Wireshark для всех. Лайфхаки на каждый день

[v1000]

Крутая прога. Хотя оригинальое название мне нравилось больше.

[LoadRunner]

Я не знаком со всеми тонкостями программ, но чем платный Wireshark лучше бесплатного Fiddler? Они по функционалу сильно разные?

[psycho-coder]

Это когда wireshark стал платным?

[numb]

Wireshark — бесплатен.
Платный только CloudShark.

Fiddler расчитан только для веба HTTP/HTTPS.
Wireshark работает со множеством протоколов со 2го по 7й уровень модели OSI

[LoadRunner]

Не знаю, я в статье прочитал. Так-то я им не пользуюсь.

[victor_1212]

обычное название такого рода прилижений «sniffer», заметим что порт, на котором вы смотрите пакеты, должен быть в «promiscuous mode» т.е. читать все пакеты, а не только с правильным собственным mac адресом и «broadcast», для высоко скоростного порта это может создать дополнительную нагрузку на центральный процессор

[mogaika]

Это именно для сниффера иногда нужен promiscuous mode. Для локального трафика не нужен он. Нагрузки на цпу почти никакой, т.к. на серверах трафик вы собираете через tcpdump/tshark без анализа сразу в файл. Потом этот файл открываете в wireshark на десктопе.

[victor_1212]

можно и так, но сила сниффера в способности весь traffic поймать, и по возможности real time для обнаружения и troubleshooting типа broadcast storm, и атак всевозможных, для этого promiscuous mode абсолютно нужен, и желательно мощный процессор (npu) прямо на карте, не знаю представляете ли вы насколько серьезно все это, wireshark это типа верхушка айсберга, специализированные устройства такого рода используются широко, и не всегда в научных целях :)

[SergeyMax]

troubleshooting типа broadcast storm, и атак всевозможных, для этого promiscuous mode абсолютно нужен

Для того, чтобы увидеть бродкастовый шторм promiscuous mode совершенно не нужен (да и wireshark впрочем тоже обычно не нужен)

[victor_1212]

было написано «troubleshooting типа broadcast storm». а не «увидеть», что большая разница, также в частности «broadcast storm» среди прочего «troubleshooting»,

разумеется не стал бы писать этого, если бы не имел личного опыта, а именно работы в компании производившей protocol analyzers, которые покупались тысячами, и вероятно кое-где в мире используются до сих пор, мой личный вклад был связан с protocol interpreters, которых в те времена написал с полсотни, включая весь CCITT X.409 stack, т.е. практически все протоколы использующие ASN.1 с этой страницы: en.wikipedia.org/wiki/ASN.1,

мне совершенно все равно минусуются сообщения или нет, это никак не влияет на мое уважение к вашему мнению, как и любому другому, все что пытаюсь сделать, это поделиться своим опытом, если кому-нибудь это интересно

[funca]

Несколько сервисов запущены в Docker. Как посмотреть весь http/https трафик между ними и наружу?

[lordleto]

В теории у каждого докер контейнера есть свой виртуальный интерфейс, вот их родимых и слушать.

[BoberMod]

Аналогичным образом можно проанализировать трафик с фитнес-часов по Bluetooth

А есть информация о том, как потом эти пакеты удобно изменить и повторно отправить?
Как-то пытался написать свой клиент для управления лампой по Bluetooth, но максимум что нашел — костылить свое приложение на андроид. Еще нашел 1 либу на питоне, и та работает только на линукс (ничего против не имею, но тестить на малинке у меня сил не хватило).

[avorsa]

Scapy вам в помощь.

[gorgona45]

Всем хорош Wireshark, но одно огорчает. Стоит ему скормить PCAP файл на пару сотен гигов, а затем в фильтре попросить отобрать нужные пакеты, как все, грохается по out of memory. Интересуюсь знать, как такую задачу можно им решать?

[Jasik]

отфильтровать пакеты с помощью tcpdump, а уже потом pcap скормить Wireshark