5 เคล็ดลับนักฆ่าเพื่อรับประโยชน์สูงสุดจาก Wireshark
Wireshark มีเคล็ดลับค่อนข้างน้อยตั้งแต่การรับส่งข้อมูลระยะไกลไปจนถึงการสร้างกฎไฟร์วอลล์ตามแพ็กเก็ตที่จับ อ่านต่อไปสำหรับเคล็ดลับขั้นสูงเพิ่มเติมหากคุณต้องการใช้ Wireshark อย่างมืออาชีพ.
เราได้ครอบคลุมการใช้งานพื้นฐานของ Wireshark แล้วดังนั้นโปรดอ่านบทความต้นฉบับของเราเพื่อแนะนำเครื่องมือวิเคราะห์เครือข่ายที่ทรงพลังนี้.
การแก้ไขชื่อเครือข่าย
ในขณะที่จับแพ็คเก็ตคุณอาจรำคาญว่า Wireshark แสดงเฉพาะที่อยู่ IP คุณสามารถแปลงที่อยู่ IP เป็นชื่อโดเมนได้ด้วยตัวเอง แต่ไม่สะดวกเกินไป.
Wireshark สามารถแก้ไขที่อยู่ IP เหล่านี้เป็นชื่อโดเมนได้โดยอัตโนมัติแม้ว่าคุณสมบัตินี้จะไม่เปิดใช้งานตามค่าเริ่มต้น เมื่อคุณเปิดใช้งานตัวเลือกนี้คุณจะเห็นชื่อโดเมนแทนที่อยู่ IP ทุกครั้งที่ทำได้ ข้อเสียคือ Wireshark จะต้องค้นหาชื่อโดเมนแต่ละชื่อสร้างมลภาวะทราฟฟิกที่ถูกจับด้วยการร้องขอ DNS เพิ่มเติม.
คุณสามารถเปิดใช้งานการตั้งค่านี้ได้โดยเปิดหน้าต่างการตั้งค่าจาก แก้ไข -> การตั้งค่า, คลิกที่ การแก้ไขชื่อ แผงควบคุมและคลิก“เปิดใช้งานการแก้ไขชื่อเครือข่ายช่องทำเครื่องหมาย.
เริ่มการจับภาพโดยอัตโนมัติ
คุณสามารถสร้างทางลัดพิเศษโดยใช้อาร์กิวเมนต์บรรทัดคำสั่งของ Wirshark หากคุณต้องการเริ่มจับภาพแพ็กเก็ตโดยไม่ชักช้า คุณจะต้องรู้จำนวนอินเทอร์เฟซเครือข่ายที่คุณต้องการใช้ตามลำดับ Wireshark แสดงอินเทอร์เฟซ.
สร้างสำเนาของทางลัดของ Wireshark คลิกขวาไปที่หน้าต่างคุณสมบัติและเปลี่ยนอาร์กิวเมนต์บรรทัดคำสั่ง เพิ่ม -ฉัน # -k ที่ส่วนท้ายของทางลัดแทนที่ # ด้วยหมายเลขของอินเทอร์เฟซที่คุณต้องการใช้ อ็อพชัน -i ระบุอินเตอร์เฟสขณะที่อ็อพชัน -k บอกให้ Wireshark เริ่มต้นการดักจับทันที.
หากคุณใช้ Linux หรือระบบปฏิบัติการอื่นที่ไม่ใช่ Windows เพียงสร้างทางลัดด้วยคำสั่งต่อไปนี้หรือเรียกใช้จากเทอร์มินัลเพื่อเริ่มการจับภาพทันที:
wireshark -i # -k
สำหรับทางลัดบรรทัดคำสั่งเพิ่มเติมดูที่หน้าคู่มือของ Wireshark.
บันทึกการรับส่งข้อมูลจากคอมพิวเตอร์ระยะไกล
Wireshark บันทึกการรับส่งข้อมูลจากอินเทอร์เฟซในระบบของคุณตามค่าเริ่มต้น แต่นี่ไม่ใช่ตำแหน่งที่คุณต้องการถ่ายภาพ ตัวอย่างเช่นคุณอาจต้องการจับภาพการรับส่งข้อมูลจากเราเตอร์เซิร์ฟเวอร์หรือคอมพิวเตอร์เครื่องอื่นในตำแหน่งที่ตั้งอื่นบนเครือข่าย นี่คือที่มาของคุณสมบัติการจับภาพระยะไกลของ Wireshark คุณลักษณะนี้มีให้บริการบน Windows ในขณะนี้เท่านั้น - เอกสารทางการของ Wireshark แนะนำให้ผู้ใช้ Linux ใช้อุโมงค์ SSH.
ก่อนอื่นคุณจะต้องติดตั้ง WinPcap บนระบบระยะไกล WinPcap มาพร้อมกับ Wireshark ดังนั้นคุณไม่ต้องติดตั้ง WinPCap หากคุณมี Wireshark ติดตั้งอยู่ในระบบรีโมตแล้ว.
หลังจากไม่มีการเรียกใช้ให้เปิดหน้าต่างบริการบนคอมพิวเตอร์ระยะไกล - คลิกเริ่มพิมพ์ services.msc ลงในช่องค้นหาในเมนูเริ่มแล้วกด Enter ค้นหา โปรโตคอลการจับแพ็คเก็ตระยะไกล บริการในรายการและเริ่ม บริการนี้ถูกปิดใช้งานโดยค่าเริ่มต้น.
