Wireshark

Wireshark ist eine freie Software zur Analyse und grafischen Aufbereitung von Datenprotokollen

Beschreibung

Wireshark Logo

Wireshark ( „Draht“, „Kabel“ und Vorlage:Lang „Hai“) ist eine freie Software zur Analyse und grafischen Aufbereitung von Datenprotokollen (Sniffer), die 2006 als Fork des Programms Ethereal (englisch „himmlisch“, „ätherisch“, Anspielung auf Ethernet) entstanden ist.

• Solche Datenprotokolle verwenden Computer auf verschiedensten Kommunikationsmedien wie dem lokalen Netzwerk, Bluetooth oder USB.
• Das Netzwerk-Analyse-Tool kann Administratoren, Netzwerk-Experten und Sicherheits-Experten bei der Suche nach Netzwerkproblemen, der Ermittlung von Botnet-Verbindungen oder beim Netzwerk-Management behilflich sein.

Wireshark zeigt bei einer Aufnahme sowohl den Protokoll-Kopf als auch den übertragenen Inhalt an.

• Das Programm stützt sich bei der grafischen Aufbereitung auf die Ausgabe von kleinen Unterprogrammen wie pcap oder usbpcap, um den Inhalt der Kommunikation auf dem jeweiligen Übertragungsmedium mitzuschneiden.

• Datenprotokolle verwenden Computer auf verschiedensten Kommunikationsmedien wie dem lokalen Netzwerk, Bluetooth oder USB.
• Hilft bei der Suche nach Netzwerkproblemen, der Ermittlung von Botnet-Verbindungen oder beim Netzwerk-Management.
• Wireshark zeigt bei einer Aufnahme sowohl den Protokoll-Kopf als auch den übertragenen Inhalt an.
• Das Programm stützt sich bei der grafischen Aufbereitung auf die Ausgabe von kleinen Unterprogrammen wie pcap oder usbpcap.
• Der Inhalt der Kommunikation auf dem jeweiligen Übertragungsmedium wird mitgeschnitten.

Wikipedia

• Hersteller = Wireshark-Community
• Betriebssystem = Unix, Linux, Solaris, Mac, Windows und diversen BSD-Versionen
• Programmiersprache = C
• Lizenz = GPL (freie Software)

Technische Details

Das Werkzeug Wireshark stellt entweder während oder nach der Aufzeichnung von Datenverkehr einer Netzwerk-Schnittstelle die Daten in Form einzelner Pakete dar.

• Dabei werden die Daten übersichtlich mit entsprechend auf die jeweiligen Protokolle angepassten Filtern aufbereitet.
• So kann der Inhalt der mitgeschnittenen Pakete betrachtet oder nach diesem gefiltert werden.
• Wireshark kann auch Statistiken zum Datenfluss erstellen oder über spezielle Filter gezielt binäre Inhalte wie Bilder u. a. extrahieren.

Als Netzwerkschnittstellen, deren Datenverkehr analysiert werden kann, sind primär Ethernet mit den verschiedenen Internetprotokollfamilien wie TCP/IP zu nennen.

• Darüber hinaus kann Wireshark auch drahtlosen Datenverkehr im Wireless Local Area Network (WLAN) und Bluetooth-Verbindungen aufzeichnen und analysieren. Über entsprechende Module lassen sich weitere übliche Schnittstellen wie USB in Wireshark integrieren. Unter Windows zeichnet Wireshark den Datenverkehr ab Version 3.0 transparent mit Hilfe von Npcap auf.
• Bis zur Version 3.0 wurde WinPcap verwendet.
• Voraussetzung dafür ist immer, dass der jeweilige Rechner, auf dem Wireshark betrieben wird, über die entsprechenden physischen Schnittstellen verfügt und der Benutzer entsprechende Zugriffsberechtigungen auf diese Schnittstellen hat.

Neben der grafischen Wireshark-Version gibt es das auf demselben Netzwerkcode basierende Tshark, das über Kommandozeilen-Optionen gesteuert wird.

• Für beide Versionen wurde das Aufzeichnungsformat der Messdaten von tcpdump entlehnt bzw. übernommen.
• Gleichwohl kann Wireshark zusätzlich die Formate anderer LAN-Analyzer einlesen.

Besondere Leistungsmerkmale

Wireshark fügt bei verschiedenen Protokollen Metainformationen zu Paketen hinzu, die sich nur aus dem Kontext des Datenflusses ergeben.

