Wireshark नेटवर्क ट्रैफ़िक को पकड़ने और विश्लेषण करने के लिए एक काफी प्रसिद्ध उपकरण है, वास्तव में शिक्षा और समस्या निवारण दोनों के लिए मानक।
Wireshark विशाल ज्ञात प्रोटोकॉल के साथ काम करता है, इसमें GTK + और एक शक्तिशाली फिल्टर सिस्टम पर आधारित एक स्पष्ट और तार्किक ग्राफिकल इंटरफ़ेस है।
क्रॉस-प्लेटफ़ॉर्म, लिनक्स पर चलता है जैसे कि लिनक्स, सोलारिस, फ्रीबीएसडी, नेटबीएसडी, ओपनबीएसडी, मैक ओएस एक्स और, ज़ाहिर है, विंडोज। GNU GPL v2 लाइसेंस के तहत वितरित किया गया। तारों के लिए मुफ्त में उपलब्ध ।.org
विंडोज सिस्टम पर इंस्टॉलेशन तुच्छ है - अगला, अगला, अगला।
लेखन के समय नवीनतम संस्करण 1.10.3 है, और यह समीक्षा में भाग लेगा।

हमें पैकेट विश्लेषक की आवश्यकता क्यों है?
नेटवर्क अनुप्रयोगों और प्रोटोकॉल पर शोध करने के लिए, साथ ही साथ नेटवर्क में समस्याओं को खोजने के लिए, और, महत्वपूर्ण रूप से, इन समस्याओं के कारणों का पता लगाएं।
यह काफी स्पष्ट है कि स्निफर्स या ट्रैफिक एनालाइज़र के उपयोग को अधिकतम करने के लिए, नेटवर्क और नेटवर्क प्रोटोकॉल के संचालन के लिए कम से कम सामान्य ज्ञान और समझ की आवश्यकता होती है।
मैं आपको यह भी याद दिलाता हूं कि कई देशों में स्पष्ट अनुमति के बिना एक स्निफर का उपयोग एक अपराध के बराबर है।

तैरना शुरू करें

कैप्चरिंग शुरू करने के लिए, बस अपना नेटवर्क इंटरफेस चुनें और स्टार्ट पर क्लिक करें।



उसके बाद, कब्जा प्रक्रिया शुरू हो जाएगी, और आने वाले पैकेट वास्तविक समय में दिखाई देंगे।
पैकेजों की समीक्षा करने और अध्ययन करने की प्रक्रिया में, ऐसे हालात होते हैं जब आपको पिछले पैकेज पर लौटने की आवश्यकता होती है। इसके लिए दो बटन हैं (स्क्रीनशॉट देखें)।



और उनका अनुसरण करने वाला बटन आपको इसकी संख्या निर्दिष्ट करके पैकेज में जल्दी से कूदने की अनुमति देता है।
यदि कॉलम एक-दूसरे पर ओवरलैप और क्रॉल करते हैं, तो आप ऐसे कॉलम पर राइट-क्लिक कर सकते हैं और "आकार बदलें" का चयन कर सकते हैं।
यह वर्तमान स्थिति के आकार को स्वचालित रूप से समायोजित करेगा।
और इसके अलावा, एक बटन "सभी कॉलमों का आकार बदलें" है , जो सभी कॉलमों को क्रम में रखेगा।
उदाहरण के लिए, देखें - समय प्रदर्शन प्रारूप मेनू का उपयोग करके, आप कैप्चर की शुरुआत से नहीं जाने के लिए समय को कॉन्फ़िगर कर सकते हैं, लेकिन उस समय से आपको पिछले पैकेट ( पिछले कैप्चर किए गए पैकेट से ) प्राप्त हुआ था।
प्रत्येक कार्यक्रम में सबसे महत्वपूर्ण बात ( हेल्प - अबाउट विंडसर ) न केवल लेखकों के संस्करण और सूची को दिखाएगा, बल्कि फोल्डर्स टैब भी शामिल है, जो कॉन्फ़िगरेशन के साथ निर्देशिकाओं के स्थान को दिखाएगा।
इंटरफ़ेस का अध्ययन, आप चुन सकते हैं, उदाहरण के लिए, http पैकेट, और देखें कि HTTP टीसीपी (ट्रांसपोर्ट लेयर) में एनकैप्सुलेटेड है, टीसीपी आईपी (नेटवर्क लेयर) में एनकैप्सुलेटेड है, और आईपी, बदले में ईथरनेट में एनकैप्सुलेटेड है (इससे पहले, यह 802.1Q भी चमकता है)।



