Phenquestions
În acest articol, veți învăța cum să căutați șiruri în pachete utilizând Wireshark. Există mai multe opțiuni asociate căutărilor de șiruri. Înainte de a merge mai departe în acest articol, ar trebui să aveți cunoștințe generale despre Wireshark Basic.
Ipoteze
O captură Wireshark să fie într-o singură stare; fie salvat / oprit, fie viu. Putem efectua, de asemenea, căutare de șiruri în captură live, dar pentru o înțelegere mai bună și clară vom folosi captarea salvată pentru a face acest lucru.
Pasul 1: Deschideți Captură salvată
Mai întâi, deschideți o captură salvată în Wireshark. Va arăta astfel:
Pasul 2: Deschideți opțiunea de căutare
Acum, avem nevoie de o opțiune de căutare. Există două modalități de a deschide această opțiune:
- Utilizați comanda rapidă de la tastatură „Ctrl + F”
- Faceți clic pe „Găsiți un pachet” fie din pictograma exterioară sau accesați „Editați-> Găsiți pachetul”
Consultați capturile de ecran pentru a vizualiza a doua opțiune.
Indiferent de opțiunea pe care o utilizați, fereastra finală Wireshark va arăta ca imaginea de mai jos:
Pasul 3: Opțiuni de etichetare
Putem vedea mai multe opțiuni (meniuri derulante, casetă de selectare) în fereastra de căutare. Puteți eticheta aceste opțiuni cu numere pentru o înțelegere ușoară. Urmați captura de ecran de mai jos pentru numerotare:
Etichetă1
Există trei secțiuni în meniul derulant.
- Lista de pachete
- Detalii pachet
- Pachet de octeți
Din captura de ecran de mai jos, puteți vedea unde se află aceste trei secțiuni din Wireshark:
Selectarea secțiunii a / b / c înseamnă că șirul va fi realizat numai în acea secțiune.
Eticheta2
Vom păstra această opțiune ca implicită, deoarece este cea mai bună pentru căutarea obișnuită. Se recomandă păstrarea acestei opțiuni ca implicită, cu excepția cazului în care este necesară modificarea acesteia.
Eticheta 3
În mod implicit, această opțiune este debifată. Dacă este bifată „Distincție între majuscule și minuscule”, atunci căutarea șirului va găsi doar potriviri exacte ale șirului căutat. De exemplu, dacă căutați „Linuxhint” și Label3 este bifat, atunci acest lucru nu va căuta „LINUXHINT” în captura Wireshark.
Este recomandat să păstrați această opțiune debifată, cu excepția cazului în care este necesară modificarea acesteia.
Etichetă4
Această etichetă are diferite tipuri de căutări, cum ar fi „Filtru de afișare”, „Valoare hexagonală”, „Șir” și „Expresie regulată”.”În sensul acestui articol, vom selecta„ Șir ”din acest meniu derulant.
Eticheta5
Aici, trebuie să introducem șirul de căutare. Aceasta este intrarea pentru căutare.
Etichetă6
După ce este dată intrarea Label5, faceți clic pe butonul „Găsiți” pentru a declanșa căutarea.
Etichetă7
Dacă faceți clic pe „Anulare”, atunci ferestrele de căutare se vor închide și trebuie să reveniți pentru a urma pasul 2 pentru a recupera această fereastră de căutare.
Pasul 4: Exemple
Acum că ați înțeles opțiunile de căutare, să încercăm câteva exemple. Rețineți că am dezactivat regula de colorare pentru a vedea pachetul de căutare pe care l-am selectat mai clar.
Încercați1 [Combinație de opțiuni folosită: „Listă de pachete” + „îngust și lat” + „sensibil la majuscule necontrolate” + șir]
Șir de căutare: „Len = 10”
Acum, faceți clic pe „Găsiți.”Mai jos este captura de ecran pentru primul clic pe„ Găsiți ”
Deoarece am selectat „Lista de pachete”, căutarea a fost efectuată în lista de pachete.
Apoi, vom face clic din nou pe butonul „Găsiți” pentru a vedea următorul meci. Acest lucru poate fi văzut în captura de ecran de mai jos. Nu am marcat nicio secțiune pentru a vă permite să înțelegeți cum se întâmplă această căutare.
Cu aceeași combinație, permiteți-ne să căutăm șirul: „Linuxhint” [Pentru a verifica scenariul care nu a fost găsit].
În acest caz, puteți vedea mesajul de culoare galbenă în partea stângă-jos a Wireshark și nu este selectat niciun pachet.
Încercați2 [Combinație de opțiuni folosită: „Detalii pachet” + „Îngust și lat” + „Sensibil la majuscule necontrolate” + Șir]
Șir de căutare: "Număr de secvență"
Acum vom face clic pe „Găsiți.”Mai jos este captura de ecran pentru primul clic pe„ Găsiți ”
Aici, a fost selectat șirul găsit în interiorul „detaliilor pachetului”.
Vom bifa opțiunea „Sensibil la majuscule” și vom folosi șirul de căutare ca „Număr de secvență”, păstrând celelalte combinații așa cum este. De data aceasta, șirul se va potrivi exact cu „Numărul de secvență.”
Încercați3 [Combinație de opțiuni folosită: „Pachete de octeți” + „Îngust și lat” + „Sensibil la majuscule necontrolate” + Șir]
Șir de căutare: "Număr de secvență"
Acum, faceți clic pe „Găsiți.”Mai jos este captura de ecran pentru primul clic pe„ Găsiți ”
Așa cum era de așteptat, căutarea șirului are loc în interiorul octeților pachetului.
Concluzie
Efectuarea unei căutări de șiruri este o metodă foarte utilă care poate fi utilizată pentru a găsi un șir necesar în interiorul unei liste de pachete Wireshark, detalii despre pachete sau octeți de pachete. O căutare bună facilitează analiza fișierelor mari de captură Wireshark.
