WIRESHARK - Prosty przewodnik - Filtres

Wireshark Filtres
Ostatnia aktualizacja: Mar 16 2008




Outil
Tutorial
Ergonomie
Forum



Szczeg贸艂y Co to jest Wireshark?
Zrzuty ekranu
Wymagania
Instalacja
Uruchamianie WireShark
Platforma
Filtry
Statystyki

Polish Translation by 艁ukasz Nowatkowski



鈿狅笍鈿狅笍鈿狅笍
Please check our website about
attractions in Western Switzerland !! (Please use english translation).

鈿狅笍鈿狅笍鈿狅笍
Merci de consulter notre site sur les
activit茅s 脿 faire en Suisse romande !!


Jak widzimy, Wireshark instaluje i uruchamia si臋 bardzo 艂atwo.

Bardzo cz臋stym problemem podczas uruchamiania Wireshark z jego ustawieniami domy艣lnymi jest wy艣wietlana zbyt du偶a liczba informacji na ekranie i trudno jest w贸wczas odnale藕膰 potrzebne nam informacje.
Za du偶o informacji zabija informacje.

Dlatego filtry s膮 tak wa偶ne. Pomagaj膮 nam wy艣wietla膰 informacj臋, kt贸re nas interesuj膮.

-

-
 
Filtry przechwytywania: U偶ywane do wyboru zapisywanych w logach. S膮 definiowane zanim rozpocznie si臋 przechwytywanie.
Filtry wy艣wietlania: U偶ywane do wyszukiwania informacji wewn膮trz przechwyconych ju偶 danych. Mog膮 by膰 modyfikowane kiedy informacje zosta艂y ju偶 przechwycone.
Wi臋c, czy powinienem u偶ywa膰 filtr贸w przechwytywania czy wy艣wietlania?

Przeznaczenie dw贸ch filtr贸w jest r贸偶ne.
Filtry przechwytywania u偶ywane s膮 jako filtry minimalizuj膮ce rozmiar przechwyconych danych, zapobiegaj膮c tworzeniu za du偶ych plik贸w log贸w.
Filtry wy艣wietlania s膮 mocniejsze (kompleksowe) i pozwalaj膮 wyszukiwa膰 dok艂adnie tych informacji (danych), kt贸re s膮 przez nas po偶膮dane.

Sk艂adnie obu filtr贸w r贸偶ni膮 si臋 od siebie. Przedstawione zostan膮 poni偶ej:



                       1. FILTRY PRZECHWYTYWANIA            2. FFILTRY WY艢WIETLANIA



1. FILTRY PRZECHWYTYWANIA

Sk艂adnia filtr贸w przechwytywania jest taka sama jak w przypadku program贸w u偶ywaj膮cych biblioteki Lipcap (Linux) lub Winpcap (Windows, jak znany TCPdump). Filtry przechwytywania musz膮 by膰 zdefiniowane zanim przechwytywanie zostanie rozpocz臋te. W przypadku filtr贸w wy艣wietlana jest inaczej - one mog膮 by膰 zmieniane p贸藕niej i w ka偶dym momencie podczas zrzucania.

Kolejne kroki umo偶liwiaj膮ce konfiguracj臋 filtr贸w przechwytywania, poni偶ej:
- select capture -> options.
- Wype艂nij pole "capture filter" lub kliknij w przycisk "capture filter" aby nada膰 nazw臋 dla filtra aby u偶y膰 go r贸wnie偶 w p贸藕niejszych przechwytywaniach.
- Kliknij w Start aby rozpocz膮膰 przechwytywanie danych.

wireshark capture options

wireshark capture options

Sk艂adnia:
Protocol
Direction
Host(s)
Value
Logical Operations
Other expression
Przyk艂ad:
tcp
dst
10.1.1.1
80
and
tcp dst 10.2.2.2 3128
Protocol (Protok贸艂):
Warto艣ci: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
Je艣li nic nie zostanie zdefiniowane, u偶yte zostan膮 wszystkie wyst臋puj膮ce.

Direction (Kierunek):
Warto艣ci: src, dst, src and dst, src or dst
Je艣li nie zdefiniowane jest 藕r贸d艂o lub przeznaczenie, zostanie zastosowane "src or dst".
Np.: "host 10.2.2.2" jest to偶same z "src or dst host 10.2.2.2".

