Wireshark est une application gratuite que vous utilisez pour capturer et afficher les données qui vont et viennent sur votre réseau. Il offre la possibilité d'analyser et de lire le contenu de chaque paquet et est filtré pour répondre à vos besoins spécifiques. Il est couramment utilisé pour résoudre les problèmes de réseau et pour développer et tester des logiciels. Cet analyseur de protocole à code source ouvert est largement reconnu comme le standard de l'industrie, remportant sa juste part de récompenses au fil des ans.
Connu à l'origine sous le nom d'Ethereal, Wireshark possède une interface conviviale permettant d'afficher des données provenant de centaines de protocoles différents sur tous les principaux types de réseaux. Les paquets de données peuvent être visualisés en temps réel ou analysés hors ligne. Wireshark prend en charge des dizaines de formats de fichiers de capture / trace pris en charge, notamment CAP et ERF. Les outils de décryptage intégrés vous permettent de visualiser les paquets cryptés pour plusieurs protocoles populaires, notamment WEP et WPA / WPA2.
01 sur 07Téléchargement et installation de Wireshark
Wireshark peut être téléchargé gratuitement sur le site Web de la Fondation Wireshark pour les systèmes d'exploitation macOS et Windows. Sauf si vous êtes un utilisateur expérimenté, il est recommandé de ne télécharger que la dernière version stable. Au cours du processus d’installation de Windows, vous devez choisir d’installer WinPcap si vous y êtes invité, car il inclut une bibliothèque nécessaire à la capture de données en direct.
L'application est également disponible pour Linux et la plupart des autres plates-formes similaires à UNIX, notamment Red Hat, Solaris et FreeBSD. Les fichiers binaires requis pour ces systèmes d'exploitation se trouvent au bas de la page de téléchargement dans la section Packages tiers. Vous pouvez également télécharger le code source de Wireshark à partir de cette page.
Comment capturer des paquets de données
Lorsque vous lancez Wireshark pour la première fois, un écran de bienvenue contenant une liste des connexions réseau disponibles sur votre appareil actuel apparaît. Dans cet exemple, vous remarquerez que les types de connexion suivants sont affichés: Connexion réseau Bluetooth, Ethernet, Réseau hôte uniquement VirtualBox et Wi-Fi. Un graphique en courbes de type EKG représentant le trafic en direct sur ce réseau est affiché à droite de chacun d'eux.
Pour commencer à capturer des paquets, sélectionnez un ou plusieurs réseaux en cliquant sur votre choix et en utilisant le bouton Décalage ou Ctrl touches si vous souhaitez enregistrer des données de plusieurs réseaux simultanément. Une fois qu'un type de connexion est sélectionné à des fins de capture, son arrière-plan est ombré en bleu ou en gris. Cliquer sur Capturer dans le menu principal situé vers le haut de l'interface Wireshark. Lorsque le menu déroulant apparaît, sélectionnez le Début option.
Vous pouvez également lancer la capture de paquets via l’un des raccourcis suivants.
- Clavier: PresseCtrl + E.
- Souris: Pour commencer à capturer des paquets d'un réseau particulier, double-cliquez sur son nom.
- Barre d'outils: Cliquez sur le bouton d'aileron de requin bleu situé à l'extrême gauche de la barre d'outils Wireshark.
Le processus de capture en direct commence et Wireshark affiche les détails du paquet au fur et à mesure de leur enregistrement. Pour arrêter de capturer:
- Clavier: presse Ctrl + E
- Barre d'outils: Cliquez sur le rouge Arrêtez bouton situé à côté de l'aileron de requin dans la barre d'outils Wireshark.
Affichage et analyse du contenu d'un paquet
Après avoir enregistré certaines données du réseau, il est temps d'examiner les paquets capturés. L'interface de données capturée contient trois sections principales: le volet de la liste des paquets, le volet des détails du paquet et le volet des octets de paquet.
Liste de paquets
Le volet de la liste des paquets, situé en haut de la fenêtre, affiche tous les paquets trouvés dans le fichier de capture actif. Chaque paquet a sa propre ligne et le numéro correspondant qui lui est attribué, avec chacun de ces points de données.
- Temps: L'horodatage du moment où le paquet a été capturé est affiché dans cette colonne. Le format par défaut est le nombre de secondes ou de secondes partielles depuis la création de ce fichier de capture spécifique. Pour modifier ce format en quelque chose de plus utile, tel que l’heure réelle de la journée, sélectionnez l’option Format d'affichage de l'heure option de Wireshark Vue menu situé en haut de l'interface principale.
- La source: Cette colonne contient l'adresse (IP ou autre) à l'origine du paquet.
- Destination: Cette colonne contient l'adresse à laquelle le paquet est envoyé.
- Protocole: Le nom de protocole du paquet, tel que TCP, peut être trouvé dans cette colonne.
- Longueur: La longueur du paquet, en octets, est affichée dans cette colonne.
- Info: Des détails supplémentaires sur le paquet sont présentés ici. Le contenu de cette colonne peut varier considérablement en fonction du contenu du paquet.
Lorsqu'un paquet est sélectionné dans le volet supérieur, vous pouvez remarquer qu'un ou plusieurs symboles apparaissent dans la première colonne. Les crochets ouverts ou fermés et une ligne droite horizontale indiquent si un paquet ou un groupe de paquets fait tous partie de la même conversation dans les deux sens sur le réseau. Une ligne horizontale interrompue signifie qu'un paquet ne fait pas partie de ladite conversation.
