Wireshark

Analizador de protocolos de redes de comunicaciones.

• Web oficial

Mediante el paquete wireshark-qt.

Después añadimos nuestro usuario al grupo:

sudo usermod -aG wireshark "<USUARIO>"

Podemos comprobar que se ha añadido con:

$ getent group wireshark
wireshark:x:150:<USUARIO>

Tendremos que cerrar sesión para que se aplique o ejecutar:

newgrp wireshark

En la sección central, bajo “Frame” está:

1. Frame (capa 2). Por ejemplo, Ethernet II
2. Paquete (capa 3). Por ejemplo, IPv4
3. Segmento (capa 4). Por ejemplo, TCP
4. Protocolo de aplicación (capas 7, 6 y 5 combinadas). Por ejemplo, HTTP.

Al usar Wireshark estamos poniendo la tarjeta de red en modo promiscuo, es decir, recibiremos el tráfico de todos los dispositivos de la red en lugar de capturar los dirigidos e enviados desde el equipo que tiene Wireshark.

En redes, una trama (frame) es una unidad de envío de datos. Es una serie sucesiva de bits, organizados en forma cíclica, que transportan información y que permiten en la recepción extraer esta información. Viene a ser el equivalente de paquete de datos o Paquete de red, en el Nivel de red del modelo OSI.

El tipo de frame más habitual es Ethernet II

Si nos referimos al modelo OSI, utilizamos la siguiente terminología:

• Frame en capa 2 (enlace)
• Paquete en capa 3 (red)
• Segmento en capa 4 (transporte)

La capa 1 del modelo OSI (capa física) no se muestra en Wireshark.

ip.src==192.168.0.20

Ping:

icmp

ARP:

arp

DNS:

dns

HTTP:

http

ip.src==192.168.0.20 and ip.dst==192.168.0.1

Con una herramienta como https://www.netresec.com/?page=networkminer1NetworkMiner podemos tratar de forma más cómoda un fichero .pcap obtenido mediante Wireshark.