Wireshark, ранее называвшаяся Ethereal, – это мощная программа с открытым исходным кодом, которая помогает пользователям отслеживать и анализировать информацию, поступающую в определенную сеть и из нее. Программное обеспечение может обрабатывать сложные данные из сотен протоколов в большинстве типов сетей, организуя их в пакеты данных. Однако, когда в сети неожиданно происходит сбой или возникают проблемы, поиск пакетов может быть непосильным, требуя много времени и энергии. Вот тут-то и пригодится удобный характер Wireshark.
Программное обеспечение поддерживает фильтры, которые позволяют вам быстро просеивать большие объемы информации. Вместо проверки захваченных файлов вручную вы можете применить фильтр, который приведет вас к данным, которые вы хотите проверить.
Читайте дальше, чтобы узнать о лучших фильтрах Wireshark и о том, как добавить их в закладки для последующего использования.
Фильтры Wireshark
В Wireshark есть два типа фильтров. Первый — это фильтры захвата, а второй — фильтры отображения. Они работают с разным синтаксисом и служат определенным целям.
Фильтры захвата устанавливаются перед началом операции захвата. Параметры фильтров захвата записывают и сохраняют только тот трафик, который вам интересен для анализа. После начала операции захвата изменение этого типа фильтра становится невозможным.
С другой стороны, фильтры отображения содержат параметры, которые применяются ко всем захваченным пакетам. Вы можете установить этот тип фильтра перед началом операции захвата, а затем настроить или отменить его. Кроме того, вы можете установить его во время выполнения операции. Фильтр отображения хранит данные в буфере трассировки, скрывая трафик, который вас не интересует, и отображая только ту информацию, которую вы хотите просмотреть.
Wireshark имеет впечатляющую библиотеку встроенных фильтров, которые помогают пользователям лучше контролировать свои сети. Чтобы получить доступ к существующему фильтру и использовать его, необходимо ввести правильное имя в поле “Применить фильтр отображения” раздел под панелью инструментов программы. Если вы хотите найти и применить фильтр захвата, используйте кнопку “Введите захват” раздел в середине экрана приветствия.
Хотя Wireshark может похвастаться обширными возможностями фильтрации, запомнить правильный синтаксис часто бывает непросто. Когда вы пытаетесь ввести подходящий фильтр, вы тратите драгоценное время.
Но вам повезло. Мы составили список лучших фильтров Wireshark, чтобы помочь вам более эффективно использовать программу и избавиться от догадок при анализе кучи сохраненных данных.
Лучшие фильтры Wireshark
Давайте посмотрим на несколько полезных фильтров, которые позволят вам освоить программу.
ip.addr == x.x.x.x
Приведенный выше фильтр будет отображать только захваченные пакеты, содержащие заданный IP-адрес. Это удобный инструмент для проверки одного типа трафика. Применение фильтра обработает исходящий трафик и определит, какой из них соответствует источнику или IP-адресу, который вы ищете.
Если вы хотите отфильтровать по месту назначения, используйте вариант ip.dst == x.x.x.x.
Вариант ip.src == x.x.x.x помогает фильтровать по источнику.
ip.addr == x.x.x.x && ip.addr == x.x.x.x
Эта строка устанавливает фильтр диалога между двумя предустановленными IP-адресами. Это бесценно для проверки данных между двумя выбранными сетями или хостами. Фильтр игнорирует ненужные данные и фокусируется только на поиске информации, которая вас больше всего интересует.
Для фильтрации назначения используйте параметр ip.src == xxxx && ip.dst == строка xxxx.
http или dns
Когда вы применяете этот фильтр, он будет отображать каждый протокол DNS или HTTP. Это экономящий время фильтр, который позволяет сосредоточиться на конкретном протоколе, который вы хотите изучить. Например, если вам нужно найти подозрительный FTP-трафик, все, что вам нужно сделать, это установить фильтр для “ftp” Чтобы узнать, почему веб-страница не отображается, установите фильтр “dns.”
tcp.port==xxx
Приведенный выше фильтр сужает область поиска до определенного порта назначения или источника. Вместо того, чтобы просматривать весь захваченный пакет, фильтр генерирует данные о трафике, входящем или исходящем из одного порта. Это один из самых удобных фильтров, на который вы можете положиться при выполнении своей задачи, если у вас нехватка времени.
