Wireshark anlık olarak sistemde ağ trafiğinin dinlenmesine, dinlenilen bu paketleri farklı format’ta kayıt edebilen ve birçok hata çözme işlemlerinde kullanılan bir gui tabanlı yazılımdır. Pentest işlemlerinde ağ analizinde sıkça kullanılır. Gelişmiş paket filtreleme özelliği mevcuttur. Kali linux sisteminde kurulu olarak gelmektedir. Aynı zamanda diğer işletim sistemleri için desteği mevcuttur.



Genel olarak yukarıdaki gibi bir görünüme sahiptir. Fakat yeni versiyonunda arayüz daha geliştirilmiş ama işlevler aynıdır. Biz örnek olarak bir paket yakalayıp neler yapabileceğimiz üzerinden gidelim.



Paket trafiğini yakalamaya başlamak için interface list butonuna tıklayıp aktif olan ağımızı seçip start diyerek trafik dinlenilmeye başlayacaktır.



Görüldüğü gibi paket yakalama işlemleri başladı. Burada Filter kısmı yakalanan paketlerin filtrelemeye göre sonuçları bize gönderir. 2. kısım ise paket trafiğinin aktığı kısımdır. 3. kısımda ise OSI katmanlarında veri paketlerinde frame (çerçeve) dönüşürler bu framelerde bilgiler mevcuttur. 4. kısımda ise seçtiğiniz paketin hex halinde verilişidir.

Kısaca bazı filtreleme methodları aşağıdaki gibidir.

DHCP

port 67 or port 68

bootp

bootp.option.dhcp==1 (DISCOVER Packets)

bootp.option.dhcp==2 (OFFER Packets)

bootp.option.dhcp==3 (REQUEST Packets)

bootp.option.dhcp==4 (ACK Packets)

bootp.option.hostname

HTTP

http

http.request.method==”GET”

http.request.method==”POST”

http.response.code== “200”

http.user_agent== “User_Agent_Değeri”

http.referer

ARP

arp

arp.src.hw_mac==“Kaynak mac adresi”

arp.dst.hw_mac==“Hedef mac adresi”

arp.duplicate-address-frame

arp.opcode==1

arp.opcode==2

DNS

dns

dns.qry.name== “google.com”

dns.qry.type== 1 (ARecord Type)

dns.qry.type==255 (ANY Record Type)

dns.qry.type== 2 (NS name server)dns.qry.type)== 15(MX mail exchange)

ICMP

icmp.type

icmp.code

TCP

tcp.flags.syn==1

tcp.port== 80

tcp.dstport== 443

tcp.srcport==80

FTP

ftp.request.command

ftp.request

ftp.request.command== “PASS”

ftp.request.command==”USER”

ftp.response.arg== “Login successful”

İnternet Protokolü

ip.addr

ip.ttl

ip.version==4

ip.src==192.168.1.24

ip.dst==192.168.1.41

Bu filtreleme kısmında kullanacağımız bir diğer işlem ise operatörlerdir. Bu operatörler kısaca aşağıdaki gibidir.

1- Karşılaştırma Operatörleri

eq== Eşittir

!= Eşit değildir

gt> Büyüktür.

lt< Küçüktür

ge >= Büyük eşittir

le <= Küçük eşittir.

2- Mantıksal Operatörler

and&& = (ve anlamı katar)

or || = (veya anlamı katar)

xor^^

not ! = (değil anlamı katar, dahil olmayan)

Ağ trafiğini izlemeye aldık ziyaret edilen bağlantıları kontrol edelim. Bunu yapabilmek için Menüden Statics > HTTP > Requsts bölümünden görüntüleyeceğiz.



İşaretledikten sonra yukarıdaki gibi bir seçenek geliyor tamamını görüntülemek için Create Stat Butonuna basmanız gerekmektedir. Dilerseniz filtreleyerek te görüntüleyebilirsiniz.



Ziyaret edilen siteler yukarıdaki gibidir. Bir paketi tam olarak incelenebilmesi için framelerden incelenmesi gerekmektedir.



Kaynak:Kali Linux Sayfa 51