Wireshark

Mario Arturo Prez Rangel 26/11/2008

Antecedentes
BSD packet filter tcpdump ethereal

Antecedentes
Wireshark es el sucesor de
ethereal

tcpdump, ethereal y wireshark

estan basados en pcap.

Pcap
Biblioteca para captura de paquetes Abstrae la capa de acceso al medio Proporciona rutinas para mirar
el trfico

Pcap
Al interior tiene una mquina
y lenguaje para seleccionar paquetes

Tambin es usado por Net-Pcap

(mdule de perl)

TCP/IP
Ethernet

ARP
RARP IP

Frame de Ethernet

TCP/IP
IP

ICMP
UDP TCP

 Ethernet

TCP/IP

ARP IP

TCP

HTTP
Telnet

UDP

DNS

Formato de paquetes

Puertos TCP/UDP
/etc/services 20: ftp-data 21: ftp 22: ssh 23: telnet 80: http

Puertos TCP/UDP
Puertos crticos 4661-4662: edonkey 6881-6999: bittorrent 6436:Gnutella / Bearshare 6436-6437:LimeWire

Monitoreo con tcpdump

Wireshark
Qu es? Herramienta para captura de paquetes Conjunto de plugins Una interfaz grfica (wireshark-gnome)

Wireshark
Modo grfico (wireshark) Modo texto (tshark) Versiones 1.Linux 2.windows

tshark
Monitoreo en modo texto:
$ tshark

Captura en linea de comando:

$ tshark -w archivo.pcap [-a accion_para_detener] [filtro]

Monitoreo con tshark

 Ejemplos:

tshark

$ tshark -a filesize:1024 \ -w archivo.pcap $ tshark -a duration:60 \ -w archivo.pcap \ tcp port 4661 or \ tcp port 4662 or \ tcp port 4663 or \ tcp port 4664 or \ tcp port 4665

Wireshark
Correr desde la linea
de comandos: $ wireshark

Abriendo un archivo existente

$ wireshark capture.pcap

Wireshark
Captura paquetes por evento
(como tshark)

Nmero de paquetes Nmero de megabytes Nmero de segundos

Wireshark
Empezar la pesca: Ctl-k Capture

Options

Inicio de captura

Botn de paro de wireshark

Filtros de captura
Definir nuestros filtros, ejemplo: Nombre: edonkey Filtro (segun tcpdump):
tcp port 4661 or tcp port 4662 or tcp port 4663 or tcp port 4664 or tcp port 4665

Manejo de filtros

Wireshark

Filtros de la muestra

Teclear el filtro en el cuadro de texto

Presionar enter
Ejemplos: ip.addr==192.168.23.254 ip.addr==192.168.23.11 and tcp.port==80

Filtro por host

Filtro aplicado

Conversaciones
Conversacin es el flujo de paquetes
entre dos hosts

Estadsticas de uso de ancho de banda

por host

En el menu Statistics

Conversations

conversaciones

Endpoints
Estadsticas de uso de ancho de banda
por host

En el menu Statistics

Endpoints

Endpoints

Conversaciones
Revisar un caso en particular
(slo paquetes TCP o UDP)

Boton-derecho del ratn

Follow TCP stream /

Follow UDP stream

Siguiendo una conversacin

conversacin

conversacin

Conclusin
Wireshark no soluciona todo Pero proporciona una ayuda invaluable
en la deteccin de problemas en una red

Gracias