http://wiki.linuxformat.ru/wiki/index.php?action=history&feed=atom&title=LXF121%3ADrBrown3
LXF121:DrBrown3 - История изменений
2026-05-13T01:17:37Z
История изменений этой страницы в вики
MediaWiki 1.19.20+dfsg-0+deb7u3
http://wiki.linuxformat.ru/wiki/index.php?title=LXF121:DrBrown3&diff=10461&oldid=prev
Crazy Rebel: /* Фильтры отображения */
2010-06-25T05:35:58Z
<p><span dir="auto"><span class="autocomment">Фильтры отображения</span></span></p>
<table class='diff diff-contentalign-left'>
<col class='diff-marker' />
<col class='diff-content' />
<col class='diff-marker' />
<col class='diff-content' />
<tr valign='top'>
<td colspan='2' style="background-color: white; color:black;">← Предыдущая</td>
<td colspan='2' style="background-color: white; color:black;">Версия 05:35, 25 июня 2010</td>
</tr><tr><td colspan="2" class="diff-lineno">Строка 615:</td>
<td colspan="2" class="diff-lineno">Строка 615:</td></tr>
<tr><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>|-</div></td><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>|-</div></td></tr>
<tr><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>| Трафик, имеющий отношение к Windows  </div></td><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>| Трафик, имеющий отношение к Windows  </div></td></tr>
<tr><td class='diff-marker'>−</td><td style="background: #ffa; color:black; font-size: smaller;"><div>| smb || nbns || dcerpc || nbss || dns  </div></td><td class='diff-marker'>+</td><td style="background: #cfc; color:black; font-size: smaller;"><div>| <ins class="diffchange diffchange-inline"><nowiki></ins>smb || nbns || dcerpc || nbss || dns <ins class="diffchange diffchange-inline"></nowiki></ins></div></td></tr>
<tr><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>|}</div></td><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>|}</div></td></tr>
<tr><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>'''LXF'''</div></td><td class='diff-marker'> </td><td style="background: #eee; color:black; font-size: smaller;"><div>'''LXF'''</div></td></tr>
</table>
Crazy Rebel
http://wiki.linuxformat.ru/wiki/index.php?title=LXF121:DrBrown3&diff=10460&oldid=prev
Crazy Rebel: викификация, оформление, иллюстрация
2010-06-25T05:35:11Z
<p>викификация, оформление, иллюстрация</p>
<p><b>Новая страница</b></p><div>==''Wireshark''==<br />
<br />
: '''''Wireshark''''' Интересно, что на самом деле происходит в вашей сети? ''Wireshark'' поможет это выяснить.<br />
<br />
{{Врезка|Заголовок=Спросите разрешения!| Содержание=Если вы хотите запустить ''Wireshark'' в своей корпоративной сети или сети провайдера, наверное, стоит сначала спросить разрешения. Хотя это совершенно пассивная и никуда не вторгающаяся утилита (и в большинстве сетей все равно покажет только «ваши» пакеты),<br />
корпоративная политика может запрещать применение таких средств. Я вас предупредил!|Ширина=200px}}<br />
<br />
''Wireshark'' – одна<br />
из моих<br />
любимых<br />
утилит.<br />
Думаю,<br />
потому,<br />
что с ней можно<br />
делать<br />
открытия.<br />
Я еще помню<br />
то удивление,<br />
которое<br />
испытал,<br />
когда попробовал<br />
ее в первый<br />
раз (в те времена<br />
она называлась<br />
''Ethereal''). Наверное,<br />
так же чувствовал<br />
себя<br />
Антоний ван Левенгук,<br />
впервые<br />
заглянув<br />
в микроскоп<br />
и увидев<br />
то, чего<br />
не видел<br />
до него ни один человек.<br />
Пожалуй,<br />
я немного<br />
отвлекся,<br />
но ''Wireshark'' – это, несомненно,<br />
и удобное<br />
средство<br />
диагностики,<br />
и увлекательный<br />
инструмент<br />
для изучения<br />
того,<br />
как все работает.<br />
<br />
{{Врезка|Содержание=[[Изображение:LXF121_42_1.jpg|300px]] Главное окно ''Wireshark''. Все, что вы хотели знать о своей сети, в приятной цветовой гамме.|Ширина=300px}}<br />