और बहुत ऊपर कुछ फ्रेम के बारे में एकत्रित जानकारी के एक छोटे से अवलोकन की तरह है।



हम बाद में फ़िल्टर के बारे में बात करेंगे, लेकिन इस स्तर पर, यदि आपको जल्दी से अनावश्यक पैकेजों को फ़िल्टर करने की आवश्यकता है, तो पैकेज पर राइट-क्लिक करें, फ़िल्टर के रूप में लागू करें का चयन करें - चयनित मेनू नहीं और परिवर्तन तुरंत प्रभावी होंगे।
यदि आपको कुछ और निकालने की आवश्यकता है, तो अगली बार "और चयनित नहीं" चुनें , और नया नियम केवल फ़िल्टर में जोड़ा जाएगा।

बर्रों को हटा दें

अक्सर, जब विंडशार्क के साथ काम करते हैं, तो एक आईपी ​​चेकसम ऑफ़लोड त्रुटि होती है - एक आईपी पैकेट हेडर चेकसम त्रुटि।



आधुनिक नेटवर्क कार्ड इतने स्मार्ट होते हैं कि वे स्वयं चेकसम पर विचार करते हैं, यह टीसीपी / आईपी स्टैक स्तर पर प्रोग्रामेटिक रूप से क्यों करते हैं, यदि आप इसे कठिन कर सकते हैं।
और Wireshark स्वाभाविक रूप से पैकेट तक पहुंचने से पहले ही नेटवर्क पर पहुंच जाता है।
और इससे पहले कि इस राशि की गणना की गई और पैकेज हेडर में जोड़ा गया।
तदनुसार, इस समस्या को हल करने के दो तरीके हैं - नेटवर्क कार्ड सेटिंग्स में ऑफ़लोड फ़ंक्शन को अक्षम करें या स्निफ़र सेटिंग्स में निर्दिष्ट करें ताकि यह इस मूल्य पर ध्यान न दे।
हार्डवेयर फ़ंक्शन अक्सर सॉफ़्टवेयर फ़ंक्शंस से बेहतर होते हैं, मुख्यतः प्रोसेसिंग गति (आमतौर पर हार्डवेयर में अधिक) के कारण, इसलिए स्निफ़र की सेटिंग्स को बदलना बेहतर होता है।
ऐसा करने के लिए, सेटिंग्स पर जाएं ( संपादित करें - प्राथमिकताएं ), फिर प्रोटोकॉल - आईपीवी 4 - और यदि संभव हो तो "वैध आईपीवी 4 चेकसम" ध्वज को अनचेक करें।



इससे पहले कि आप ट्रैफ़िक कैप्चर करें, आपको यह तय करने की आवश्यकता है कि वास्तव में, आपको कैप्चर करने की आवश्यकता है।
आप कई स्थानों पर ट्रैफ़िक विश्लेषक रख सकते हैं:

• स्थानीय रूप से अपने मेजबान पर;
• स्विच पर ट्रैफ़िक मिररिंग व्यवस्थित करें;
• ब्याज के स्थानों से सीधे जुड़ें;
• या एआरपी विषाक्तता (ट्रैफ़िक सुनने से भी अधिक अवैध)

धारा को छान लें

Wireshark में दो प्रकार के फ़िल्टर होते हैं - कैप्चर ( कैप्चर फ़िल्टर ) और डिस्प्ले ( डिस्प्ले फ़िल्टर )।
सबसे पहले, कैप्चर फ़िल्टर पर विचार करें ।
जैसा कि आप नाम से अनुमान लगा सकते हैं, वे ट्रैफ़िक कैप्चर के चरण में भी फ़िल्टर करने का काम करते हैं।
लेकिन इस मामले में, आप निश्चित रूप से कुछ आवश्यक यातायात खो सकते हैं।
एक फ़िल्टर एक अंतर्निहित मूल्यों से मिलकर एक अभिव्यक्ति है जो यदि आवश्यक हो, तो तार्किक कार्यों (और, या नहीं) द्वारा संयुक्त किया जा सकता है।
इसका उपयोग करने के लिए, आपको apture मेनू, फिर विकल्प , और कैप्चर फ़िल्टर फ़ील्ड प्रकार में जाने की आवश्यकता है, उदाहरण के लिए, होस्ट 8.8.8.8 (या, उदाहरण के लिए, शुद्ध 192.168.0.0./24 )



