по исходному MAC-адресу в Wireshark, вот что вам нужно сделать:
- Перейдите в Wireshark и найдите поле «Фильтр», расположенное вверху.
- Введите следующий синтаксис: “ether.src == macaddress”. Замените “macaddress” с желаемым исходным адресом. Не используйте кавычки при применении фильтра.
Как фильтровать по MAC-адресу назначения в Wireshark
Wireshark позволяет фильтровать по MAC-адресу назначения. Вот как это сделать:
- Запустите Wireshark и найдите поле «Фильтр» в верхней части окна.
- Введите следующий синтаксис: “ether.dst == macaddress”. Обязательно замените “macaddress” с адресом назначения и не используйте кавычки при применении фильтра.
< h2>Другие важные фильтры в Wireshark
Вместо того, чтобы тратить часы на просмотр больших объемов информации, Wireshark позволяет сократить путь с помощью фильтров.
ip.addr == x.x.x.x
Это один из наиболее часто используемых фильтров в Wireshark. С помощью этого фильтра вы показываете только захваченные пакеты, содержащие выбранный IP-адрес.
Фильтр особенно удобен для тех, кто хочет сосредоточиться на одном виде трафика.
Можно фильтровать по исходный или целевой IP-адрес.
Если вы хотите фильтровать по исходному IP-адресу, используйте следующий синтаксис: “ip.src == x.x.x.x”. Замените “x.x.x.x” с нужным IP-адресом и убрать кавычки при вводе синтаксиса в поле.
Тем, кто хочет фильтровать по исходному IP-адресу, следует ввести в поле Фильтр такой синтаксис: “ip.dst == x.x.x. х”. Используйте желаемый IP-адрес вместо “x.x.x.x” и удалите кавычки.
Если вы хотите отфильтровать несколько IP-адресов, используйте следующий синтаксис: “ip.addr == x.x.x.x и ip.addr == y.y.y.y”.
ip.addr == x.x.x.x && ip.addr == x.x.x.x
Если вы хотите идентифицировать и анализировать данные между двумя конкретными хостами или сетями, этот фильтр может быть невероятно полезен. Он удалит ненужные данные и отобразит нужные результаты всего за несколько секунд.
http
Если вы хотите анализировать только HTTP-трафик, введите “http” в поле Фильтр. Не забудьте не использовать кавычки при применении фильтра.
dns
Wireshark позволяет фильтровать захваченные пакеты по DNS. Все, что вам нужно сделать, чтобы просмотреть только DNS-трафик, — это ввести “dns” в поле Фильтр.
Если вы хотите получить более конкретные результаты и отображать только DNS-запросы, используйте следующий синтаксис: “dns.flags.response == 0”. Не используйте кавычки при вводе фильтра.
Если вы хотите фильтровать ответы DNS, используйте следующий синтаксис: “dns.flags.response == 1”.
frame содержит трафик
Этот удобный фильтр позволяет фильтровать пакеты, содержащие слово «трафик». Это особенно полезно для тех, кто хочет найти определенный идентификатор пользователя или строку.
tcp.port == XXX
Вы можете использовать этот фильтр, если хотите проанализировать трафик, который входит или выходит из определенного порта.
ip.addr >= x.x.x.x и ip.addr <= y.y.y.y
Этот фильтр Wireshark позволяет отображать только пакеты с определенным диапазоном IP-адресов. Он читается как «фильтровать IP-адреса, большие или равные x.x.x.x и меньшие или равные y.y.y.y». Замените “x.x.x.x” и “г.г.г.г” с нужными IP-адресами. Вы также можете использовать “&&” вместо “и.
frame.time >= 12 августа 2017 г. 09:53:18 и frame.time <= 12 августа 2017 г. 17:53:18
Если вы хотите проанализировать входящий трафик с определенным временем прибытия, вы можете использовать этот фильтр для получения соответствующей информации. Имейте в виду, что это только примерные даты. Вы должны заменить их нужными датами, в зависимости от того, что вы хотите проанализировать.
!(синтаксис фильтра)
Если вы поместите восклицательный знак перед синтаксисом любого фильтра, вы исключите его из результатов. Например, если ввести “!(ip.addr == 10.1.1.1),” вы увидите все пакеты, не содержащие этот IP-адрес. Помните, что при применении фильтра не следует использовать кавычки.
Как сохранить фильтры Wireshark
Если вы не используете тот или иной фильтр в Wireshark часто, вы, скорее всего, со временем забудете о нем. Попытка запомнить правильный синтаксис и трата времени на его поиск в Интернете могут быть очень неприятными. К счастью, Wireshark может помочь вам предотвратить такие сценарии с помощью двух полезных опций.
Первая опция — это автозаполнение, и она может быть полезна тем, кто помнит начало фильтра. Например, вы можете ввести “tcp,” и Wireshark отобразит список фильтров, начинающихся с этой последовательности.
Второй вариант — фильтры закладок. Это бесценная опция для тех, кто часто использует сложные фильтры с длинным синтаксисом. Вот как добавить фильтр в закладки:
- Откройте Wireshark и нажмите значок закладки. Вы можете найти его слева от поля «Фильтр».
- Выберите “Управление фильтрами отображения”
- Найдите нужный фильтр. в списке и нажмите знак «плюс», чтобы добавить его.
В следующий раз, когда вам понадобится этот фильтр, нажмите значок закладки и найдите свой фильтр в списке.
Часто задаваемые вопросы
Могу ли я запустить Wireshark в общедоступной сети?
Если вам интересно, законно ли запускать Wireshark в общедоступной сети, ответ таков: да. Но это не означает, что вы должны запускать Wireshark в любой сети. Обязательно ознакомьтесь с условиями сети, которую вы хотите использовать. Если сеть запрещает использование Wireshark, а вы все еще используете его, вас могут заблокировать в сети или даже подать в суд.
Wireshark не кусается
От устранения неполадок в сетях до отслеживания подключений и анализируя трафик, Wireshark имеет множество применений. С помощью этой платформы вы можете найти конкретный MAC-адрес всего за несколько кликов. Поскольку платформа бесплатна и доступна для нескольких операционных систем, миллионы людей по всему миру пользуются ее удобными возможностями.
Для чего вы используете Wireshark? Какой ваш любимый вариант? Расскажите нам в разделе комментариев ниже.
