Wireshark как установить на windows

Анализатор протоколов Wireshark

Необходимо установить права доступа к файлу /usr/sbin/dumpcap .

Предположим, что это группа wireshark .

Создайте группу wirehark и добавьте в неё пользователя user_name .

Изменим параметры файла /usr/sbin/dumpcap :

Кроме того, зададим capabilities для этого файла:

• Можно проверить, что параметры установлены правильно:

После этого можно перелогиниться или временно добавить себя в новую группу:

Как использовать Wireshark: полное руководство

Инструкции в этой статье относятся к Wireshark 3.0.3 для Windows и Mac.

Что такое Wireshark?

Первоначально известный как Ethereal, Wireshark отображает данные из сотен различных протоколов во всех основных типах сетей. Пакеты данных можно просматривать в режиме реального времени или анализировать в автономном режиме. Wireshark поддерживает десятки форматов файлов захвата / трассировки, включая CAP и ERF. Интегрированные инструменты дешифрования отображают зашифрованные пакеты для нескольких распространенных протоколов, включая WEP и WPA / WPA2.

Как скачать и установить Wireshark

Wireshark можно бесплатно загрузить с веб-сайта Wireshark Foundation как для macOS, так и для Windows. Вы увидите последний стабильный выпуск и текущий выпуск для разработки. Если вы не опытный пользователь, загрузите стабильную версию.

В процессе установки Windows выберите установку WinPcap or Npcap при появлении запроса, поскольку они включают библиотеки, необходимые для сбора данных в реальном времени.

Вы должны войти на устройство как администратор, чтобы использовать Wireshark. В Windows 10 найдите Wireshark и выберите Запуск от имени администратора. В macOS щелкните правой кнопкой мыши значок приложения и выберите Получите сведения о. В Обмен и права настройки, дайте админу Читайте и Написать привилегии.

Приложение также доступно для Linux и других UNIX-подобных платформ, включая Red Hat, Solaris и FreeBSD. Двоичные файлы, необходимые для этих операционных систем, можно найти в нижней части страницы загрузки Wireshark под Сторонние пакеты раздел. Вы также можете скачать исходный код Wireshark с этой страницы.

Как захватить пакеты данных с помощью Wireshark

Когда вы запускаете Wireshark, на экране приветствия отображаются доступные сетевые подключения на вашем текущем устройстве. Справа от каждого отображается линейный график в стиле ЭКГ, который представляет текущий трафик в этой сети.

Чтобы начать захват пакетов с помощью Wireshark:

Выберите одну или несколько сетей, перейдите в строку меню и выберите захват.

Чтобы выбрать несколько сетей, удерживайте сдвиг при выборе.

в Интерфейсы Wireshark Capture окно, выберите Start.

Есть и другие способы начать захват пакетов. Выберите акулий плавник в левой части панели инструментов Wireshark нажмитеCtrl + Eили дважды щелкните сеть.

Выбрать Отправьте > Сохранить как или выберите экспорт возможность записи захвата.

Чтобы остановить захват, нажмите Ctrl + E. Или перейдите на панель инструментов Wireshark и выберите красный Стоп кнопка, которая находится рядом с плавником акулы.

Как просматривать и анализировать содержимое пакета

Интерфейс захваченных данных состоит из трех основных разделов:

• Панель списка пакетов (верхний раздел)
• Панель сведений о пакете (средний раздел)
• Панель байтов пакета (нижняя часть)

Список пакетов

Панель списка пакетов, расположенная в верхней части окна, показывает все пакеты, найденные в активном файле захвата. Каждый пакет имеет свою собственную строку и соответствующий ему номер, а также каждую из этих точек данных:

• Нет: Это поле указывает, какие пакеты являются частью одного разговора. Он остается пустым, пока вы не выберете пакет.
• Время: В этом столбце отображается метка времени захвата пакета. Формат по умолчанию — это количество секунд или неполных секунд с момента первого создания этого конкретного файла захвата.
• источник: Этот столбец содержит адрес (IP или другой), откуда был отправлен пакет.
• Пункт назначения: Этот столбец содержит адрес, на который отправляется пакет.
• Протокол: В этом столбце можно найти имя протокола пакета, например TCP.
• Длина: В этом столбце отображается длина пакета в байтах.
• Информация о: Дополнительные сведения о пакете представлены здесь. Содержимое этого столбца может сильно различаться в зависимости от содержимого пакета.

Чтобы изменить формат времени на более удобный (например, фактическое время дня), выберите Просмотр > Формат отображения времени.

Когда пакет выбран в верхней панели, вы можете заметить, что один или несколько символов появляются в Нет. столбец. Открытые или закрытые скобки и прямая горизонтальная линия указывают, являются ли пакет или группа пакетов частью одного и того же двустороннего диалога в сети. Прерывистая горизонтальная линия означает, что пакет не является частью разговора.