Détails du paquet
Le volet de détails, situé au milieu, présente les protocoles et les champs de protocole du paquet sélectionné dans un format compressible. Outre le développement de chaque sélection, vous pouvez appliquer des filtres Wireshark individuels en fonction de détails spécifiques et suivre des flux de données en fonction du type de protocole via le menu contextuel des détails, accessible en cliquant avec le bouton droit de la souris sur l'élément de votre choix dans ce volet.
Octets de paquets
En bas se trouve le volet des octets de paquet, qui affiche les données brutes du paquet sélectionné dans une vue hexadécimale.Ce vidage hexadécimal contient 16 octets hexadécimaux et 16 octets ASCII à côté du décalage de données.
La sélection d'une partie spécifique de ces données met automatiquement en surbrillance la section correspondante dans le volet d'informations sur le paquet et inversement. Tous les octets qui ne peuvent pas être imprimés sont à la place représentés par un point.
Vous pouvez choisir d'afficher ces données au format bit, par opposition à hexadécimal, en cliquant avec le bouton droit de la souris dans le volet et en sélectionnant l'option appropriée dans le menu contextuel.
04 de 07Utilisation de filtres Wireshark
L'une des fonctionnalités les plus importantes de Wireshark est sa capacité de filtrage, en particulier lorsque vous traitez avec des fichiers de taille importante. Les filtres de capture peuvent être définis avant le fait, demandant à Wireshark d'enregistrer uniquement les paquets répondant aux critères spécifiés.
Les filtres peuvent également être appliqués à un fichier de capture déjà créé afin que seuls certains paquets soient affichés. Celles-ci sont appelées filtres d'affichage.
Wireshark fournit par défaut un grand nombre de filtres prédéfinis, ce qui vous permet de réduire le nombre de paquets visibles en quelques clics ou clics de souris. Pour utiliser l’un de ces filtres existants, placez son nom dans le champ Appliquer un filtre d'affichage champ de saisie situé directement sous la barre d’outils Wireshark ou dans le Entrez un filtre de capture champ de saisie situé au centre de l'écran d'accueil.
Il y a plusieurs façons d'y parvenir. Si vous connaissez déjà le nom de votre filtre, tapez-le dans le champ approprié. Par exemple, si vous souhaitez uniquement afficher les paquets TCP, vous tapez tcp. La fonctionnalité de saisie semi-automatique de Wireshark affiche les noms suggérés au début de la frappe, ce qui facilite la recherche du moniker correct pour le filtre recherché.
Une autre façon de choisir un filtre consiste à cliquer sur l'icône en forme de marque-page située à gauche du champ de saisie. Ceci présente un menu contenant certains des filtres les plus couramment utilisés ainsi qu'une option pour Gérer les filtres de capture ou Gérer les filtres d'affichage. Si vous choisissez de gérer l'un ou l'autre type, une interface apparaît, vous permettant d'ajouter, de supprimer ou de modifier des filtres.
Vous pouvez également accéder aux filtres précédemment utilisés en sélectionnant la flèche vers le bas à droite du champ de saisie pour afficher une liste déroulante d'historique.
Une fois définis, les filtres de capture sont appliqués dès que vous commencez à enregistrer le trafic réseau. Pour appliquer un filtre d'affichage, vous cliquez sur le bouton en forme de flèche à droite situé à l'extrême droite du champ de saisie.
05 de 07Règles de couleur
Bien que les filtres de capture et d'affichage de Wireshark vous permettent de limiter le nombre de paquets enregistrés ou affichés à l'écran, sa fonctionnalité de colorisation va encore plus loin en facilitant la distinction entre différents types de paquets en fonction de leur teinte. Cette fonctionnalité pratique vous permet de localiser rapidement certains paquets dans un ensemble sauvegardé par leur couleur de rangée dans le volet de liste des paquets.
Wireshark est livré avec environ 20 règles de coloration par défaut intégrées, chacune pouvant être modifiée, désactivée ou supprimée si vous le souhaitez. Vous pouvez également ajouter de nouveaux filtres basés sur les nuances via l’interface de règles de coloration, accessible depuis le Vue menu. En plus de définir un nom et des critères de filtrage pour chaque règle, il vous est également demandé d'associer une couleur d'arrière-plan et une couleur de texte.
La colorisation des paquets peut être activée ou désactivée via le Coloriser la liste de paquets option, également trouvée dans le Vue menu.
06 de 07Statistiques
Outre les informations détaillées sur les données de votre réseau affichées dans la fenêtre principale de Wireshark, plusieurs autres statistiques utiles sont disponibles via le bouton Statistiques menu déroulant situé vers le haut de l'écran. Celles-ci incluent des informations de taille et de synchronisation sur le fichier de capture proprement dit, ainsi que des dizaines de graphiques et de graphiques allant de la répartition des conversations par paquets à la répartition de la charge des demandes HTTP.
Les filtres d'affichage peuvent être appliqués à bon nombre de ces statistiques via leurs interfaces et les résultats peuvent être exportés vers plusieurs formats de fichiers courants, notamment CSV, XML et TXT.
07 de 07Fonctionnalités avancées
En plus des fonctionnalités principales de Wireshark, cet outil puissant, généralement réservé aux utilisateurs avancés, propose un ensemble de fonctionnalités supplémentaires. Cela inclut la possibilité d'écrire vos propres dissecteurs de protocoles dans le langage de programmation Lua.