คลิก ตัวเลือกการจับภาพลิงก์ใน Wireshark จากนั้นเลือก ห่างไกล จากกล่องอินเตอร์เฟส.
ป้อนที่อยู่ของระบบรีโมตและ 2002 เป็นพอร์ต คุณต้องมีการเข้าถึงพอร์ต 2002 บนระบบระยะไกลเพื่อเชื่อมต่อดังนั้นคุณอาจต้องเปิดพอร์ตนี้ในไฟร์วอลล์.
หลังจากเชื่อมต่อคุณสามารถเลือกอินเทอร์เฟซบนระบบระยะไกลได้จากกล่องดรอปดาวน์ของอินเทอร์เฟซ คลิก เริ่มต้น หลังจากเลือกอินเทอร์เฟซเพื่อเริ่มการจับภาพระยะไกล.
Wireshark ในอาคารผู้โดยสาร (TShark)
หากคุณไม่มีส่วนต่อประสานกราฟิกในระบบของคุณคุณสามารถใช้ Wireshark จากเทอร์มินัลด้วยคำสั่ง TShark.
ก่อนอื่นให้ออก tshark -D คำสั่ง คำสั่งนี้จะให้หมายเลขของอินเทอร์เฟซเครือข่ายของคุณ.
เมื่อคุณเรียกใช้ tshark -i # คำสั่งแทนที่ # ด้วยจำนวนอินเตอร์เฟสที่คุณต้องการดักจับ.
TShark ทำหน้าที่เหมือน Wireshark พิมพ์การรับส่งข้อมูลที่จับไปยังเทอร์มินัล ใช้ Ctrl-C เมื่อคุณต้องการหยุดการจับ.
การพิมพ์แพ็คเก็ตไปยังเครื่องเทอร์มินัลไม่ได้มีประโยชน์มาก หากเราต้องการตรวจสอบการรับส่งข้อมูลโดยละเอียดเราสามารถนำ TShark ไปไว้ในไฟล์ที่เราสามารถตรวจสอบได้ในภายหลัง ใช้คำสั่งนี้แทนดัมพ์ทราฟฟิกไปยังไฟล์:
tshark -i # -w ชื่อไฟล์
TShark จะไม่แสดงแพ็กเก็ตให้คุณเห็นขณะที่พวกเขากำลังถูกจับ แต่มันจะนับมันเมื่อมันถูกจับ คุณสามารถใช้ ไฟล์ -> เปิด ตัวเลือกใน Wireshark เพื่อเปิดไฟล์จับภาพในภายหลัง.
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับตัวเลือกบรรทัดคำสั่งของ TShark ดูที่หน้าคู่มือ.
การสร้างกฎไฟร์วอลล์ ACL
หากคุณเป็นผู้ดูแลระบบเครือข่ายที่รับผิดชอบไฟร์วอลล์และคุณใช้ Wireshark เพื่อกระตุ้นคุณอาจต้องดำเนินการตามปริมาณการใช้งานที่คุณเห็นซึ่งอาจบล็อกการรับส่งข้อมูลที่น่าสงสัย Wireshark ของ กฎไฟร์วอลล์ ACL เครื่องมือสร้างคำสั่งที่คุณจะต้องสร้างกฎไฟร์วอลล์บนไฟร์วอลล์ของคุณ.
ก่อนอื่นเลือกแพ็คเก็ตที่คุณต้องการสร้างกฎไฟร์วอลล์โดยคลิกที่มัน หลังจากนั้นคลิก เครื่องมือ เมนูและเลือก กฎไฟร์วอลล์ ACL.
ใช้ สินค้า เมนูเพื่อเลือกประเภทไฟร์วอลล์ของคุณ Wireshark รองรับ Cisco IOS, ไฟร์วอลล์ Linux ชนิดต่าง ๆ รวมถึง iptables และไฟร์วอลล์ Windows.
คุณสามารถใช้ กรอง เพื่อสร้างกฎตามที่อยู่ MAC ของระบบ, ที่อยู่ IP, พอร์ตหรือทั้งที่อยู่ IP และพอร์ต คุณอาจเห็นตัวกรองน้อยลงทั้งนี้ขึ้นอยู่กับผลิตภัณฑ์ไฟร์วอลล์ของคุณ.
โดยค่าเริ่มต้นเครื่องมือสร้างกฎที่ปฏิเสธการรับส่งข้อมูลขาเข้า คุณสามารถปรับเปลี่ยนพฤติกรรมของกฎได้โดยยกเลิกการเลือก ขาเข้า หรือ ปฏิเสธ ช่องทำเครื่องหมาย หลังจากที่คุณสร้างกฎแล้วให้ใช้ สำเนา เพื่อคัดลอกจากนั้นเรียกใช้บนไฟร์วอลล์ของคุณเพื่อใช้กฎ.
คุณต้องการให้เราเขียนอะไรเกี่ยวกับ Wireshark ในอนาคตหรือไม่? แจ้งให้เราทราบในความคิดเห็นหากคุณมีคำขอหรือความคิดใด ๆ.