बेशक, आप एक पूर्व-निर्मित फ़िल्टर का चयन कर सकते हैं (इसके लिए कैप्चर फ़िल्टर बटन जिम्मेदार है)।
किसी भी विकल्प में, इंटरफ़ेस के पास एक फ़िल्टर दिखाई देगा, आप प्रारंभ दबा सकते हैं।

अब डिस्प्ले फिल्टर्स पर चलते हैं।
वे विशेष रूप से पहले से ही कैप्चर किए गए ट्रैफ़िक को फ़िल्टर करते हैं।
क्या फ़िल्टर किया जा सकता है?
- लगभग सब कुछ - प्रोटोकॉल, पते, प्रोटोकॉल में विशिष्ट क्षेत्र।
ऐसे ऑपरेशन जिन्हें फ़िल्टर बनाने के लिए इस्तेमाल किया जा सकता है:

टीम	मूल्य	उदाहरण का उपयोग करें
==	समानता	ip.dst == 193.168.3.10
=!	न के बराबर	udp.dst! = 53
<	से कम है	ip.ttl <24
>	से अधिक है	फ्रेम.लेन> 10
<=	से कम या बराबर	फ्रेम.लेन <= 0x20
> =	से अधिक या बराबर	tcp.analysis.bytes_in_flight> = 1000
माचिस	नियमित अभिव्यक्ति	फ्रेम मैच "[पीपी] [एए] [एसएस] [एसएस]"
शामिल	यह होता है	dns.resp.name में Google शामिल है

जैसा कि आपने शायद देखा, उदाहरण के रूप में तालिका में विभिन्न अभिव्यक्तियाँ थीं, काफी समझ में आने वाली और अक्सर खुद के लिए बोलने वाली।
उदाहरण के लिए, ip.dst एक आईपी प्रोटोकॉल क्षेत्र है।
इस फ़ील्ड को देखने के लिए, आप केवल पैकेज को देख सकते हैं, और विंडो के नीचे आप इसके मूल्य को देख सकते हैं, जिसे बाद में किसी भी फ़िल्टर में लागू किया जा सकता है।
उदाहरण के लिए, हम रुचि रखते हैं कि कैसे एक फ़िल्टर बनाया जाए जहां टीटीएल मूल्य की जाँच की जाएगी।
ऐसा करने के लिए, L3 भाग खोलें और संबंधित फ़ील्ड पर खड़े हों:



और हम देखते हैं कि फ़िल्टर का निर्माण करने के लिए, आपको ip.ttl अभिव्यक्ति का उपयोग करने की आवश्यकता है।
यदि आप एक फिल्टर टाइप करना शुरू करते हैं, तो बिंदु के बाद संभावित मानों की एक सूची स्वचालित रूप से दिखाई देगी:



फ़िल्टर लागू करने के लिए, बस एंटर या अप्लाई बटन दबाएँ।
फ़िल्टर इनपुट फ़ील्ड स्वयं रंग बदल सकता है जो टाइप किया गया था उसके आधार पर।
ग्रीन इंगित करता है कि सब कुछ क्रम में है। लाल - एक त्रुटि हुई थी, पीला - एक अप्रत्याशित परिणाम प्राप्त किया गया था, क्योंकि फ़िल्टर लिखने के लिए अन्य विकल्प हैं (उदाहरण के लिए, आप ip.dst! = 8.8.8.8 या ! Ip.dst == 8.8.8.8 , दूसरा विकल्प अधिक बेहतर है) लिख सकते हैं।
सेव बटन पर क्लिक करके भविष्य के उपयोग के लिए फिल्टर को बचाया जा सकता है, फिर एक मनमाना नाम दर्ज करें



