Wireshark قدرتمندترین ابزار تحلیلگر پروتکل شبکه در دنیاست که در Kali Linux به‌صورت پیش‌فرض نصب می‌شود. در این آموزش، با ضبط ترافیک، فیلترها، تحلیل پروتکل و کاربردهای امنیتی Wireshark آشنا می‌شوید.

Wireshark چیست؟#

Wireshark یک تحلیلگر شبکه با رابط گرافیکی است که به شما اجازه می‌دهد ترافیک شبکه را در زمان واقعی ضبط و تحلیل کنید. این ابزار از صدها پروتکل پشتیبانی می‌کند و برای دیباگ شبکه، تحلیل امنیتی و آموزش استفاده می‌شود.

# بررسی نصب Wireshark
wireshark --version
 
# خروجی:
# Wireshark 4.2.0 (Kali Linux)
# 
# Copyright 1998-2024 Gerald Combs <gerald@wireshark.org> and contributors.
# Compiled with libpcap 1.10.4...

راه‌اندازی Wireshark#

# اجرای Wireshark با رابط گرافیکی
sudo wireshark &
 
# یا بدون sudo (پس از اضافه کردن کاربر به گروه wireshark)
sudo usermod -aG wireshark $USER
# سپس logout و login مجدد
wireshark &

ضبط ترافیک#

۱. انتخاب interface#

پس از راه‌اندازی Wireshark، فهرستی از interfaceهای شبکه نمایش داده می‌شود:

Wireshark Interfaces:
  - eth0    (Ethernet, activity: 12.3 KB/s)
  - wlan0   (Wi-Fi, activity: 0 B/s)
  - lo      (Loopback, activity: 0 B/s)
  - any     (All interfaces)

۲. شروع ضبط#

۱. روی interface مورد نظر کلیک کنید (مثلاً eth0). ۲. روی دکمهٔ鲨鱼 fin (Start) کلیک کنید. ۳. ترافیک شروع به نمایش در پنجرهٔ اصلی می‌کند.

۳. ذخیره ضبط#

File → Save As → capture.pcapng

فیلترهای Display#

Wireshark از زبان قدرتمند فیلتر استفاده می‌کند که اجازه می‌دهد فقط بسته‌های خاصی را ببینید:

فیلترهای پایه#

فیلترهای پیشرفته#

# فیلتر بر اساس IP
ip.addr == 192.168.1.10
ip.src == 192.168.1.10
ip.dst == 192.168.1.10
 
# فیلتر بر اساس پورت
tcp.port == 80
tcp.dstport == 443
udp.port == 53
 
# فیلتر HTTP
http.request.method == "POST"
http.request.uri contains "login"
http.response.code == 200
 
# فیلتر TCP
tcp.flags.syn == 1 and tcp.flags.ack == 0  # SYN scan
tcp.analysis.flags
 
# ترکیب فیلترها
http and ip.addr == 192.168.1.10
http.request.method == "POST" and http.request.uri contains "password"

فیلترهای Capture#

فیلترهای Capture پیش از ضبط اعمال می‌شوند و با نحو BPF کار می‌کنند:

# ضبط فقط ترافیک HTTP
sudo tcpdump -i eth0 port 80 -w http.pcap
 
# یا در Wireshark:
# Capture → Options → Capture filter: tcp port 80

تحلیل پروتکل#

تشخیص ترافیک HTTP#

1. فیلتر http را اعمال کنید
2. روی یک بستهٔ HTTP راست‌کلیک → Follow → HTTP Stream
3. مکالمه کامل HTTP به‌صورت متنی نمایش داده می‌شود

تشخیص ترافیک DNS#

1. فیلتر dns را اعمال کنید
2. درخواست‌های DNS را ببینید
3. روی یک بسته کلیک کنید → اطلاعات DNS در پنل وسط

تشخیص handshake TCP#

فیلتر: tcp.flags.syn == 1 or tcp.flags.ack == 1
 
سه بستهٔ نخست یک اتصال TCP:
  1. SYN     (Client → Server)
  2. SYN/ACK (Server → Client)
  3. ACK     (Client → Server)

اعمال رنگ‌آمیزی#

Wireshark به‌صورت پیش‌فرض بسته‌های مختلف را با رنگ‌های متفاوت نمایش می‌دهد:

می‌توانید قوانین رنگ‌آمیزی را در View → Coloring Rules ویرایش کنید.