Host(s) (Maszyna g艂贸wna):
Valeurs: net, port, host, portrange
Si aucun h么te n'est sp茅cifi茅, le mot clef "host" est utilis茅.
Par exemple, "src 10.1.1.1" est 茅quivalent 脿 "src host 10.1.1.1".

Logical Operations (Operacje logiczne):
Warto艣ci: not, and, or.
Negacja [Logiczne "nie"] ("not") ma najwy偶sz膮 warto艣膰. Nast臋pstwo [Logiczne "lub"] ("or") oraz powi膮zanie [logiczne "i"] ("and") s膮 r贸wne sobie i 艂膮cz膮 si臋 z lewej do prawej.
Np.:
"not tcp port 3128 and tcp port 23" jest to偶same z "(not tcp port 3128) and tcp port 23".
"not tcp port 3128 and tcp port 23" jest r贸偶ne od "not (tcp port 3128 and tcp port 23)".



Przyk艂ady:

tcp dst port 3128
Wy艣wietla pakiety przesy艂ane do portu TCP 3128.

ip src host 10.1.1.1
Wy艣wietla pakiety z 藕r贸d艂owego adresu IP 10.1.1.1.

host 10.1.2.3
wy艣wietla pakiety z 藕r贸d艂owego lub docelowego adresu IP 10.1.2.3.

src portrange 2000-2500
Wy艣wietla pakiety z 藕r贸d艂owych port贸w UDP lub TCP o zakresie 2000-2500.

not imcp
Wy艣wietla wszystko za wyj膮tkiem pakiet贸w icmp (icmp jest typowo u偶ywany przez polecenie 'ping')

src host 10.7.2.12 and not dst net 10.200.0.0/16
Wy艣wietla pakiety ze 藕r贸d艂owego adresu IP 10.7.2.12, kt贸re nie s膮 przeznaczone dla sieci IP 10.200.0.0/16.

(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8
Wy艣wietla adresu ze 藕r贸d艂owego adresu IP 10.4.1.12 lub sieci 10.6.0.0/16, koncentruj膮c si臋 na pakietach przeznaczonych dla port贸w TCP 200 do 10000 i docelowej sieci IP 10.0.0.0/8.



Uwagi:

Znak "\" jest u偶ywany je艣li s艂owo kluczowe u偶yte jest jako warto艣膰.
"ether proto \ip" (jest to偶same z "ip").
To b臋dzie celem protoko艂贸w IP.

"ip proto \icmp" (jest to偶same z "icmp").
To b臋dzie celem dla pakiet贸w icmp u偶ywanych przez ping.

Warto艣膰 "multicast" i "broadcast" mog膮 by膰 u偶ywane po "ip" lub "ether".
"no broadcast" jest przydatne w贸wczas gdy chcemy wykluczy膰 zapytania broadcastowe.



Sprawd藕 Stron臋 manuala TCPdump w celu uzyskania informacji dotycz膮cych sk艂adni filtr贸w przechwytywania.
Inne przyk艂ady znajdziesz na stronie Wiki Wireshark.

Na pocz膮tek strony



2. FILTRY WY艢WIETLANIA:

Filtry wy艣wietlania s艂u偶膮 do wyszukiwania danych wewn膮trz zrzuconych z pomoc膮 filtr贸w przechwytywania pakiet贸w.
Mo偶liwo艣ci tych filtr贸w s膮 znacznie rozszerzone ni偶 wcze艣niejszych. Definiuj膮c je nie musimy uruchamia膰 ponownie przechwytywania.

Sk艂adnia: Protocol.
String 1
.
String 2
Comparison operator
Value
Logical Operations
Other expression
Przyk艂ad:
ftp
passive
ip
==
10.2.3.4
xor
icmp.type
Protocol (Protok贸艂):

Dost臋pna jest du偶a liczba protoko艂贸w zlokalizowana jest pomi臋dzy warstwami 2 i 7 modelu OSI. Widoczne s膮 one je艣li wybierzemy przycisk "Expression..." w oknie g艂贸wnym.
Przyk艂adami s膮: IP,TCP,DNS,SSH

wireshark filter expression

wireshark filter expression

Wspierane protoko艂y z ma艂ym opisem mog膮 by膰 sprawdzone, jak poni偶ej:

wireshark supported protocols

wireshark supported protocols

Stona projektu Wireshark wyja艣nia znaczenie protoko艂贸w i ich podkategorii.

