[PL] Z cyklu każdy wie a mało kto używa - Wireshark tips #1
Wireshark to dość potężne narzędzie niestety w wielu przypadkach użytkownicy często zapominają o kilku fajnych dodatkach:
Podążaj za strumieniem a dojdziesz do celu.
Wireshark ma możliwość wyłuskania konkretnych pakietów, które zostały przesłane w obrębie jednego połączenia. Tak więc zamiast aplikować N filtrów, można znaleźć jeden konkretny pakiet i z prawego menu wybrać "Follow TCP Stream". Regułą ta wybiera numer strumienia z wskazanego pakietu i aplikuje odpowiedni filtr: "tcp.stream eq NUMER" (1). Dodatkowo w nowym oknie zostanie otwarty zrzut danych przesłanych w danym strumieniu (2). Za pomocą listy można wybrać, który kierunek komunikacji nas interesuje (3).
Rozwiązywanie PTR w celu łatwiejszej analizy
Zamiast tracić czas na weryfikacje do kogo należy dany adres IP, można zmusić naszego rekina do automatycznego rozwiązywania nazw. Menu (Edit-< Preferences Shift+Ctrl+P), z lewej kolumny wybrać Name Resolution (1) i zaznaczyć Resolve network (IP addresses )(2)
Kreator reguł do kilku rodzajów zapór ogniowych
WireShark za pomocą generatora reguł potrafi nam wygenerować wpisy dla danego typu zapory(2) Jego użycie jest dość proste:) Zaznaczamy wybrany pakiet z menu górnego wybieramy Tool (1) a następnie Firewall ACL Rules. W nowym oknie możemy wybrać rodzaj oprogramowania (2), rodzaj filtru (3) - w tym przypadku adres i numer portu. Na koniec mamy opcję Inbound, Deny (4), które definiują nam typ ruchu i akcję.
Modyfikacja wyświetlanych kolumn
Zamiast wyświetlać konkretny typ protokołu można skorzystać z numeru portu lub ewentualnie dodać nową kolumnę z numerem portu źródłowego/docelowego. Wszystkie te zmiany można ustawić za pomocą Column Preferences.
Kolorowanie/ markowanie złapanych pakietów
WireShark daje nam możliwość dowolnego kolorowania otrzymanych pakietów. [menu View-> Coloring rules] Przykłady pakietów, które możemy pokolorować:
- Zwrotki http o określonych kodach [http.response.code]
- Zapytania o rekord SPF [dns.spf]
- Pakiety z konkretnym user_agentem [http.user_agent]
Tak naprawdę całe kolorowani opiera się na dobraniu odpowiedniego filtru co daje nam bardzo dużą dowolność w przypadku wyłapywania specyficznego typu ruchu.
Powyższe pięć wskazówek to tylko niektóre z opcji, które ułatwiają życie. W kolejnych wpisach postaram się dodać nowe porady, które mogą znacząco ułatwić pracę.