• So wird zu SMB-Paketen, die aus Operationen in Windows-Dateifreigaben stammen, der Datei- bzw. Verzeichnisname hinzugefügt, wenn das Öffnen der Datei mit aufgezeichnet wurde.
• Diese speziellen Filter und Protokollmodule kann der Benutzer auch selber erstellen, um zum Beispiel selbst entworfene Übertragungsprotokolle mittels Wireshark effizient untersuchen zu können.

Anwendungen

Filter

Display-Filter

Netzwerkverkehr aufzeichnen, filtern und auswerten.

• Zeigt nur STMP (Port 25) und ICMP-Traffic

• Schaltfläche ...mit diesem Filter: wird der Filter eingegeben, mit dem gesucht werden soll.
• Anschließend die gewünschte (aktive) Verbindung auswählen.
• Die Aufzeichnung der Datenübertragung starten.
• Die Aufzeichnung läuft und Wireshark zeigt in einem Statusfenster die Anzahl der aufgezeichneten Frames (Captured Packets) an.

• Datenübertragung stoppen.

Filter

Filtern

• Das wichtigste Instrument zum Auswerten von Traces sind Filter.
• Mit Filtern wird die Anzeige auf die interessanten Frames eingeschränkt.
• Um nur noch Traffic von und zu unserer eigenen IP-Adresse zu sehen, geben wir im Eingabefeld Filter von Wireshark folgenden Ausdruck ein:

ip.addr == 192.168.1.2

• Als IP-Adresse setzen wir die IP-Adresse des Sniffers ein, also unsere eigene.
• Wireshark zeigt nun nur noch Frames an, die diese Filterbedingung erfüllen.
• Mit der Schaltfläche Clear kann die Filterbedingung gelöscht werden.

Filter erweitern

ICMP-Pakete

• Anzeige weiter einschränken:
  • Nur der Traffic des Ping-Kommandos ist interessant.
  • Ping nutzt ein Protokoll namens ICMP.
  • Filterbedingung entsprechend erweitern:

ip.addr == 192.168.1.2 && icmp

• Mit dem Operator && werden die einzelnen Filterbedingungen UND-verknüpft.
• icmp schränkt die Anzeige auf das Protokoll ICMP ein
• In der Anzeige sind jetzt nur noch ICMP-Pakete unserer eigenen IP-Adresse zu sehen.

Testdaten erzeugen

Beispiel

• Ping auf den Host www.google.de
• In einer Shell oder Eingabeaufforderung das Kommando ping www.google.de eingeben.

$ ping www.google.de
Ping www.google.de [66.249.93.104] mit 32 Bytes Daten:
Antwort von 66.249.93.104: Bytes=32 Zeit=76ms TTL=243
Antwort von 66.249.93.104: Bytes=32 Zeit=77ms TTL=243
Antwort von 66.249.93.104: Bytes=32 Zeit=75ms TTL=244
Antwort von 66.249.93.104: Bytes=32 Zeit=75ms TTL=243
Ping-Statistik für 66.249.93.104:
    Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
Ca. Zeitangaben in Millisek.:
    Minimum = 75ms, Maximum = 77ms, Mittelwert = 75ms

• Jetzt halten wir die Datenaufzeichnung im Wireshark mit der Schaltfläche Stop an.
• Wireshark bereitet die aufgezeichneten Frames nun auf und zeigt sie an.
• Da beim Aufzeichnen keinen Filter gesetzt wurde, ist sämtlicher Netzwerkverkehr mitgeschnitten worden.

Links

Weblinks

1. https://de.wikipedia.org/wiki/Wireshark
2. http://www.nwlab.net/tutorials/wireshark
3. Netzwerkanalyse mit Wireshark – Admin-Magazin, aus der Ausgabe 05/2011
4. Analyse mit tcpdump/wireshark – Butschek.de, am 24. April 2009
5. Wireshark – günstige Sniffer-Alternative – Computerwoche, am 11. Oktober 2006
6. Ethereal (Wireshark) Tutorial – Seite bei Easy-Network
7. Wireshark Tutorial Teil 1 – Seite bei Network Lab
8. Wireshark-Homepage
9. Packetyzer – alternative Oberfläche für Ethereal (Windows)

Projekt-Homepage

1. https://www.wireshark.org

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5