<br />
<br />
''Wireshark'' – это утилита,<br />
перехватывающая<br />
сетевой<br />
трафик<br />
с одного<br />
или нескольких<br />
сетевых<br />
интерфейсов.<br />
Можно<br />
задать<br />
набор<br />
правил,<br />
определяющих<br />
интересующие<br />
вас пакеты.<br />
Затем<br />
эти пакеты откладываются<br />
в сторонку<br />
(точнее сказать,<br />
в буфер)<br />
и всесторонне<br />
анализируются.<br />
Перехваченные<br />
пакеты<br />
можно<br />
также<br />
сохранить<br />
в файл и загрузить<br />
из него. Обычно<br />
''Wireshark'' переводит<br />
сетевой<br />
интерфейс<br />
в так называемый<br />
«неразборчивый»<br />
режим<br />
(promiscuous mode) и принимает<br />
все пакеты,<br />
а не только<br />
адресованные<br />
вашему<br />
компьютеру.<br />
Для перевода<br />
в «неразборчивый» режим<br />
нужны<br />
привилегии<br />
суперпользователя,<br />
поэтому<br />
''Wireshark'' обычно<br />
запускается<br />
от имени root.<br />
<br />
Начнем с простого<br />
примера<br />
работы<br />
''Wireshark'': рассмотрим<br />
результат<br />
обращения<br />
к web-странице на сервере<br />
192.168.1.67<br />
из браузера<br />
на клиенте<br />
192.168.1.69. В верхней части изображения<br />
(выделена<br />
зеленым<br />
на рисунке) показан<br />
весь обмен<br />
пакетами.<br />
Каждая<br />
строка<br />
– это один пакет.<br />
Пакеты<br />
с первого<br />
по третий<br />
– открытие<br />
TCP-соединения,<br />
четвертый<br />
– запрос<br />
'''HTTP GET''',<br />
а шестой – ответ<br />
на него. Пакеты<br />
7–10 показывают<br />
завершение<br />
соединения<br />
на обоих<br />
концах.<br />
В колонке<br />
'''Time''' [Время] показано<br />
время,<br />
прошедшее<br />
с захвата<br />
первого<br />
пакета<br />
в секундах.<br />
Оно<br />
пригодится,<br />
например,<br />
для анализа<br />
задержек<br />
из-за тайм-аутов<br />
DNS. В нашем<br />
случае<br />
на это понадобилось менее 3 мс.<br />
<br />
Четвертый<br />
пакет<br />
на рисунке<br />
выделен<br />
для подробного<br />
анализа.<br />
В средней панели мы видим<br />
общую<br />
информацию<br />
о заголовках<br />
внутри<br />
него для каждого<br />
уровня<br />
стека<br />
протоколов.<br />
С помощью<br />
маленьких<br />
стрелок<br />
слева<br />
можно<br />
раскрыть любой<br />
уровень,<br />
показав<br />
его более<br />
подробно.<br />
Мы сделали<br />
это с заголовком<br />
уровня<br />
приложения<br />
– в данном<br />
случае<br />
это HTTP-пакет.<br />
Теперь<br />
мы видим,<br />
что это запрос<br />
'''HTTP GET''', и видим<br />
поля<br />
заголовка<br />
HTTP-запроса.<br />
<br />
В нижней части панели отображается<br />
содержимое<br />
пакета,<br />
байт за байтом,<br />
в шестнадцатеричном<br />
формате<br />
и в ASCII. Подсвеченная<br />
часть показывает<br />
поле<br />
заголовка<br />
HTTP, выделенное<br />
выше<br />
– в данном<br />
случае,<br />
поле<br />
'''Host:'''.<br />
<br />
===Фильтры===<br />
<br />
{{Врезка|Содержание=[[Изображение:LXF121_43_1.jpg|300px]] Редактор выражений фильтров поможет просмотреть<br />
доступные поля и построить выражения фильтров|Ширина=300px}}<br />
<br />
Фильтры – одна из самых мощных<br />
возможностей<br />
''Wireshark''.<br />
Фильтр – это один или несколько<br />
тестов содержимого<br />
пакета,<br />
позволяющих<br />
понять,<br />
интересен<br />
ли он вам. Фильтрация<br />
выполняется<br />
в две стадии.<br />
Фильтры<br />
захвата<br />
определяют<br />
пакеты,<br />
которые<br />
будут<br />
удержаны<br />
в буфере<br />
захвата,<br />
а фильтры<br />
отображения<br />
определяют,<br />
какие<br />
пакеты<br />
будут<br />
показываться.<br />
Язык фильтров<br />
богат,<br />
и фильтровать<br />
можно<br />
практически<br />
по любому<br />
пoлю любого<br />
из протоколов,<br />
