Wireshark (Français)

État de la traduction: Cet article est la version francophone de Wireshark. Date de la dernière traduction: 2022-10-03. Vous pouvez aider à synchroniser la traduction s'il y a eu des changements dans la version anglaise.

Wireshark est un analyseur de paquets gratuit et open-source. Il est utilisé pour le dépannage des réseaux, l'analyse, le développement de logiciels et de protocoles de communication, et l'éducation.

Installation

Installez le paquet wireshark-qt pour l'interface graphique de Wireshark ou wireshark-cli pour la CLI simple tshark(1).

Note: L'interface GTK obsolète a été supprimée dans Wireshark 3.0.

termshark est une interface utilisateur alternative pour le terminal.

Privilèges de capture

N'exécutez pas Wireshark en tant que root, ce n'est pas sûr. Wireshark a implémenté la séparation des privilèges, ce qui signifie que l'interface graphique de Wireshark (ou la CLI de tshark) peut s'exécuter en tant qu'utilisateur normal tandis que l'utilitaire de capture dumpcap s'exécute en tant que root [1].

Le script d'installation du paquet wireshark-cli définit les capacités de capture de paquets sur l'exécutable /usr/bin/dumpcap.

/usr/bin/dumpcap ne peut être exécuté que par root et les membres du groupe wireshark, donc pour utiliser Wireshark en tant qu'utilisateur normal vous devez ajouter votre utilisateur au groupe d'utilisateurs wireshark.

Quelques techniques de capture

Il existe plusieurs façons de capturer exactement ce que vous recherchez dans Wireshark, en appliquant des filtres de capture ou des filtres d'affichage.

Note: Pour connaître la syntaxe des filtres de capture, consultez pcap-filter(7). Pour les filtres d'affichage, consultez wireshark-filter(4).

Filtrage des paquets TCP

Si vous voulez consulter tous les paquets TCP actuels, tapez tcp dans la barre Filtre ou dans le CLI, entrez :

$ tshark -f "tcp"

Filtrer les paquets UDP

Si vous voulez consulter tous les paquets UDP actuels, tapez udp dans la barre Filtre ou dans la CLI, entrez : $ tshark -f "tcp" ===

$ tshark -f "udp"

Filtrer les paquets vers une adresse IP spécifique

Si vous souhaitez consulter tout le trafic allant vers une adresse spécifique, entrez display filter ip.dst == 1.2.3.4, en remplaçant 1.2.3.4 par l'adresse IP vers laquelle le trafic sortant est envoyé.
Si vous souhaitez consulter tout le trafic entrant pour une adresse spécifique, entrez le filtre d'affichage ip.src == 1.2.3.4, en remplaçant 1.2.3.4 par l'adresse IP vers laquelle le trafic entrant est envoyé.
Si vous souhaitez consulter tout le trafic entrant et sortant pour une adresse spécifique, saisissez un filtre d'affichage ip.addr == 1.2.3.4, en remplaçant 1.2.3.4 par l'adresse IP concernée.

Exclure les paquets provenant d'une adresse IP spécifique

ip.addr != 1.2.3.4

Filtrer les paquets vers le LAN

Pour consulter uniquement le trafic du réseau local et pas celui d'Internet, exécutez

(ip.src==10.0.0/8 AND ip.dst==10.0.0/8) OR (ip.src==172.16.0.0/12 AND ip.dst==172.16.0.0/12) OR (ip.src==192.168.0.0/16 and ip.dst==192.168.0.0/16)

Cela permettra de filtrer le trafic dans n'importe quel espace du réseau privé.

Filtrer les paquets par port

Consultez tout le trafic sur deux ports ou plus :

tcp.port==80||tcp.port==3306
tcp.port==80||tcp.port==3306||tcp.port==443

Capture «headless» avec dumpcap

dumpcap fait partie de Wireshark et peut être utilisé pour capturer des paquets sans l'interface graphique. Utilisé en combinaison avec tmux, il permettra la capture de paquets dans une session détachée.

Pour voir toutes les options de dumpcap, utilisez le paramètre -h.

L'exemple suivant fournira une capture de ringbuffer. Il capture vingt fichiers .pcap de 100 Mo chacun, en remplaçant le fichier le plus ancien par le vingt-et-unième et ainsi de suite... Cela permet une capture continue sans épuiser l'espace disque.

# dumpcap -i 1 -b filesize:100000 -b files:20 -w mycapture.pcapng

-i — numéro d'interface (listé à partir de dumpcap -D)

-b filesize: — taille du fichier en kB avant le démarrage d'un nouveau fichier .pcap.

-b files: — le nombre de fichiers à capturer avant d'écraser le plus ancien

-w — écrit la sortie dans le fichier mycaptureidentifiant.pcap