Wireshark: tshark ile alan çıkarmak
Wireshark’ın komut satırı kardeşi tshark ve yardımcı araçlarıyla (capinfos, editcap) bir yakalamayı özetler, süzer, istediğin alanları tablo hâlinde çıkarır, istatistik üretir ve yeni bir yakalama dosyası yazarsın; sonunda açık metin FTP kimlik bilgilerini çıkarır ve DNS ile veri sızdırmayı bulan, başka yakalamalarda da çalışan bir tespit betiği yazarsın. Kayıt her labda farklıdır.
Seviye 101 · 50 dk
Elif’in sabah işi: gece boyunca toplanan onlarca yakalama dosyasında aynı soruları sormak. "Hepsini tek tek Wireshark’ta açamam. Sorularımı komut satırına yazarım, sonucu tabloya dökerim."
tshark, Wireshark’ın aynı çözümleme motorunu grafik arayüz olmadan kullanır: aynı süzgeçler (-Y), aynı alan adları (-e http.host), ama çıktı metindir; boru (|) ile başka komutlara verilir, betiklere girer, otomatikleşir.
Bu derste her şeyi masaüstündeki terminalde yapacaksın. Yakalama: ~/captures/day.pcapng. Çıktılarını ~/tshark klasörüne kaydet; kontroller oraya bakar. tshark root olarak çalışırken "could be dangerous" uyarısı yazar; bu labda yok sayabilirsin.
Bu derste ne yapacaksın
- Önce özet: capinfos
- Oku: tshark -r ve -c
- Süz ve alan çıkar: -Y, -T fields, -e
- Tablo üret: başlık ve ayırıcı
- İstatistik: -q -z conv,tcp
- HTTP ağacı: -z http,tree
- Yeni yakalama yaz: -w
- Açık metin kimlik bilgileri
- Tespit betiği: DNS ile veri sızdırma
- Kısa sınav
Kazanacağın beceriler
- tshark ve capinfos ile yakalama okumak
- tshark ile alan çıkarmak ve tablo üretmek (-T fields, -E)
- tshark ile istatistik üretmek (-z)
- Süzülmüş paketleri yeni dosyaya yazmak (-w)
- Açık metin kimlik bilgilerini trafikte bulmak
- DNS ile veri sızdırmayı bulan tespit betiği yazmak
← Wireshark ile IPv6 ve ICMPv6 trafiği · Wireshark temelleri · Bitirme görevi: Wireshark ile şüpheli trafiği bul →
Ücretsiz başla