что позволяет<br />
сконцентрироваться<br />
на трафике,<br />
который<br />
вам интересен.<br />
<br />
Наблюдательные<br />
читатели<br />
могли<br />
заметить,<br />
какой<br />
фильтр<br />
использовался<br />
в последнем<br />
примере.<br />
Он состоит<br />
из простого<br />
правила<br />
'''not arp''' и используется,<br />
чтобы<br />
подавить<br />
ARP-болтовню<br />
с моего<br />
широкополосного<br />
маршрутизатора.<br />
<br />
Фильтры<br />
могут<br />
оперировать<br />
с заданными<br />
протоколами,<br />
такими<br />
как IP, TCP, UDP, ARP и т. д. Они могут<br />
выполнять<br />
сравнение<br />
на равенство<br />
и неравенство<br />
и числовое<br />
сравнение значений<br />
полей.<br />
Для полей<br />
со строковыми<br />
значениями<br />
можно<br />
анализировать<br />
подстроки<br />
с помощью<br />
оператора<br />
'''contains''' и проверять<br />
их на соответствие<br />
регулярным<br />
выражениям<br />
оператором<br />
'''matches'''. Можно<br />
даже<br />
сравнить содержимое<br />
заданной<br />
части пакета<br />
с помощью<br />
синтаксиса<br />
'''[смещение:длина]'''. Отдельные<br />
условия<br />
можно<br />
объединить<br />
операторами<br />
'''and, not''' и '''or'''. Все это образует<br />
универсальный<br />
и мощный<br />
язык фильтров.<br />
<br />
В ''Wireshark'' есть графическая<br />
утилита,<br />
помогающая<br />
создавать<br />
фильтры<br />
отображения.<br />
Чтобы<br />
запустить<br />
ее, нажмите<br />
на кнопку<br />
'''Expression''' [Выражение] на панели инструментов<br />
'''Filter''' [Фильтр] главного<br />
окна.<br />
На рисунке<br />
с его помощью<br />
определяется<br />
фильтр для отображения<br />
только<br />
тех пакетов,<br />
которые<br />
содержат<br />
код ответа<br />
'''HTTP 404''' («Файл не найден»).<br />
Результирующее<br />
правило<br />
фильтрации:<br />
'''http.response.code == 404'''.<br />
Полей,<br />
по которым<br />
можно<br />
фильтровать,<br />
полным-полно; а как<br />
узнать их имена? Ну, при перемещении<br />
по пакету<br />
в главном<br />
окне<br />
''Wireshark'' имя поля<br />
выбранного<br />
элемента<br />
отображается<br />
в строке<br />
состояния.<br />
Имена<br />
полей<br />
можно<br />
использовать<br />
в выражениях<br />
фильтров.<br />
Вглядевшись<br />
в строку<br />
состояния<br />
первого<br />
экранного<br />
снимка,<br />
вы увидите,<br />
что выбранному<br />
на панели выше<br />
полю<br />
соответствует<br />
'''http.host'''. Полный<br />
список<br />
имеется<br />
на сайте<br />
http://www.wireshark.org/docs/dfref.<br />
<br />
{{Врезка|Содержание=[[Изображение:LXF121_43_2.jpg|300px]] Цветовое правило связывает выражение фильтра с отображаемым цветом. Цвет каждого пакета определяется первым соответствующим ему правилом.|Ширина=300px}}<br />
<br />
В двух таблицах<br />
далее показано<br />
несколько<br />
примеров<br />
фильтров<br />
захвата<br />
и отображения,<br />
способных<br />
дать представление<br />
об их возможностях.<br />
Прежде<br />
чем покончить<br />
с фильтрами,<br />
скажу<br />
пару<br />
слов о последнем<br />
классе,<br />
о котором<br />
нужно<br />
знать: он позволяет<br />
задать<br />
цветовые<br />
правила<br />
для ''Wireshark''. Редактор<br />
цветовых<br />
правил<br />
поможет<br />
создать<br />
новые<br />
правила<br />
(используя<br />
тот же синтаксис,<br />
что и у фильтров)<br />
и цвета<br />
для них, а также<br />
импортировать<br />
или экспортировать<br />
набор<br />
цветовых<br />
правил.<br />
Также<br />
можно<br />
применять пользовательские<br />
цветовые<br />
правила<br />
для подсветки<br />
пакетов<br />
на фоне другого<br />
трафика.<br />
На сайте<br />
http://www.wireshark.org есть набор<br />
готовых<br />
цветовых<br />
правил,<br />
с которых<br />
можно<br />
начать.<br />
<br />
