Wireshark

Установка Wireshark в Linux

Рассмотрим на примере Ubuntu

sudo apt update
sudo apt install wireshark

Нажмите Y + Enter

Когда появится диалоговое окно с вопросом

Should non-superusers be able to capture packets?

Выберите Yes

После того как Wireshark установился добавьте своего пользователя в группу wireshark и проверьте результат

sudo usermod -aG wireshark $(whoami)
groups $(whoami)

andrei : andrei sudo docker wireshark

Перезагрузите компьютер

sudo reboot

Пример 1

Задача - проверить удалил ли разработчик устаревший поллинг по FTP.

Проверка логов нам не подходит, так как разработчик мог удалить запись в лог, но забыть удалить сам поллинг

Поэтому нужно проверить реальный обмен данными, для чего прекрасно подходит Wireshark.

Запускаем Wireshark. Применяем фильтр ftp-data. Запускаем клиент. Внимательно смотрим какие сообщения захватывает Wireshark

Выключаем старый клиент. Удаляем базу данных если она общая. Перезапускаем Wireshark. Применяем фильтр ftp-data. Внимательно смотрим какие сообщения захватывает Wireshark

Видно, что никаких пакетов по ftp не послано. Всё спокойно. Принимаем работу. Акцептим стори.

Составные фильтры в Wireshark

Часто бывает необходимо наложить несколько условий одновременно. На этот случай предусмотрены логические операторы

Обмен между конкретными хостами

Если нас инетересует только обмен данными между двумя конкретными хостами, используем фильтры ip.src чтобы задать адрес источника и ip.dst чтобы задать адрес назначения.

Предположим нас итересует что 10.6.1.2 шлёт на 10.6.1.3

Используем фильтр

ip.src==10.6.1.2 and ip.dst==10.6.1.3

Кто-то может найти инструкцию где в фильтре используются маски, но я не понял зачем это нужно ip.src==10.6.1.2/4 and ip.dst==10.6.1.3/4