और ओके बटन पर क्लिक करने के बाद, फिल्टर पैनल पर एक बटन के रूप में दिखाई देगा।



और यदि आप पास के एक्सप्रेशन ... बटन पर क्लिक करते हैं, तो एक काफी शक्तिशाली अभिव्यक्ति कंस्ट्रक्टर खुलेगा, जिसके द्वारा आप नेटवर्क प्रोटोकॉल को लगभग जान सकते हैं। समर्थित प्रोटोकॉल की संख्या लगातार बढ़ रही है।



जैसा कि पहले उल्लेख किया गया है, आप किसी भी पैकेज का चयन कर सकते हैं और संदर्भ मेनू में फ़िल्टर के रूप में लागू करें का चयन करें और सबमेनू में चयनित या नहीं चयनित मोड का चयन करें, और तदनुसार, एक फ़िल्टर तुरंत दिखाई देगा जो केवल चयनित एक दिखाएगा या इसके विपरीत स्क्रीन से चयनित एक को हटा देगा।
इस प्रकार, आप लचीले ढंग से चुन सकते हैं कि स्क्रीन पर क्या देखना है और क्या नहीं।
यह एक विशिष्ट आईपी-पता, टीटीएल, पोर्ट, डीएनएस प्रतिक्रिया और बहुत कुछ हो सकता है।
इसके अलावा, ऐसे त्वरित फ़िल्टर के लिए दो विकल्प हैं - फ़िल्टर के रूप में तैयार करें और फ़िल्टर के रूप में लागू करें।
जैसा कि नाम से पता चलता है, अंतर यह है कि पहले मामले में यह केवल प्रदर्शन फ़िल्टर इनपुट फ़ील्ड में दिखाई देता है, लेकिन यह लागू नहीं होता है (यदि यह सुविधाजनक है, उदाहरण के लिए, आप इस तरह से कई फ़िल्टर जोड़ते हैं और फिर तुरंत समाप्त परिणाम लागू करते हैं), और दूसरे में। - तुरंत आवेदन करें।

बूलियन बीजगणित से परिचित तार्किक संचालन का उपयोग करके फिल्टर को जोड़ा जा सकता है:
(dns) && (http) तार्किक और

(dns) || (http) (dns) || (http) क्या यह तार्किक है या

इस प्रकार, आप बड़े और जटिल फिल्टर बना सकते हैं जैसे:
(tcp.flags.syn==1) && (ip.src == 172.16.10.2) && (ip.dst == 172.16.10.1)
यहां हम देखते हैं कि केवल टीसीपी SYN खंडों का चयन किया जाता है, केवल एक विशिष्ट प्रेषक और रिसीवर पते के साथ। बड़े फिल्टर को संकलित करते समय, आपको यह याद रखना होगा कि फिल्टर अनिवार्य रूप से एक तार्किक अभिव्यक्ति है, और यदि यह सच है, तो स्क्रीन पर पैकेज प्रदर्शित किया जाएगा, यदि गलत है - नहीं।

गहरा गोता लगाना

एक काफी सामान्य स्थिति, जब नेटवर्क के धीमे संचालन की शिकायत होती है, तो इसके कई कारण हो सकते हैं।
आइए जानने की कोशिश करें कि क्या कारण हो सकता है, और दो तरीकों पर विचार करें।
पहला टीसीपी डेल्टा कॉलम जोड़ना है।
पैकेज खोलें, इस टीसीपी फ्रेम फ़ील्ड में पिछले फ्रेम के बाद का समय ढूंढें, राइट-क्लिक करें और कॉलम के रूप में लागू करें चुनें। एक नया कॉलम दिखाई देगा।
उस पर आप राइट-क्लिक करें और एक सॉर्ट मोड का चयन करें, उदाहरण के लिए, सॉर्टिंग अवरोही ।



और तुरंत दूसरी विधि पर विचार करें।
अपेक्षाकृत हाल ही में (संस्करण 1.10.0 में), tcp.time_delta फ़िल्टर दिखाई दिया, जो वास्तव में, अंतिम अनुरोध के बाद के समय को ध्यान में रखता है।