استخراج فایل از ضبط#

اگر ترافیک شامل انتقال فایل (مانند HTTP POST یا FTP) باشد، می‌توانید فایل را استخراج کنید:

File → Export Objects → HTTP

این پنجره لیستی از تمام فایل‌های منتقل‌شده را نمایش می‌دهد و می‌توانید آن‌ها را ذخیره کنید.

آمار و تحلیل#

۱. آمار پروتکل#

Statistics → Protocol Hierarchy

نمایش درصد ترافیک هر پروتکل در ضبط.

۲. آمار مکالمات#

Statistics → Conversations

نمایش تمام مکالمات بین IPها و پورت‌ها.

۳. آمار endpoint#

Statistics → Endpoints

نمایش تمام endpointها و حجم ترافیک ارسالی/دریافتی هر کدام.

۴. نمودار IO#

Statistics → I/O Graphs

نمایش نمودار زمانی-ترافیک.

کاربردهای امنیتی#

تشخیص اسکن پورت#

فیلتر: tcp.flags.syn == 1 and tcp.flags.ack == 0
 
اگر یک IP بسته‌های SYN زیادی به پورتهای مختلف یک میزبان ارسال کند،
احتمالاً اسکن Nmap SYN است.

تشخیص brute-force SSH#

فیلتر: tcp.port == 22
 
تعداد زیادی اتصال به پورت 22 از یک IP نشان‌دهندهٔ brute-force است.

استخراج اعتبارنامه HTTP#

1. فیلتر: http.request.method == "POST"
2. روی یک بسته کلیک کنید
3. در پنل وسط، HTTP → Form data را باز کنید
4. username و password به‌صورت plaintext قابل مشاهده است

خطاهای رایج#

هیچ interface نمایش داده نمی‌شود#

مشکل: فهرست interfaceها خالی است.

راه‌حل:

# بررسی دسترسی
sudo wireshark
 
# یا اضافه کردن کاربر به گروه wireshark
sudo usermod -aG wireshark $USER
# سپس logout و login

ترافیک Wi-Fi قابل ضبط نیست#

مشکل: ترافیک وایرلس شبکه‌های دیگر قابل مشاهده نیست.

راه‌حل: برای شنود وایرلس، باید کارت وایرلس را در حالت monitor قرار دهید:

# فعال‌سازی حالت monitor
sudo airmon-ng start wlan0
 
# کارت جدید به نام wlan0mon ایجاد می‌شود
# سپس در Wireshark از wlan0mon ضبط کنید

فایل pcap بسیار بزرگ است#

مشکل: فایل ضبط چند گیگابایتی شده است.

راه‌حل:

• از فیلترهای capture برای کاهش حجم استفاده کنید
• از قابلیت ring buffer برای ضبط چند فایل کوچک استفاده کنید
• Capture → Options → Use multiple files → rotate after 100 MB

ترافیک HTTPS به‌صورت encrypted نمایش داده می‌شود#

مشکل: ترافیک HTTPS خوانا نیست.

راه‌حل:

• برای تحلیل HTTPS، باید کلید خصوصی سرور را داشته باشید
• یا از Burp Suite به‌عنوان MITM استفاده کنید
• در نسخه‌های جدید TLS 1.3، حتی با کلید نیز ترافیک ممکن است ناخوانا باشد

خلاصه و مرحلهٔ بعد#

Wireshark ابزار حیاتی برای تحلیل شبکه، دیباگ و امنیت است. با تسلط بر فیلترها، تحلیل پروتکل و کاربردهای امنیتی، می‌توانید مشکلات شبکه را به‌سرعت تشخیص دهید و نشانه‌های حمله را شناسایی کنید.

به‌عنوان گام بعدی:

• آموزش Nmap را برای اسکن شبکه بخوانید
• آموزش Burp Suite را برای تحلیل ترافیک وب ببینید
• آموزش معرفی ابزارها را برای نمای کلی مرور کنید