Jak używać Wireshark do wyszukiwania łańcucha w pakietach

W tym artykule dowiesz się, jak szukać ciągów w pakietach za pomocą Wireshark. Istnieje wiele opcji powiązanych z wyszukiwaniem ciągów. Przed pójściem dalej w tym artykule powinieneś mieć ogólną znajomość Wireshark Basic.

Założenia

Przechwytywanie Wireshark odbywa się w jednym stanie; zapisane/zatrzymane lub na żywo. Możemy również wykonywać wyszukiwanie ciągów w przechwytywaniu na żywo, ale dla lepszego i jasnego zrozumienia wykorzystamy do tego zapisane przechwytywanie.

Krok 1: Otwarte zapisane przechwytywanie

Najpierw otwórz zapisane przechwytywanie w Wireshark. Będzie wyglądać tak:

Krok 2: Otwórz opcję wyszukiwania

Teraz potrzebujemy opcji wyszukiwania. Istnieją dwa sposoby otwarcia tej opcji:

1. Użyj skrótu klawiatury „Ctrl+F”
2. Kliknij „Znajdź pakiet” albo z zewnętrznej ikony lub przejdź do „Edytuj-> Znajdź pakiet”

Sprawdź zrzuty ekranu, aby wyświetlić drugą opcję.

Niezależnie od tego opcji ostateczne okno Wireshark będzie wyglądało jak zrzut ekranu poniżej:

Krok 3: Opcje etykiet

Widzimy wiele opcji (rozwijane, pole wyboru) w oknie wyszukiwania. Możesz oznaczyć te opcje za pomocą liczb dla łatwego zrozumienia. Śledź zrzut ekranu poniżej, aby uzyskać numerowanie:

Etykieta 1
Istnieją trzy sekcje w rozwijaniu.

1. Lista pakietów
2. Szczegóły pakietu
3. Bajty pakietowe

Z poniższego zrzutu ekranu możesz zobaczyć, gdzie znajdują się te trzy sekcje w Wireshark:

Wybór sekcji A/B/C oznacza, że ​​ciąg zostanie wykonany tylko w tej sekcji.

Etykieta 2
Będziemy zachować tę opcję jako domyślną, ponieważ jest ona najlepsza do wspólnego wyszukiwania. Zaleca się zachowanie tej opcji jako wartości domyślnej, chyba że wymaga jej zmiany.

Etykieta3
Domyślnie ta opcja jest niezaznaczona. Jeśli sprawdzone zostanie „wrażliwe na literę”, wyszukiwanie ciągów znajdzie tylko dokładne dopasowania wyszukiwanego ciągu. Na przykład, jeśli szukasz „Linuxhint” i Label3, to nie będzie wyszukiwać „Linuxhint” w przechwytywaniu Wireshark.

Zaleca się, aby ta opcja była niezaznaczona, chyba że konieczne jest jej zmiana.

Etykieta 4
Ta etykieta ma różne rodzaje wyszukiwań, takie jak „filtr display”, „wartość sześciokątna”, „ciąg” i „wyrażenie regularne.”Do celów tego artykułu wybierzemy„ ciąg ”z tego menu rozwijanego.

Etykieta 5
Tutaj musimy wprowadzić ciąg wyszukiwania. To jest wejście do wyszukiwania.

Etykieta 6
Po podaniu wprowadzania etykiety 5 kliknij przycisk „Znajdź”, aby uruchomić wyszukiwanie.

Etykieta 7
Jeśli klikniesz „Anuluj”, Windows wyszukiwania zostanie zamknięte i musisz wrócić, aby podążać kroku 2, aby odzyskać to okno wyszukiwania.

Krok 4: Przykłady

Teraz, gdy zrozumiałeś opcje wyszukiwania, wypróbujmy kilka przykładów. Zauważ, że wyłączyliśmy regułę kolorowania, aby zobaczyć pakiet wyszukiwania, który wybierzeliśmy wyraźniej.

Try1 [Zastosowano kombinację opcji: „Lista pakietów” + „wąskie i szerokie” + „Niezbędne wrażliwe obudowę” + ciąg]

Szukana fraza: „Len = 10”

Teraz kliknij „Znajdź.„Poniżej znajduje się zrzut ekranu dla pierwszego kliknięcia„ Znajdź: ”

Jak wybraliśmy „listę pakietów”, wyszukiwanie przeprowadzono na liście pakietów.

Następnie klikniemy przycisk „Znajdź” ponownie, aby zobaczyć następny mecz. Można to zobaczyć na zrzucie ekranu poniżej. Nie zaznaczyliśmy żadnych sekcji, aby umożliwić ci zrozumienie, jak się dzieje.

Z tą samą kombinacją przeszukajmy ciąg: „Linuxhint” [Aby sprawdzić, że nie znaleziono scenariusza].

W takim przypadku możesz zobaczyć komunikat żółtej w lewej stronie Wireshark i nie jest wybierany pakiet.

Try2 [Zastosowano kombinację opcji: „Szczegóły pakietu” + „Wąskie i szerokie” + „Niezbędne wrażliwe obudowę” + ciąg]

Szukana fraza: "Numer sekwencji"

Teraz klikniemy „Znajdź.„Poniżej znajduje się zrzut ekranu dla pierwszego kliknięcia„ Znajdź: ”

Tutaj wybrano ciąg znaleziony w „szczegółach pakietu”.

Sprawdzimy opcję „Case wrażliwość” i użyjemy ciągu wyszukiwania jako „numer sekwencji”, zachowując inne kombinacje, tak jak jest. Tym razem ciąg pasuje do dokładnego „numeru sekwencji."

Próba3 [Zastosowano kombinację opcji: „Pakiet bajtów” + „Wąskie i szerokie” + „Niezbędne wrażliwe obudowę” + ciąg]

Szukana fraza: "Numer sekwencji"

Teraz kliknij „Znajdź.„Poniżej znajduje się zrzut ekranu dla pierwszego kliknięcia„ Znajdź: ”

Zgodnie z oczekiwaniami, wyszukiwanie ciągów odbywa się w bajtach pakietu.

Wniosek

Przeprowadzenie wyszukiwania ciągów jest bardzo przydatną metodą, której można użyć do znalezienia wymaganego ciągu wewnątrz listy pakietów Wireshark, szczegółów pakietu lub bajtów pakietów. Dobre wyszukiwanie ułatwia analizę dużych plików przechwytywania Wireshark.