Cómo usar Wireshark: un tutorial completo

Wireshark es una aplicación gratuita que utiliza para capturar y ver los datos que viajan de un lado a otro en su red. Proporciona la capacidad de profundizar y leer el contenido de cada paquete y se filtra para satisfacer sus necesidades específicas. Se usa comúnmente para solucionar problemas de red y para desarrollar y probar software. Este analizador de protocolo de código abierto es ampliamente aceptado como el estándar de la industria, ganando su justa proporción de premios a lo largo de los años.

Originalmente conocido como Ethereal, Wireshark tiene una interfaz fácil de usar que puede mostrar datos de cientos de protocolos diferentes en todos los tipos de red principales. Los paquetes de datos pueden verse en tiempo real o analizarse fuera de línea. Wireshark admite docenas de formatos de archivos de captura / rastreo, incluidos CAP y ERF. Las herramientas de descifrado integradas le permiten ver paquetes encriptados para varios protocolos populares, incluidos WEP y WPA / WPA2.

01 de 07

Descarga e instalación de Wireshark

Wireshark se puede descargar sin costo desde el sitio web de la Fundación Wireshark para los sistemas operativos macOS y Windows. A menos que sea un usuario avanzado, se recomienda que solo descargue la última versión estable. Durante el proceso de instalación de Windows, debe elegir instalar WinPcap si se le solicita, ya que incluye una biblioteca necesaria para la captura de datos en vivo.

La aplicación también está disponible para Linux y la mayoría de las plataformas similares a UNIX, incluidas Red Hat, Solaris y FreeBSD. Los archivos binarios necesarios para estos sistemas operativos se pueden encontrar en la parte inferior de la página de descarga en la sección Paquetes de terceros. También puede descargar el código fuente de Wireshark desde esta página.

02 de 07

Cómo capturar paquetes de datos

La primera vez que inicie Wireshark, aparecerá una pantalla de bienvenida con una lista de las conexiones de red disponibles en su dispositivo actual. En este ejemplo, notará que se muestran los siguientes tipos de conexión: Conexión de red Bluetooth, Ethernet, Red solo para host de VirtualBox y Wi-Fi. A la derecha de cada una de ellas, se muestra un gráfico lineal de estilo EKG que representa el tráfico en vivo en esa red respectiva.

Para comenzar a capturar paquetes, seleccione una o más de las redes haciendo clic en su elección y usando la Cambio o Ctrl claves si desea grabar datos desde múltiples redes simultáneamente. Después de seleccionar un tipo de conexión para fines de captura, su fondo está sombreado en azul o gris. Haga clic en Capturar en el menú principal ubicado hacia la parte superior de la interfaz de Wireshark. Cuando aparezca el menú desplegable, seleccione comienzo opción.

También puede iniciar la captura de paquetes a través de uno de los siguientes accesos directos.

• Teclado: PrensaCtrl + MI.
• Ratón: Para comenzar a capturar paquetes de una red en particular, haga doble clic en su nombre.
• Barra de herramientas: Haga clic en el botón de aleta de tiburón azul ubicado en el extremo izquierdo de la barra de herramientas de Wireshark.

El proceso de captura en vivo comienza y Wireshark muestra los detalles del paquete a medida que se graban. Para detener la captura:

• Teclado: prensa Ctrl + mi
• Barra de herramientas: Haga clic en el rojo Detener botón ubicado junto a la aleta de tiburón en la barra de herramientas de Wireshark.

03 de 07

Viendo y analizando los contenidos del paquete

Después de grabar algunos datos de la red, es hora de echar un vistazo a los paquetes capturados. La interfaz de datos capturados contiene tres secciones principales: el panel de lista de paquetes, el panel de detalles de paquetes y el panel de bytes de paquetes.

Lista de paquetes

El panel de la lista de paquetes, ubicado en la parte superior de la ventana, muestra todos los paquetes encontrados en el archivo de captura activo. Cada paquete tiene su propia fila y el número correspondiente asignado, junto con cada uno de estos puntos de datos.

• Hora: La marca de tiempo de cuando se capturó el paquete se muestra en esta columna. El formato predeterminado es el número de segundos o segundos parciales desde que se creó por primera vez este archivo de captura específico. Para modificar este formato a algo que pueda ser un poco más útil, como la hora real del día, seleccione Formato de visualización de la hora Opción de Wireshark's Ver Menú ubicado en la parte superior de la interfaz principal.
• Fuente: Esta columna contiene la dirección (IP u otra) donde se originó el paquete.
• Destino: Esta columna contiene la dirección a la que se está enviando el paquete.
• Protocolo: El nombre del protocolo del paquete, como TCP, se puede encontrar en esta columna.
• Longitud: La longitud del paquete, en bytes, se muestra en esta columna.
• Información: Los detalles adicionales sobre el paquete se presentan aquí. El contenido de esta columna puede variar mucho dependiendo del contenido del paquete.

Cuando se selecciona un paquete en el panel superior, puede observar que uno o más símbolos aparecen en la primera columna. Los corchetes abiertos o cerrados y una línea recta horizontal indican si un paquete o un grupo de paquetes forman parte de la misma conversación de ida y vuelta en la red. Una línea horizontal discontinua significa que un paquete no forma parte de dicha conversación.