यदि ग्राहक एक अनुरोध करता है और 10 मिलीसेकंड के बाद प्रतिक्रिया प्राप्त करता है, और ग्राहक कहता है कि उसके लिए सब कुछ धीरे-धीरे काम कर रहा है, तो ग्राहक को समस्या हो सकती है।
यदि क्लाइंट अनुरोध करता है और 2-3 सेकंड के बाद प्रतिक्रिया प्राप्त करता है, तो, शायद, समस्या नेटवर्क में निहित है।

अभी भी गहरा है

यदि आप टीसीपी पैकेट (या सटीक होने के लिए खंड) को देखते हैं, तो आप स्ट्रीम इंडेक्स देख सकते हैं, जो आमतौर पर खरोंच से शुरू होता है।
फ़ील्ड को ही tcp.stream कहा जाएगा।



आप उस पर राइट-क्लिक कर सकते हैं और एक फ़िल्टर बना सकते हैं।



इस तरह, वांछित यौगिकों को फ़िल्टर किया जा सकता है।

दूसरा तरीका पैकेज पर ही राइट-क्लिक करना है, वार्तालाप फ़िल्टर का चयन करें और क्रमशः l2 l3 l4 स्तर के लिए एक फ़िल्टर बनाएं।



नतीजतन, हम फिर से दो मेजबानों की बातचीत देखेंगे।

और तीसरा विकल्प सबसे दिलचस्प विशेषताओं में से एक है - टीसीपी स्ट्रीम का पालन करें ।
इसका उपयोग करने के लिए, फिर से, पैकेट पर राइट-क्लिक करें और "टीसीपी स्ट्रीम का पालन करें " चुनें। एक विंडो दिखाई देगी जहां दो नोड्स के बीच पूरे आदान-प्रदान को स्पष्ट रूप से प्रदर्शित किया जाएगा।



यदि आप सांख्यिकी - वार्तालाप मेनू पर जाते हैं, तो बुकमार्क का चयन करते हुए, आप ऐसे "वार्तालाप" और विभिन्न सत्रों पर आंकड़े देख सकते हैं, जबकि आप उन्हें विभिन्न स्तंभों द्वारा सॉर्ट कर सकते हैं, उदाहरण के लिए, संचरित डेटा की संख्या से।



और इस विंडो में दाईं ओर, आप संदर्भ मेनू पर राइट-क्लिक कर सकते हैं और फिर से इसे फ़िल्टर के रूप में लागू कर सकते हैं।

समय के साथ, अनुभव आता है

कुछ समय तक विभिन्न प्रकार के ट्रैफ़िक को कैप्चर करने के बाद, आप निचले बाएँ कोने में किसी प्रकार के गोलाकार बटन को देख सकते हैं, जो अभी भी कभी-कभी रंग बदलता है।



इस बटन पर क्लिक करने पर एक्सपर्ट इन्फोस विंडो खुल जाएगी।
उसी परिणाम का विश्लेषण - विशेषज्ञ जानकारी मेनू पर जाकर प्राप्त किया जा सकता है।



इस विंडो में पाए गए पैकेजों की जानकारी होगी, जिन्हें समूहों में विभाजित किया गया है, चेतावनी, नोट्स और चैट।
इन समूहों के लिए रंग इस प्रकार है:
त्रुटियां - लाल
चेतावनी - पीला
नोट्स - ब्लू ग्रीन (सियान)
चैट - ग्रे

Wireshark में एक शक्तिशाली विश्लेषक होता है और नेटवर्क पर उत्पन्न होने वाली बड़ी संख्या में समस्याओं का स्वतः पता लगाने में सक्षम होता है।
जैसा कि आपने देखा होगा, शाब्दिक रूप से हर जगह आप फ़िल्टर का उपयोग कर सकते हैं और विशेषज्ञ जानकारी कोई अपवाद नहीं है।
इस तरह के एक फिल्टर को बनाने के लिए, आपको expert.severity निर्माण का उपयोग करने की आवश्यकता है।
उदाहरण के लिए, expert.severity == त्रुटि ।

रोब यातायात!