Сведения о пакете

Панель сведений, расположенная посередине, представляет протоколы и поля протокола выбранного пакета в сворачиваемом формате. В дополнение к расширению каждого выбора вы можете применять отдельные фильтры Wireshark на основе определенных деталей и отслеживать потоки данных на основе типа протокола, щелкая правой кнопкой мыши нужный элемент.

Пакетные байты

Внизу находится панель байтов пакета, которая отображает необработанные данные выбранного пакета в шестнадцатеричном виде. Этот шестнадцатеричный дамп содержит 16 шестнадцатеричных байтов и 16 байтов ASCII вместе со смещением данных.

При выборе определенной части этих данных автоматически выделяется соответствующий раздел на панели сведений о пакете и наоборот. Любые байты, которые нельзя распечатать, обозначаются точкой.

Чтобы отобразить эти данные в битовом формате, а не в шестнадцатеричном, щелкните правой кнопкой мыши в любом месте панели и выберите как биты.

Как использовать фильтры Wireshark

Фильтры захвата предписывают Wireshark записывать только те пакеты, которые соответствуют указанным критериям. Фильтры также могут применяться к файлу захвата, который был создан таким образом, чтобы показывались только определенные пакеты. Они называются фильтрами отображения.

Wireshark по умолчанию предоставляет большое количество предопределенных фильтров. Чтобы использовать один из этих существующих фильтров, введите его имя в поле Применить фильтр отображения поле ввода, расположенное под панелью инструментов Wireshark или в Введите фильтр захвата поле, расположенное в центре экрана приветствия.

Например, если вы хотите отображать TCP-пакеты, введите TCP. Функция автозаполнения Wireshark показывает предлагаемые имена, когда вы начинаете вводить текст, что упрощает поиск правильного имени для фильтра, который вы ищете.

Другой способ выбрать фильтр — выбрать закладка в левой части поля ввода. выберите Управление выражениями фильтров or Управление фильтрами отображения для добавления, удаления или редактирования фильтров.

Вы также можете получить доступ к ранее используемым фильтрам, щелкнув стрелку вниз в правой части поля ввода, чтобы отобразить раскрывающийся список истории.

Фильтры захвата применяются, как только вы начинаете запись сетевого трафика. Чтобы применить фильтр отображения, щелкните стрелку вправо в правой части поля ввода.

Правила цвета Wireshark

В то время как фильтры захвата и отображения Wireshark ограничивают то, какие пакеты записываются или отображаются на экране, его функция раскрашивания идет дальше: он может различать разные типы пакетов на основе их индивидуального оттенка. Это позволяет быстро находить определенные пакеты в сохраненном наборе по цвету их строк в панели списка пакетов.

Wireshark имеет около 20 правил окраски по умолчанию, каждое из которых можно редактировать, отключать или удалять. Выбрать Просмотр > Правила раскраски для обзора значения каждого цвета. Вы также можете добавить свои собственные цветные фильтры.

Выбрать Просмотр > Раскрасить список пакетов для включения и выключения раскрашивания пакетов.

Статистика в Wireshark

Другие полезные показатели доступны через Статистика выпадающее меню. Сюда входит информация о размере и времени для файла захвата, а также десятки диаграмм и графиков, варьирующихся по темам, от сбоев в диалоге пакетов до распределения нагрузки HTTP-запросов.

Фильтры отображения могут применяться ко многим из этих статистических данных через их интерфейсы, а результаты можно экспортировать в общие форматы файлов, включая CSV, XML и TXT.

Расширенные функции Wireshark

Wireshark также поддерживает расширенные функции, в том числе возможность писать анализаторы протоколов на языке программирования Lua.

Wireshark как установить на windows

The official Windows packages can be downloaded from the Wireshark main page or the download page. Installer names contain the platform and version. For example, Wireshark-win64-4.1.0.exe installs Wireshark 4.1.0 for 64-bit Windows. The Wireshark installer includes Npcap which is required for packet capture. Windows packages automatically update. See Section 2.8, “Updating Wireshark” for details.

Simply download the Wireshark installer from https://www.wireshark.org/download.html and execute it. Official packages are signed by Sysdig, Inc. . You can choose to install several optional components and select the location of the installed package. The default settings are recommended for most users.

2.3.1. Installation Components

On the Choose Components page of the installer you can select from the following:

• Wireshark — The network protocol analyzer that we all know and mostly love.
• TShark — A command-line network protocol analyzer. If you haven’t tried it you should.

