Wireshark
| Установка в Linux | |
| Фильтр по протоколу FTP | |
| Составные фильтры | |
| Отследить обмен между двумя хостами |
Установка Wireshark в Linux
Рассмотрим на примере Ubuntu
sudo apt update
sudo apt install wireshark
Нажмите Y + Enter
Когда появится диалоговое окно с вопросом
Should non-superusers be able to capture packets?
Выберите Yes
После того как Wireshark установился добавьте своего пользователя в группу wireshark и проверьте результат
sudo usermod -aG wireshark $(whoami)
groups $(whoami)
andrei : andrei sudo docker wireshark
Перезагрузите компьютер
sudo reboot
Пример 1
Задача - проверить удалил ли разработчик устаревший поллинг по FTP.
Проверка логов нам не подходит, так как разработчик мог удалить запись в лог, но забыть удалить сам поллинг
Поэтому нужно проверить реальный обмен данными, для чего прекрасно подходит Wireshark.
Запускаем Wireshark. Применяем фильтр ftp-data. Запускаем клиент.
Внимательно смотрим какие сообщения захватывает Wireshark
Выключаем старый клиент. Удаляем базу данных если она общая. Перезапускаем Wireshark. Применяем фильтр ftp-data. Внимательно смотрим какие сообщения захватывает Wireshark
Видно, что никаких пакетов по ftp не послано. Всё спокойно. Принимаем работу. Акцептим стори.
Составные фильтры в Wireshark
Часто бывает необходимо наложить несколько условий одновременно. На этот случай предусмотрены логические операторы
| and | && | «И» |
| or | || | «ИЛИ» |
| xor | ^^ | исключающее «ИЛИ» |
| not | ! | отрицание |
| […] | […] | выборка подстроки |
Обмен между конкретными хостами
Если нас инетересует только обмен данными между двумя конкретными хостами, используем фильтры
ip.src
чтобы задать адрес источника
и
ip.dst чтобы задать адрес назначения.
Предположим нас итересует что 10.6.1.2 шлёт на 10.6.1.3
Используем фильтр
ip.src==10.6.1.2 and ip.dst==10.6.1.3
Кто-то может найти инструкцию где в фильтре используются маски, но я не понял зачем это нужно ip.src==10.6.1.2/4 and ip.dst==10.6.1.3/4