क्या मैं यह जानने के लिए कि क्या डाउनलोड किया गया था, क्या मैं Wireshark का उपयोग कर सकता हूं
हाँ आप कर सकते हैं। और अब हम इसे देखेंगे।
सबसे पहले, चलो HTTP ट्रैफ़िक लेते हैं।
चलो HTTP पैकेज - प्रोटोकॉल प्राथमिकताएं पर राइट-क्लिक करें और यहां बहुत सारे विकल्प देखें जो सीधे वेब ट्रैफ़िक से फ़ाइलों के निष्कर्षण को प्रभावित करते हैं।
वर्तमान डंप से क्या निकाला जा सकता है, यह देखने के लिए, फ़ाइल - ऑब्जेक्ट निर्यात करें - HTTP मेनू पर जाएं।
एक विंडो दिखाई देगी जो कैप्चर की गई सभी http ऑब्जेक्ट्स को दिखाती है - टेक्स्ट फाइलें, चित्र इत्यादि। इस सूची से किसी भी फाइल को खींचने के लिए, बस इसे चुनें और सेव अस पर क्लिक करें।



जैसा कि आप देख सकते हैं, ड्राइंग को बिना किसी समस्या के हटा दिया गया था।



उसी तरह, आप स्ट्रीमिंग वीडियो / ऑडियो निकाल सकते हैं।



लेकिन विंडशार्क की संभावनाएं वहाँ समाप्त नहीं होती हैं!
वह जानता है कि एफ़टीपी प्रोटोकॉल से फ़ाइलों को कैसे खींचना है।
ऐसा करने के लिए, आप परिचित फॉलो टीसीपी स्ट्रीम का उपयोग कर सकते हैं।
नतीजतन, केवल एफ़टीपी के माध्यम से विनिमय प्रदर्शित किया जाएगा, जिसमें आपको RETR लाइन खोजने की आवश्यकता होगी, जिसका वास्तव में फ़ाइल स्थानांतरण होगा।



फिर हम और नीचे जाते हैं, फ़ाइल (FTP-DATA) के साथ सीधे पैकेज पाते हैं और फिर से टीसीपी स्ट्रीम का चयन करें, फ़ाइल की सामग्री देखें, इस रूप में सहेजें पर क्लिक करें और सहेजें।

वीओआईपी

Wireshark में इस तकनीक के साथ काम करने के लिए कई अंतर्निहित विशेषताएं हैं।
यह बहुत सारे वॉइस प्रोटोकॉल का समर्थन करता है - SIP, SDP, RTSP, H.323, RTCP, SRTP और अन्य।
और, ज़ाहिर है, यह आगे के सुनने के लिए ध्वनि यातायात को बाधित और बचा सकता है।
यह कार्यक्षमता IP नेटवर्क पर वॉइस में समस्या निवारण के लिए सबसे उपयुक्त है।
सांख्यिकी - फ़्लो ग्राफ़ मेनू संपूर्ण पैकेट विनिमय कैसे हुआ, इसका एक दृश्य चित्र दिखाएगा।



सामान्य तौर पर, पूरे टेलीफोनी मेनू को आवाज यातायात के साथ काम करने के लिए आरक्षित किया जाता है।
उदाहरण के लिए, टेलीफोनी - आरटीपी - शो ऑल स्ट्रीम्स आरटीपी के साथ जो हुआ, विशेष रूप से, घबराना (वह पैरामीटर जो संभवतः आवाज में सबसे महत्वपूर्ण है) के साथ दिखाई देगा, जो कभी-कभी तुरंत समस्याओं की उपस्थिति का संकेत देता है।



"विश्लेषण" बटन पर क्लिक करके, आप आरटीपी स्ट्रीम विश्लेषण विंडो खोल सकते हैं - और वहां एक स्ट्रीम का चयन करके, आप इसे प्लेयर बटन का उपयोग करके भी खेल सकते हैं।
सबसे पहले, प्लेयर विंडो खुलती है, जिसमें सबसे पहले आपको उपयुक्त जिटर वैल्यू सेट करने और डिकोड बटन का उपयोग करने की आवश्यकता होती है।



एक स्पेक्ट्रम विश्लेषक के समान कुछ दिखाई देगा जिसमें आप वांछित वार्तालाप को चिह्नित कर सकते हैं, और उसके बाद प्ले बटन सक्रिय हो जाएगा।