Plugins & Extensions — Extras for the Wireshark and TShark dissection engines

• Codec Plugins — Additional codec support.
• Configuration Profiles — Additional configuration profiles.
• Dissector Plugins — Additional protocol dissectors.
• File Type Plugins — capture file support — Extend wiretap support for capture file types. (e.g. usbdump)
• Mate — Meta Analysis and Tracing Engine — User configurable extension(s) of the display filter engine, see Chapter 12, MATE for details.
• SNMP MIBs — SNMP MIBs for a more detailed SNMP dissection.
• TRANSUM — performance analysis — Plugin to calculate Response Time Element (RTE) statistics.
• Tree Statistics Plugin — Extended statistics. (see stats_tree in WSDG; Packet Lengths in WSUG)

Tools — Additional command line tools to work with capture files and troubleshoot

• Capinfos — Print information about capture files.
• Captype — Print the type(format) of capture files.
• DFTest — Show display filter byte-code, for debugging dfilter routines.
• Editcap — Copy packets to a new file, optionally trimming packets, omitting them, or saving to a different format.
• Mergecap — Combine multiple saved capture files into a single output file.
• MMDBResolve — MaxMind Database resolution tool — read IPv4 and IPv6 addresses and print their IP geolocation information.
• Randpkt — Create a pcap trace file full of random packets. (randpkt produces very bad packets)
• Rawshark — Dump and analyze raw pcap data.
• Reordercap — Copy packets to a new file, sorted by time.
• Text2Pcap — Generate a capture file from an ASCII hexdump of packets.

External Capture (extcap) — External Capture Interfaces

• Androiddump — Provide capture interfaces from Android devices.
• Etwdump — Provide an interface to read Event Tracing for Windows (ETW) event trace (ETL).
• Randpktdump — Provide an interface to the random packet generator. (see also randpkt)
• Sshdump, Ciscodump, and Wifidump — Provide remote capture through SSH. (tcpdump, Cisco EPC, wifi)
• UDPdump — Provide capture interface to receive UDP packets streamed from network devices.

2.3.2. Additional Tasks

• Wireshark Start Menu Item — Add a shortcut to the start menu.
• Wireshark Desktop Icon — Add a Wireshark icon to the desktop.
• Associate trace file extensions with Wireshark — Associate standard network trace files to Wireshark.

2.3.3. Install Location

By default Wireshark installs into %ProgramFiles%\Wireshark on 32-bit Windows and %ProgramFiles64%\Wireshark on 64-bit Windows. This expands to C:\Program Files\Wireshark on most systems.

2.3.4. Installing Npcap

The Wireshark installer contains the latest Npcap installer.

If you don’t have Npcap installed you won’t be able to capture live network traffic but you will still be able to open saved capture files. By default the latest version of Npcap will be installed. If you don’t wish to do this or if you wish to reinstall Npcap you can check the Install Npcap box as needed.

2.3.5. Windows installer command line options

For special cases, there are some command line parameters available:

• /S runs the installer or uninstaller silently with default values. The silent installer will not install Npcap.
• /desktopicon installation of the desktop icon, =yes — force installation, =no — don’t install, otherwise use default settings. This option can be useful for a silent installer.
• /quicklaunchicon installation of the quick launch icon, =yes — force installation, =no — don’t install, otherwise use default settings.
• /D sets the default installation directory ($INSTDIR), overriding InstallDir and InstallDirRegKey. It must be the last parameter used in the command line and must not contain any quotes even if the path contains spaces.
• /NCRC disables the CRC check. We recommend against using this flag.

/EXTRACOMPONENTS comma separated list of optional components to install. The following extcap binaries are supported.

• androiddump — Provide interfaces to capture from Android devices
• ciscodump — Provide interfaces to capture from a remote Cisco router through SSH
• randpktdump — Provide an interface to generate random captures using randpkt
• sshdump — Provide interfaces to capture from a remote host through SSH using a remote capture binary
• udpdump — Provide a UDP receiver that gets packets from network devices

Running the installer without any parameters shows the normal interactive installer.

2.3.6. Manual Npcap Installation

As mentioned above, the Wireshark installer also installs Npcap. If you prefer to install Npcap manually or want to use a different version than the one included in the Wireshark installer, you can download Npcap from the main Npcap site at https://npcap.com/.

2.3.7. Update Npcap

Wireshark updates may also include a new version of Npcap. Manual Npcap updates instructions can be found on the Npcap web site at https://npcap.com/. You may have to reboot your machine after installing a new Npcap version.

2.3.8. Uninstall Wireshark

You can uninstall Wireshark using the Programs and Features control panel. Select the “Wireshark” entry to start the uninstallation procedure.

The Wireshark uninstaller provides several options for removal. The default is to remove the core components but keep your personal settings and Npcap. Npcap is kept in case other programs need it.

2.3.9. Uninstall Npcap

You can uninstall Npcap independently of Wireshark using the Npcap entry in the Programs and Features control panel. Remember that if you uninstall Npcap you won’t be able to capture anything with Wireshark.

Wireshark за 8 шагов: от установки программы до перехвата и анализа трафика

Предлагаем вам подборку видеороликов, которые помогут быстро начать работу с популярным сниффером Wireshark. Наше руководство содержит ответы на самые часто задаваемые вопросы по этой программе и поможет вам легко сделать первые шаги.

1. Где скачать и как установить Wireshark?

2. Как выглядит интерфейс и с чего начать?

3. Как настроить перехват трафика в Wireshark?

4. Строка инструментов: как выглядит и зачем нужен каждый из инструментов?