А в окне параметров<br />
захвата<br />
можно<br />
задать<br />
– не ждите призов<br />
за отгадку<br />
– параметры<br />
захвата.<br />
Здесь можно<br />
указать<br />
интерфейс,<br />
пакеты<br />
с которого<br />
будут<br />
захватываться,<br />
переключить<br />
его в «неразборчивый» режим,<br />
задать<br />
фильтр захвата<br />
и установить<br />
предельные<br />
значения<br />
для числа<br />
пакетов,<br />
объема<br />
данных<br />
или времени.<br />
<br />
===Делаем это с командной строки===<br />
<br />
{{Врезка|Содержание=[[Изображение:LXF121_43_3.jpg|300px]] У утилиты командной строки ''Tshark'' те же возможностями по перехвату и фильтрации пакетов, что и у ''Wireshark'', но выглядит она далеко не так приятно.|Ширина=300px}}<br />
<br />
Пакеты<br />
можно<br />
перехватывать<br />
и из командной<br />
строки<br />
с помощью<br />
''Tshark''. Например,<br />
опишем<br />
перехват<br />
ста пакетов<br />
с интерфейса<br />
'''eth0''' в файл '''/tmp/shark.out''', с фильтрацией<br />
ARP-трафика:<br />
<br />
$ sudo tshark -i eth0 -c 100 -w /tmp/shark.out not arp<br />
<br />
(Фильтры ''Tshark'' аналогичны фильтрам ''Wireshark''.) Потом<br />
можно<br />
отобразить<br />
трафик,<br />
прочитав<br />
его командой<br />
<br />
$ tshark -r /tmp/shark.out<br />
<br />
На рисунке<br />
показан<br />
фрагмент<br />
этого<br />
вывода.<br />
Тот же файл<br />
можно<br />
загрузить<br />
в ''Wireshark'', чтобы<br />
просмотреть<br />
его в графическом<br />
виде.<br />
<br />
===За кадром===<br />
<br />
За кадром<br />
''Wireshark'' всю работу<br />
делает<br />
программа<br />
''Dumpcap'', которая,<br />
в свою очередь,<br />
использует<br />
библиотеку<br />
захвата<br />
и фильтрации<br />
пакетов<br />
''Libpcap'', где и находится<br />
настоящий<br />
движок<br />
''Wireshark''.<br />
<br />
Эта библиотека<br />
используется<br />
и другими<br />
утилитами<br />
перехвата<br />
сетевого<br />
трафика:<br />
например,<br />
''Tcpdump'', утилитой<br />
сканирования<br />
портов<br />
''Nmap'', системой<br />
обнаружения<br />
вторжений<br />
''Snort'' и ''Tshark'' – собратом<br />
''Wireshark'', работающим<br />
с командной<br />
строки.<br />
<br />
===Где узнать больше===<br />
<br />
Официальное<br />
описание<br />
синтаксиса<br />
фильтров<br />
можно<br />
найти<br />
на ''man''-странице<br />
''Tcpdump''.<br />
На сайте<br />
http://wiki.wireshark.com также<br />
имеется руководство<br />
пользователя<br />
''Wireshark'', HOWTO,<br />
примеры<br />
цветовых<br />
правил<br />
и правил<br />
фильтрации,<br />
а слишком<br />
уж подробное<br />
руководство<br />
по фильтрам<br />
есть на сайте<br />
http://www.wireshark.org/docs/man-pages/wireshark-filter.html<br />
<br />
===Фильтры захвата===<br />
<br />
{|class=wikitable border=1 cellpadding=5|-<br />
! Чтобы захватить...<br />
! ... используйте фильтр<br />
|-<br />
| Только трафик, идущий от или к заданному IP <br />
| host 192.168.1.44<br />
|-<br />
| Только трафик, идущий от или к заданной подсети<br />
| net 192.168.1.0/24<br />
|-<br />
| Только DNS-трафик (порт 53) <br />
| port 53<br />
|-<br />
| Все, кроме ARP и DNS <br />
| port not 53 and not arp<br />
|}<br />
<br />
===Фильтры отображения===<br />
<br />
{|class=wikitable border=1 cellpadding=5|-<br />
! Чтобы увидеть...<br />
! ... используйте фильтр<br />
|-<br />
| Только трафик между машинами в локальной подсети<br />
| ip.src==192.168.0.0/16 and ip.dst==192.168.0.0/16<br />
|-<br />
| Только трафик от MAC-адресов устройств Dell<br />
| eth.addr[0:3]==00:06:5B<br />
|-<br />
| Только HTTP-запросы с URI, заканчивающимися на foo <br />
| http.request.uri matches “foo$”<br />
|-<br />
| Трафик, имеющий отношение к Windows <br />
| smb || nbns || dcerpc || nbss || dns <br />
|}<br />
'''LXF'''</div>
Crazy Rebel