Wireshark

Esse artigo tem o objetivo de mostrar as principais funcionalidades do aplicativo Wireshark, e pode ser bastante útil para os iniciantes no mundo das redes de computadores. Aos mais experientes, cabe como artigo para eventuais consultas.

Introdução

Wireshark é um analisador de protocolos de rede para sistemas Unix e Windows. Ele é o mais famoso do mundo (fonte: www.wireshark.org). Com ele podemos capturar interativamente o tráfego que está rodando na rede em um computador. O Wireshark é o padrão utilizado fielmente por muitas empresas e instituições educacionais.

Com ele podemos controlar todos os pacotes da rede que passam pelo computador, filtrando resultados por protocolos ou faixa IP.

Download e instalação

• Para sistemas Fedora, pode-se instalar pelo yum, apenas digitando via linha de comando (logado como root, ou coloque sudo antes):

# yum -y install wireshark

• Para sistemas Ubuntu, pode-se instalar pelo apt-get, apenas digitando via linha de comando (logado como root ou coloque sudo antes):

# apt-get install wireshark

• Para Windows, apenas baixe o instalador e dê 2 cliques!

obs.: Para Windows ou outros sistemas, vá à página http://www.wireshark.org/download.html, onde há todas as plataformas disponíveis para download.

Para executar, em sistemas Linux, apenas digite na linha de comando:

# wireshark

Caso não seja o usuário root, será pedida a senha de root.

Para executar em Windows, procedimento padrão, algo como: Iniciar > Todos os Programas > Wireshark.

Descrição da interface do programa

A imagem abaixo mostra a inteface do Wireshark quando este está capturando pacotes. Do lado esquerdo, está o nome de cada parte, as quais são explicadas logo a baixo.

• Menu de comandos: Como em várias programas com interface gráfica, várias opções de menu estão na parte superior do programa. Para este artigo e conhecimento inicial, os menus File e Capture são os que interessam. Em File podemos salvar uma captura, e em Capture conseguimos iniciar uma captura de pacotes.

• Campo Filter: permite filtrar pacotes de diversas formas. Por exemplo, por protocolo. Podemos colocar http nesse campo que apenas os pacotes http trafegando serão mostrados, os outros serão escondidos.

• Lista de pacotes: Todos os pacotes que passaram pela interface capturada é mostrada nessa janela. Divide-se nos seguintes campos:

1) A primeira coluna, No. é o número do pacote (dado pelo wireshark e não pela rede);
2) A coluna Time é o tempo no qual o pacote foi capturado;
3) Source é o ip de onde veio o pacote;
4) Destination é o ip de destino do pacote;
5) Protocol o protocolo sobre o qual o pacote está trafegando;
6) Info as informações do protocolo.

obs.: pode-se ordenar por qualquer coluna, clicando nessa coluna.

• Detalhes do cabeçalho do pacote selecionado: ao clicar em um pacote na lista de pacotes, essa janela fornece detalhes sobre o cabeçalho desse pacote. Esses detalhes são informações do frame Ethernet e datagrama IP que contém o pacote. Normalmente as RFC's de cada protocolo fornecem explicações sobre quase todos os campos dessa janela.

• Conteúdo do pacote: mostra o conteúdo do frame capturado, em ASCII e hexadecimal.

Capturando um pacote

Para este exemplo, rodaremos o aplicativo myftp.c, que pode ser encontrado em http://200.170.138.251/OpenInnovation/index.php/Open_3G/LTE#Downloads

Esses passos foram realizados em um Fedora release 13 (Goddard), portanto deve funcionar em qualquer sistema Unix.

1 - Pela linha de comando vá ao diretório do myftp.c e execute ele da seguinte forma:

./myftp -H localhost -P 4444 -l

Dessa forma, a máquina de ip localhost ficará esperando novas mensagens na porta 4444.

2 - Em outra linha de comando digite:

./myftp -H localhost -P 5555 -h localhost -p 4444 -s

Dessa forma, a máquina de ip localhost enviará pela porta 5555 mensagens à máquina com ip localhost na porta 4444.

3 - Agora abra o Wireshark;

4 - No Wireshark clique no Menu Capture, e depois Intefaces; Abrirá uma tela parecida com:

5 - Como estamos em uma única máquina, clique no Start da interface lo;

6 - No campo Filter do wireshark, digite sctp e <enter>; Dessa forma apenas pacotes do protoclo sctp serão mostrados;

7 - Vá a linha de comando que está enviando mensagens e digite qualquer mensagem e <enter>;

8 - Vá a linha de comando que está recebendo mensagens e certifique-se que a mensagem digitada chegou corretamente;

9 - Vá ao Wireshark e observe que ele capturou alguns pacotes; Pacotes HEARTBEAT e HEARTBEAT_ACK são as mensagens enviadas que garantes a conexão.

10 - Onde Info for DATA, é o pacote que carregou a sua mensagem SCTP; Vamos explorá-lo;

11 - Clicando no pacote, na Descrição do Cabeçalho podemos ver algumas informações sobre o Frame, como por exemplo tamanho em bytes;

12 - Em Internet Protocol algumas informações sobre a camada IP, que carregou a mensagem;

13 - Em Stream Control Transmission Protocol podemos ver informações do protocolo SCTP; cada campo deste pode ser consultado na RFC 4960;

14 - Por fim o campo Data mostra a mensagem que foi enviada. Observe na figura abaixo que no meu caso enviei a frase "Olá, eu sou o Natal!":

Considerações finais

Esse artigo tem o objetivo de introduzir o Wireshark de forma básica. Para mais informações acessar http://www.wireshark.org/docs/. Os passos acima foram testados em uma única máquina. Mas o autor já testou em 2 máquinas funcionando perfeitamente. Para isso, apenas altere o ip de localhost para o da outra máquina na opção -p. E os -H pode ser necessário alterar de localhost para 0.0.0.0.

Bibliografia

• http://www.wireshark.org/docs/ - Acessado em 15 de março de 2011 às 11:56 hs.

Autor

• Natal Vieira de Souza Neto