String1, String2 (Ustawienia opcjonalne):

Kategorie podprotoko艂贸w wewn膮trz protoko艂u.
W celu ich znalezienia nale偶y rozwi膮膰 w艂a艣ciwo艣ci protoko艂u klikaj膮c w "+".

wireshark filter expression

Comparison operators (Por贸wnanie operator贸w): :

Dost臋pne jest por贸wnanie sze艣ciu:

Format angielski:  Format w stylu C:  Znaczenie:
eq 
== 
Jest r贸wne (equal)
ne
!=
Nie jest r贸wne (Not Equal)
gt
>
Wi臋ksze od (Greater than)
lt
<
Mniejsze od (Less than)
ge
>=
Wi臋ksze lib r贸wne (Greater or equal)
le
<=
Mniejsze lub r贸wne (Less or equal)
Logical expressions (Wyra偶enia logiczne):

Format angielski:  Format w stylu C:  Znaczenie:
and
&&
Logical AND (Logiczne "I")
or
||
Logical OR (Logiczne "LUB")
xor
^^
Logical XOR (Logiczne "XOR")
not
!
Logical NOT (Logiczne zaprzeczenie)
Logiczne "XOR", dobrze znane programistom. U偶yte pomi臋dzy dwoma warunkami filtra daje wynik tylko wtedy gdy jeden z dw贸ch warunk贸w jest spe艂niony ale nie dwa jak wyra偶enie "LUB".
Przyk艂ad zastosowania filtra wy艣wietlania:
"tcp.dstport 80 xor tcp.dstport 1025"
Tylko pakiety TCP docelowe na port 80 lub TCP 藕r贸d艂owy port 1025 (ale nie obydwa!) b臋d膮 wy艣wietlane na ekranie jako wynik.



Przyk艂ady:

snmp || dns || icmpWy艣wietla ruch SNMP lub DNS lub ICMP.
ip.addr == 10.1.1.1
Wy艣wietla pakiety pasuj膮ce do adresu 藕r贸d艂owego lub docelowego r贸wnego 10.1.1.1.

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
Wy艣wietla pakiety o adresie 藕r贸d艂owym IP r贸偶nym od 10.1.2.3 lub adresie docelowym IP r贸偶nym od 10.4.5.6.
Innymi s艂owy - wy艣wietlone pakiety posiadaj膮:
Adres 藕r贸d艂owy: wszystko ale 10.1.2.3, docelowy adres: wszystko
i
Adres 藕r贸d艂owy: wszystko, adres docelowy: wszystko ale 10.4.5.6

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
Wy艣wietla pakiety z adresem 偶r贸d艂owym r贸偶nym od 10.1.2.3 i w tym samym czasie z adresem docelowym r贸偶nym od 10.4.5.6
Innymi s艂owy - wy艣wietlone pakiety posiadaj膮:
Adres 藕r贸d艂owy: wszystko ale 10.1.2.3 i adres docelowy: wszystko ale 10.4.5.6

tcp.port == 25 Wy艣wietla pakiety docieraj膮ce lub wychodz膮ce z portu 25.
tcp.dstport == 25Wy艣wietla pakiety TCP z portem docelowym 25.
tcp.flags Wy艣wietla pakiety zawieraj膮ce flag臋 TCP.
tcp.flags.syn == 0x02Wy艣wietla pakiety z flag膮 TCP SYN.
Je艣li skladni filtra jest poprawna, b臋dzie ona pod艣wietlona na zielono, w przeciwnym razie, je艣li b臋dzie b艂臋dna, b臋dzie pod艣wietlona na czerwono.

wireshark display filter exemplePrawid艂owa sk艂adnia
wireshark display filter exempleB艂臋dna sk艂adnia
Dodatkowe informacje dotycz膮ce filtr贸w mo偶na znae藕膰 na oficjalnej stronie Wireshark lub na stronie Wiki.


Na pocz膮tek strony