वॉयस कॉल सुनने का एक और तरीका भी है - आप टेलीफोनी मेनू - वीओआईपी कॉल पर जा सकते हैं।



बनाई गई कॉल की एक सूची के साथ एक विंडो खुलती है, जहां फिर से आप खिलाड़ी बटन दबा सकते हैं, झंडे और प्रेस प्ले के साथ आवश्यक बातचीत रद्द कर सकते हैं।
एक स्वीकार्य ध्वनि गुणवत्ता प्राप्त करने के लिए, आपको इसके मूल्य को बदलते हुए, घबराना बफर क्षेत्र के मूल्य के साथ खेलना होगा।

छोटा विषयांतर

कुछ समय पहले, CloudShark.org साइट दिखाई दी।



यह वही विंडशार्क स्निफर है, लेकिन इसे ऑनलाइन सेवा के रूप में लागू किया गया है। जाहिर है कि इसकी मदद से नेटवर्क ट्रैफिक पर कब्जा करना संभव नहीं होगा, लेकिन ट्रैफिक डंप विश्लेषण करना काफी संभव है। एक फॉर्म के माध्यम से विश्लेषण के लिए एक पीसीएपी फ़ाइल अपलोड करके, आप पैकेट का एक स्पष्ट अनुक्रम प्राप्त कर सकते हैं जिसमें प्रोटोकॉल के आधार पर सभी डेटा को समझने योग्य फ़ील्ड में विभाजित किया जाएगा। सामान्य तौर पर, एक ही Wireshark, लेकिन किसी भी ब्राउज़र से थोड़ा हल्का और सुलभ।

अंतिम लड़ाई

अंत में, विचार करें कि पोर्ट स्कैनिंग कैसा दिखता है।
हम डंप को देखते हैं और देखते हैं कि शुरुआत में एआरपी अनुरोध है और फिर स्कैन सीधे शुरू होता है। हमारे राउटर का पता 192.168.10.11 है, स्कैन पता 192.168.10.101 से आता है



यह तथाकथित SYN स्कैन है जब SYN पैकेट निर्दिष्ट पोर्ट रेंज पर जाते हैं। चूंकि अधिकांश पोर्ट बंद हैं, इसलिए रूटर RST, ACK पैकेट के साथ प्रतिक्रिया करता है।
थोड़ा कम स्क्रॉल करने पर हम देखते हैं कि टेलनेट खुला है (tcp 23)।



यह इस तथ्य से संकेत मिलता है कि राउटर ने SYN, ACK पैकेट के साथ प्रतिक्रिया दी।
वैसे, स्निफर में बंदरगाहों को फ़िल्टर करने के लिए, आप फॉर्म के निर्माण का उपयोग कर सकते हैं: tcp.srcport, tcp.dstport और tcp.port। यूडीपी के लिए, सब कुछ समान है - udp.srcport, udp.dstport, udp.port।

परिणाम

हम सबसे अच्छे पैकेट विश्लेषक की कार्यक्षमता के सबसे बुनियादी हिस्सों पर चले गए।
यह कुछ गड़बड़ हो गया, शायद इसलिए कि मैं इसकी कई विशेषताओं को जितना संभव हो सके छूना चाहता था और महत्वपूर्ण कुछ भी याद नहीं था।
यह पता चला कि एक डिबगर और डिस्सेम्बलर के रूप में पैकेट विश्लेषक, नेटवर्क और नेटवर्क प्रोटोकॉल के सबसे छोटे विवरणों को प्रदर्शित करता है।
विंडसरक का उपयोग करना और आवश्यक ज्ञान रखना (जो कि साइट linkmeup.ru पर सबसे छोटी के लिए नेटवर्क की श्रृंखला की जांच करके चमकाया जा सकता है), यह नेटवर्क पर उत्पन्न होने वाली विभिन्न समस्याओं को कुशलतापूर्वक खोजने और उनका निदान करने के लिए संभव है।

लेखन प्रक्रिया wiki.wireshark.org की सामग्री का उपयोग करती है
ट्रैफ़िक डंप विभिन्न स्रोतों से लिए गए थे, जिनमें से अधिकांश packetlife.net से थे