Главное рабочее окно программы
После выбора интерфейса и запуска захвата PDU программа вызовет окно, показанное на рис. 10.13.
|
Рис.10 13. Окно отображения захваченного трафика. |
Функционал отмеченных черными цифрами областей:
Меню программы и панель инструментов (рис. 10.14), предоставляющая доступ к наиболее часто используемым функциям программы
Фильтр, позволяющий производить выборочный захват пакетов
Поле списка PDU, в котором отображается информация по всем захваченным пакетам
Информационное поле, в котором отображается подробная информация по выбранному PDU
Поле, в котором отображаются данные, выделенные в информационном поле в шестнадцатеричной и текстовой формах
|
Рис.10.14. Панель инструментов |
Таблица 10 |
|
Фильтр. Построение фильтров
Фильтр позволяет настроить программу Wireshark на отображение только определённого, удовлетворяющего условиям текущего примененного фильтра сетевого трафика. Фильтр может применяться как при захвате трафика в реальном времени, так и при анализе захвата, сохранённого в файле.
|
Рис.10.15. Панель фильтра |
Таблица 11 |
|
Для применения фильтра необходимо ввести фильтр в поле ввода и нажать кнопку «Apply».
Если фильтр введён в соответствии с правилами построения фильтров, то цвет поля ввода будет зелёным, если фильтр введён с ошибкой – красным (Рис. 10.16).
а) |
б) |
Рис.10.16. Фильтр введен а) правильно, б) с ошибкой. |
|
Фильтрацию, применяемую в программе Wireshark можно условно разделить на две категории:
• Фильтрация по определённым протоколам.
• Фильтрация по определённым значениям полей в заголовках протоколов.
Для применения фильтрации по определённому протоколу необходимо ввести имя протокола в поле ввода фильтра.
Пример выполнения фильтрации по протоколу HTTP показан на рисунках 10.17 и 10.18.
|
Рис. 10.17. Вывод программы до применения фильтра. |
|
Рис. 10.18. Вывод программы после применения фильтра. |
Фильтрация по определённому значению поля в заголовках протоколов строится по следующему синтаксису:
"Поле", "Оператор сравнения", "Значение".
Операторы сравнения и некоторые обозначения полей, которые могут использоваться при построении фильтров, представлены в таблицах 12 и 13.
Таблица 12
Обозначения полей при построении фильтров
Поле |
Описание |
eth.addr |
физический адрес источника или получателя в кадре протокола Ethernet |
eth.dst |
физический адрес получателя в кадре протокола Ethernet |
eth.src |
физический адрес источника в кадре протокола Ethernet |
eth.len |
длина кадра протокола Ethernet |
ip.addr |
сетевой адрес источника или получателя в пакете протокола IP |
ip.dst |
сетевой адрес получателя в пакете протокола IP |
ip.src |
сетевой адрес источника в пакете протокола IP |
ip.proto |
обозначение протокола, который был инкапсулирован в пакет IP |
tcp.ack |
подтверждение (ACK) протокола TCP |
tcp.port |
порт источника или получателя в сегменте протокола TCP |
tcp.dstport |
порт получателя в сегменте протокола TCP |
tcp.scrport |
порт источника в сегменте протокола TCP |
udp.port |
порт источника или получателя в сегменте протокола UDP |
udp.dstport |
порт получателя в сегменте протокола UDP |
udp.scrport |
порт источника в сегменте протокола UDP |
dns.qry.name |
имя сетевого ресурса в DNS-запросе |
dns.resp.name |
имя сетевого ресурса в DNS-ответе |
Таблица 13
Операторы сравнения
Оператор |
Значение |
Примеры |
|
= = |
eq |
равно |
ip.addr= =192.168.1.1 отображать только те пакеты протокола IP, в которых сетевой адрес отправителя или получателя равен 192.168.1.1
eth.dst= =ff:ff:ff:ff:ff:ff отображать только широковещательные (broadcast) кадры протокола Ethernet |
!= |
ne |
неравно |
ip.dst!=255.255.255.255 не отображать широковещательные (broadcast) пакеты протокола IP |
> |
gt |
больше |
tcp.dstport>10000 отображать только те сегменты протокола TCP, в которых порт получателя больше 10000 |
< |
lt |
меньше |
tcp.dstport<1024 отображать только те датаграммы протокола UDP, в которых порт получателя меньше 1024 |
При построении фильтра можно использовать два и более условия, используя логические операторы. Комбинирование условий при построении операторов производится по следующему принципу: «условие1, логический оператор, условие2, логический оператор».
Таблица 14
Логические операторы
Оператор |
Значение |
Примеры |
|
&& |
and |
И |
ip.src= =192.168.1.1 && ip.dst= =192.168.1.10 отображать только сообщения, отправленные устройством с сетевым адресом 192.168.1.1 для устройства с сетевым адресом 192.168.1.10 |
|| |
or |
ИЛИ |
eth.dst= =ff.ff.ff.ff.ff.ff || ip.dst= =255.255.255.255 отображать только широковещательные кадры протокола Ethernet или пакеты протокола IP |
! |
not |
НЕ (отрицание) |
!arp не отображать PDU протокола ARP |