Как пользоваться Wireshark

[AndrewEA]

Где почитать о том, как пользоваться wireshark? Есть список пакетов, надо определить, что каждый из них значит и что вообще делал юзер. В Help'е это подробно не расписано...

[Kozo]

что конкретно надо найти?

FrontPage - The Wireshark Wiki

[AndrewEA]

Ничего конкретного, это для универа.
Вот, например, надо узнать что происходит в этих 3 фреймах..

3 0.001925 131.247.95.216 64.233.161.99 TCP imyx > http [SYN] Seq=0 Win=16384 Len=0 MSS=1460
4 0.027528 64.233.161.99 131.247.95.216 TCP http > imyx [SYN, ACK] Seq=0 Ack=1 Win=8190 Len=0 MSS=1460
5 0.027635 131.247.95.216 64.233.161.99 TCP imyx > http [ACK] Seq=1 Ack=1 Win=17520 Len=0

[Kozo]

Происходит вот это:

TCP Three-Way Handshake

хост 131.247.95.216 установил TCP connection с 64.233.161.99

[AndrewEA]

спасибо!
А где можно прочитать про параметры из колонки INFO?

[Kozo]

Даже не знаю...там достаточно понятно пишется что происходит.На первом этапе
думаю просто гуглить непонятную информацию.

[Мурзик Васильевич]

спасибо!
А где можно прочитать про параметры из колонки INFO?

Подробнее можно увидеть на панели 'Packet Details' (между списком принятых пакетов вверху и пакетом в hex внизу, если панели нет - 'View' -> [V] 'Packet Details'). Если пакет хитрый и он полностью не распарсился, то выделяем его в списке, 'правая кнопка мыши' -> 'Decode As...' и выбрать по каким полям и во что декодировать.

В любом случае читайте о протоколах, которые декодируете.

P.S. Хорошая штука этот Wireshark, а в связке с tcpreply - незаменимая для network разработок.

[Dj.hash]

Hi to all:
Помогите проанализировать действия одного ботнета. Моя задача узнать, что происходит на конкретном примере. Принцип действия ботнетов уже известен, а вот, что происходит в wirshark сложнее. В WMplayer запустил ботнет и с помощью Wiresharka произвел захват виртуального адаптера. В итоге получил некоторое количество пакетов и теперь нужно создать документацию (анализ), а т.к. мои знания wirshark не велики, то все остановилось. Сам фаил с wireshark не смог прицепить, если кто сможет помочь, могу выслать!

Если кому несложно помогите с документацией или посоветуйте какую-нибудь литературу.

Заранее спасибо

[the_alexx]

Hi to all:
Помогите проанализировать действия одного ботнета. Моя задача узнать, что происходит на конкретном примере. Принцип действия ботнетов уже известен, а вот, что происходит в wirshark сложнее. В WMplayer запустил ботнет и с помощью Wiresharka произвел захват виртуального адаптера. В итоге получил некоторое количество пакетов и теперь нужно создать документацию (анализ), а т.к. мои знания wirshark не велики, то все остановилось. Сам фаил с wireshark не смог прицепить, если кто сможет помочь, могу выслать!

Если кому несложно помогите с документацией или посоветуйте какую-нибудь литературу.

Заранее спасибо

анализ вообще-то не вайершарком делается.. это просто инструмент захвата, анализ там самый простейший. Смотри в логе, какие протоколы используются, изучай протоколы...

[Dj.hash]

анализ вообще-то не вайершарком делается.. это просто инструмент захвата, анализ там самый простейший. Смотри в логе, какие протоколы используются, изучай протоколы...

а если не сложно, то можете описать, что происходит в этих строках!

[Blaine the Mono]

Да очень просто. Берёшь Вайр - и шаркаешь.