tcp.flags.reset==1
Применение этого фильтр покажет каждый сброс TCP. Каждый захваченный пакет имеет связанный TCP. Когда его значение равно единице, он уведомляет принимающий ПК о том, что он должен прекратить работу с этим соединением. Это один из самых впечатляющих фильтров Wireshark, поскольку сброс TCP мгновенно разрывает соединение.
tcp содержит xxx
Этот фильтр найдет все пакеты захвата TCP, содержащие указанный термин. Если вам интересно, где элемент появляется в снимке, введите его имя вместо “xxx.” Фильтр найдет все экземпляры термина, избавив вас от чтения пакета. Например, при замене “xxx” с “трафиком” вы увидите все пакеты, содержащие “трафик». Лучше всего использовать этот фильтр для сканирования определенного идентификатора пользователя или строки.
!(arp, icmp или dns)
Приведенный выше фильтр предназначен для исключения определенных протоколов. Используйте его для удаления протоколов arp, dns или icmp, которые вам не нужны. Он позволяет блокировать отвлекающие данные, чтобы вы могли сосредоточиться на анализе более важной информации.
tcp.time_delta > .250
Этот фильтр отображает пакеты TCP с дельта-временем более 250 мс в их потоке.
Помните, что перед использованием фильтра вам необходимо рассчитать временную метку преобразования TCP. Хотя вычисление задержек в разговорах не слишком сложно, для этого требуются определенные знания Wireshark.
tcp.analysis.flags && !tcp.analysis.window_update
Этот фильтр позволяет просматривать повторные передачи, нулевые окна и повторяющиеся атаки в одной трассировке. Это отличный способ определить плохую производительность приложений или потерю пакетов.
Советы по использованию фильтров Wireshark
Неспособность запомнить правильный синтаксис фильтра раздражает и может помешать быстрому поиску ценных данных.
Иногда функция автозаполнения Wireshark может помочь вам решить проблему. Например, если вы уверены, что фильтр начинается с “tcp,” введите эту информацию в соответствующее поле поиска. Wireshark создаст список фильтров, начинающийся с “tcp” Просматривайте результаты поиска, пока не найдете правильный псевдоним.
Еще один способ найти фильтры — это “закладка” рядом с полем ввода. Когда вы выбираете “Управление фильтрами отображения” или “Управление выражениями фильтра” вы можете изменять, добавлять или удалять фильтры. Если вы не особенно уверены в запоминании сложных синтаксических сокращений, “закладка” option — это удобный инструмент для извлечения часто используемых фильтров Wireshark.
Вместо повторного ввода сложных фильтров захвата выполните следующие действия, чтобы сохранить их в “закладке” меню:
- Запустите Wireshark и перейдите к “закладке” вариант.
- Нажмите “Управление фильтрами отображения” для просмотра диалогового окна.
- Найдите нужный фильтр в диалоговом окне поле, коснитесь его и нажмите значок “+” кнопку, чтобы сохранить его.
Вот что вам нужно сделать, чтобы сохранить фильтр отображения:
- Откройте Wireshark и перейдите на “закладку”
- Выберите “Управление фильтрами отображения” чтобы открыть диалоговое окно.
- Просмотрите список параметров, дважды коснитесь соответствующего фильтра и щелкните значок “+” кнопку, чтобы сохранить его в качестве закладки.
Если вы находитесь в спешите проанализировать конкретные данные, вы можете нажать стрелку вниз рядом с полем ввода. Действие создаст список ранее использовавшихся фильтров.
Используйте фильтры для беспроблемного анализа данных
Wireshark стал одним из самых популярных анализаторов сетевых протоколов благодаря своим удобным фильтрам. . Вы можете использовать их, чтобы сэкономить время и быстро найти определенные параметры, такие как IP-адреса или шестнадцатеричные значения. Если вам сложно запомнить разные названия часто используемых фильтров, сохраните их в качестве закладок для дальнейшего использования.
Как часто вы используете фильтры Wireshark? На что вы больше полагаетесь, на фильтры захвата или отображения? Вы когда-нибудь использовали некоторые из вариантов, упомянутых выше? Дайте нам знать в разделе комментариев ниже.