Detalles del paquete

El panel de detalles, que se encuentra en el centro, presenta los protocolos y los campos de protocolo del paquete seleccionado en un formato plegable. Además de expandir cada selección, puede aplicar filtros Wireshark individuales basados ​​en detalles específicos y seguir flujos de datos basados ​​en el tipo de protocolo a través del menú contextual de detalles, al que puede acceder haciendo clic con el botón derecho del mouse en el elemento deseado en este panel.

Bytes de paquetes

En la parte inferior se encuentra el panel de bytes del paquete, que muestra los datos sin procesar del paquete seleccionado en una vista hexadecimal.Este volcado hexadecimal contiene 16 bytes hexadecimales y 16 bytes ASCII junto con el desplazamiento de datos.

La selección de una parte específica de estos datos resalta automáticamente su sección correspondiente en el panel de detalles del paquete y viceversa. Los bytes que no se pueden imprimir están representados por un punto.

Puede elegir mostrar estos datos en formato de bits en lugar de hexadecimal haciendo clic con el botón derecho en cualquier lugar dentro del panel y seleccionando la opción adecuada en el menú contextual.

04 de 07

Usando los filtros Wireshark

Uno de los conjuntos de funciones más importantes de Wireshark es su capacidad de filtro, especialmente cuando se trata de archivos de tamaño significativo. Los filtros de captura se pueden configurar antes del hecho, indicando a Wireshark que solo grabe aquellos paquetes que cumplan con los criterios especificados.

Los filtros también se pueden aplicar a un archivo de captura que ya se ha creado para que solo se muestren ciertos paquetes. Estos se conocen como filtros de visualización.

Wireshark proporciona una gran cantidad de filtros predefinidos de forma predeterminada, lo que le permite reducir la cantidad de paquetes visibles con solo unas pocas pulsaciones de teclas o clics del mouse. Para usar uno de estos filtros existentes, coloque su nombre en el Aplicar un filtro de visualización campo de entrada ubicado directamente debajo de la barra de herramientas de Wireshark o en la Introduzca un filtro de captura Campo de entrada situado en el centro de la pantalla de bienvenida.

Hay múltiples maneras de lograr esto. Si ya conoce el nombre de su filtro, escríbalo en el campo correspondiente. Por ejemplo, si solo desea mostrar paquetes TCP, escriba tcp. La función de autocompletado de Wireshark muestra los nombres sugeridos a medida que comienza a escribir, lo que facilita la búsqueda del nombre correcto para el filtro que está buscando.

Otra forma de elegir un filtro es hacer clic en el icono similar a un marcador ubicado en el lado izquierdo del campo de entrada. Esto presenta un menú que contiene algunos de los filtros más utilizados, así como una opción para Administrar filtros de captura o Administrar filtros de visualización. Si elige administrar cualquier tipo, aparece una interfaz que le permite agregar, eliminar o editar filtros.

También puede acceder a los filtros utilizados anteriormente seleccionando la flecha hacia abajo en el lado derecho del campo de entrada para mostrar una lista desplegable de historial.

Una vez configurados, los filtros de captura se aplican tan pronto como comienza a registrar el tráfico de la red. Para aplicar un filtro de visualización, haga clic en el botón de flecha hacia la derecha que se encuentra en el extremo derecho del campo de entrada.

05 de 07

Reglas de color

Si bien los filtros de captura y visualización de Wireshark le permiten limitar qué paquetes se graban o muestran en la pantalla, su funcionalidad de colorización lleva las cosas un paso más allá al hacer que sea fácil distinguir entre diferentes tipos de paquetes según su tono individual. Esta práctica característica le permite ubicar rápidamente ciertos paquetes dentro de un conjunto guardado por el color de su fila en el panel de la lista de paquetes.

Wireshark viene con unas 20 reglas de coloración predeterminadas integradas, cada una de las cuales puede editarse, deshabilitarse o eliminarse si lo desea. También puede agregar nuevos filtros basados ​​en sombras a través de la interfaz de reglas de coloración, accesible desde la Ver menú. Además de definir un nombre y criterios de filtro para cada regla, también se le pide que asocie un color de fondo y un color de texto.

La colorización de paquetes se puede activar y desactivar a través de Colorear lista de paquetes Opción, también encontrada en el Ver menú.

06 de 07

Estadística

Además de la información detallada sobre los datos de su red que se muestran en la ventana principal de Wireshark, hay otras métricas útiles disponibles a través de Estadística menú desplegable que se encuentra hacia la parte superior de la pantalla. Estos incluyen información de tamaño y tiempo sobre el archivo de captura en sí, junto con docenas de tablas y gráficos que abarcan desde temas de desglose de conversaciones de paquetes hasta la distribución de carga de solicitudes HTTP.

Los filtros de visualización se pueden aplicar a muchas de estas estadísticas a través de sus interfaces, y los resultados se pueden exportar a varios formatos de archivo comunes, incluidos CSV, XML y TXT.

07 de 07

Características avanzadas

Además de la funcionalidad principal de Wireshark, también hay una colección de características adicionales disponibles en esta poderosa herramienta que generalmente se reserva para usuarios avanzados. Esto incluye la capacidad de escribir sus propios disectores de protocolo en el lenguaje de programación Lua.