Jak používat Wireshark k hledání řetězce v paketech

V tomto článku se naučíte, jak hledat řetězce v paketech pomocí Wireshark. K vyhledávání řetězců je přidruženo několik možností. Než přejdete dále v tomto článku, měli byste mít obecné znalosti o Wireshark Basic.

Předpoklady

Zachycení Wireshark v jednom stavu; buď uložené / zastavené, nebo živé. Můžeme provádět vyhledávání řetězců i v živém snímání, ale pro lepší a jasnější pochopení k tomu použijeme uložené zachycení.

Krok 1: Otevřete Uložené zachycení

Nejprve otevřete uložený snímek ve Wiresharku. Bude to vypadat takto:

Krok 2: Otevřete možnost vyhledávání

Nyní potřebujeme možnost hledání. Tuto možnost lze otevřít dvěma způsoby:

1. Použijte klávesovou zkratku „Ctrl + F“
2. Klikněte na „Najít balíček“ buď z vnější ikony, nebo přejděte na „Upravit-> Najít balíček“

Podívejte se na snímky obrazovky a podívejte se na druhou možnost.

Bez ohledu na to, jakou možnost použijete, bude konečné okno Wireshark vypadat jako snímek obrazovky níže:

Krok 3: Možnosti štítku

Ve vyhledávacím okně vidíme více možností (rozbalovací nabídky, zaškrtávací políčko). Tyto možnosti můžete označit čísly pro snadné pochopení. Při číslování postupujte podle níže uvedeného snímku obrazovky:

Štítek1
V rozbalovací nabídce jsou tři sekce.

1. Seznam paketů
2. Podrobnosti paketu
3. Bajty paketů

Na následujícím snímku obrazovky můžete vidět, kde jsou tyto tři sekce ve Wiresharku umístěny:

Výběr sekce a / b / c znamená, že řetězec bude proveden pouze v této sekci.

Štítek2
Tuto možnost ponecháme jako výchozí, protože je nejlepší pro běžné vyhledávání. Doporučuje se ponechat tuto možnost jako výchozí, pokud není nutné ji měnit.

Štítek3
Ve výchozím nastavení není tato možnost zaškrtnuta. Je-li zaškrtnuto „Rozlišovat velká a malá písmena“, vyhledá řetězec pouze přesné shody hledaného řetězce. Například pokud hledáte „Linuxhint“ a je zaškrtnuto Label3, nebude to hledat „LINUXHINT“ v zachycení Wireshark.

Doporučujeme ponechat tuto možnost nezaškrtnutou, pokud není nutné ji měnit.

Štítek4
Tento štítek obsahuje různé typy vyhledávání, například „Filtr zobrazení“, „Hex hodnota“, „Řetězec“ a „Regulární výraz“.„Pro účely tohoto článku vybereme z této rozbalovací nabídky možnost„ Řetězec “.

Štítek5
Zde musíme zadat hledaný řetězec. Toto je vstup pro vyhledávání.

Štítek6
Po zadání vstupu Label5 spusťte vyhledávání kliknutím na tlačítko „Najít“.

Štítek7
Pokud kliknete na „Zrušit“, vyhledávací okna se zavřou a je třeba se vrátit a pokračovat v kroku 2, abyste získali toto vyhledávací okno zpět.

Krok 4: Příklady

Nyní, když jste pochopili možnosti vyhledávání, vyzkoušejte několik příkladů. Všimněte si, že jsme deaktivovali pravidlo zbarvení, abychom viděli paket hledání, který jsme vybrali jasněji.

Zkuste1 [Použitá kombinace možností: „Packet List“ + „Narrow & Wide“ + „Unchecked Case Sensitive“ + řetězec]

Vyhledávací řetězec: „Len = 10“

Nyní klikněte na „Najít.„Níže je snímek obrazovky pro první kliknutí na„ Najít: “

Protože jsme vybrali „Seznam paketů“, hledání proběhlo uvnitř seznamu paketů.

Dále znovu klikneme na tlačítko Najít a uvidíme další zápas. To lze vidět na níže uvedeném snímku obrazovky. Neoznačili jsme žádné sekce, abychom vám umožnili pochopit, jak k tomuto vyhledávání dochází.

Se stejnou kombinací pojďme prohledat řetězec: „Linuxhint“ [Zkontrolovat scénář nenalezen].

V tomto případě můžete vidět žlutě zbarvenou zprávu na levé spodní straně Wiresharku a není vybrán žádný paket.

Zkuste2 [Použitá kombinace možností: „Podrobnosti paketu“ + „Narrow & Wide“ + „Unchecked Case Sensitive“ + řetězec]

Vyhledávací řetězec: „Pořadové číslo“

Nyní klikneme na „Najít.„Níže je snímek obrazovky pro první kliknutí na„ Najít: “

Zde byl vybrán řetězec nalezený uvnitř „podrobností paketu“.

Zaškrtneme možnost „Rozlišovat velká a malá písmena“ a vyhledávací řetězec použijeme jako „Pořadové číslo“, přičemž ostatní kombinace ponecháme tak, jak jsou. Tentokrát bude řetězec odpovídat přesnému „pořadovému číslu.“

Zkuste3 [Použitá kombinace možností: „Packet bytes“ + „Narrow & Wide“ + „Unchecked Case Sensitive“ + řetězec]

Vyhledávací řetězec: „Pořadové číslo“

Nyní klikněte na „Najít.„Níže je snímek obrazovky pro první kliknutí na„ Najít: “

Podle očekávání se vyhledávání řetězců děje uvnitř bajtů paketů.

Závěr

Vyhledávání řetězců je velmi užitečná metoda, kterou lze použít k vyhledání požadovaného řetězce uvnitř seznamu paketů Wireshark, podrobností paketů nebo bajtů paketů. Dobré vyhledávání usnadňuje analýzu velkých souborů Wireshark.