WIRESHARK
Wireshark mevcut ağ içerisinde akan trafiği analiz etmek için kullanılan, ağ içerisindeki trafiği gerçek zamanlı olarak yakalayabilen ve detaylı bir şekilde incelemeye olanak sağlayan, açık kaynaklı ücretsiz bir yazılım/uygulamadır. Wireshark' ın bilinen en temel özelliklerini sıralamak gerekirse:
- Yerel Ağ üzerinden gelen paketleri tutar ve ayrıntılı olarak protokol bilgileri de dahil olmak üzere bizlere aktarır.
- Yakalanan paketleri kayıt altında tutabilir.
- Protokoller için şifre çözme desteği vardır.
- Ağ içerisinde ki hata tespitini sağlar.
- Kullanıcı dostudur.
- Tamamen ücretsizdir.
- Geniş protokol desteğine sahip. (Referans: https://wiki.wireshark.org/ProtocolReference )
Wireshark Aracı İçin En Düşük Sistem Gereksinimleri Bu aracı bilgisayarınızda sağlıklı bir şekilde çalıştırabilmeniz için aşağıda belirtilen sistem gereksinimlerini karşılıyor olmanız gerekmektedir.
- 400Mhz işlemci
- 60 MB boş alan
- Promiscuous mode destekli bir ağ kartı
- WinPcapdriver
WireShark kurulumu için linke indirme linkine tıklayabilirsiniz.
Linux sistemlerde kurulum için: (Windows sistemlerde kurulum: Gerekli dosya indirildikten sonra kurulum yönergeleri sayesinde kurulabilir.)
- DEB-basedsistemler: apt-get install wireshark
- RPM-basedsistemler: rpm –ivh wireshark*.rpm
İlk olarak kurulum sonrası wireshark ekranı açılınca hangi kısım ne amaçla kullanılıyor onu bilmemiz gerekiyor.
- Ana menünün bulunduğu kısımdır.
- Sık sık kullanılabilecek işlemlerin kısayol atamalarının bulunduğu yerdir.
- Ağ trafiği için filtremele kullanabileceğiniz özel bir kısımdır.
- Daha önce açılan dosyalar gösterilmektedir.
- Ağ trafiğini izlemek amacı ile kullanılabilecek ağ kartları için paket yakalamaya başladığında kullanabileceği filtre tanımlanabilmektedir.
- Ağ trafiğini izlemek amacı ile kullanılabilecek ağ kartları gösterilmektedir.
- Wireshark hakkında daha fazla bilgi edinmek ve manuel dosyalarına erişmek amacı ile kullanılabilecek bir bölümdür. Bu bölüme 5 numara ile tanımlanan ana menüde Help kısmından erişebilirsiniz.
Wireshark sayesinde paket yakalamak için öncelikle ana menüden Capture -> Options yolunu takip ederek aşağıdaki menüye erişmek gerekmektedir. Buradan analiz etmek istediğimiz ağ kartını seçerek işleme başlayabiliriz. Ya da ilk açılan ekranda 6 numaralı kısımdan da yine seçimimizi gerçekleştirebiliriz.
Paket yakalama işlemi başladığında katmanlar halinde bir ara yüz bizi karşılayacaktır.
- Yakalanan paketler ile ilgili filtreleme seçeneklerinin bulunduğu kısımdır.
- Yakalanan paketlerin listelendiği kısımdır.
- Yakalanan paketlerden birini seçtiğimiz zaman onunla ilgili detayın görüntülendiği kısımdır.
- Seçilen paket için hex dump halini gösterir.
- Genel bilgilendirmelerin yer aldığı kısımdır. Bu kısımda: yakalanan toplam paket,görüntülenen paket sayısı ve profil ismi gibi bilgiler yer alır.
Herhangi bir ağ kartını seçip packet capture işlemini başlattığımızda görseldeki ekran karşımıza çıkar. Burada yer alan parametreler ne anlama gelir?
- No=Sıralama
- Time=Milisaniye olarak geçen zaman
- Source=Paketin Kaynağı (Gönderen)
- Destination= Hedef (Alıcı adres)
- Protocol= Hangi protokol üzerinden gönderim yapıldığı
- Length= Paket boyutu
- Info= Paket’e dair bilgilendirme yapılan kısım
Wireshark kullanırken standart filtrelemeler dışında kendinize ait özel filtreler oluştumak isterseniz, wireshark size bu özelliği sunmaktadır. Bunu yapabilmek için filtrelemek istediğiniz durumun üzerine sağ tış yapıp, “Apply as Filter” demeniz ve çıkan durumlardan birini kendinize göre seçmeniz yeterli olacaktır. Görseldeki gibi "TLSv1.2" ye sağ tıklayıp açılan sekmede "Apply as Filter-->Selected" diyerek TLSv1.2' yi filtrelemiş oluruz. Ya da tam tersi olarak "Apply as Filter-->Not Selected" diyerek de TLSv1.2 dışındakileri görüntüle diyebiliriz.
Yine Wireshark kullanırken standart kolonlar (No, Time, Source vs...) yerine kendi tercihimize göre özel kolonlar da ekleyebiliriz. Bunun için ana menüden "Edit-->Preference" yolunu takip edip açılan ekranda "Columns" ekranında + butonu ile yeni bir kolon ekleyebiliriz. Örneğin Title TTL diyip fields kısmına ip.ttl dedikten sonra Apply--Ok diyerek yeni kolonu oluşturmuş oluruz.
İstediğimiz protokol içerisinde arama yapabilmemizi sağlayan contains filtresi bize çok kolaylık sağlamaktadır. Örneklerde SMB ve HTTP trafikleri içerisinde bazı aramalar yapılmıştır. (http contains "jpeg" -- smb contains "SHARKFEST" gibi...)
Filtrelemebutonueklemekiçinilk olarak+butonuna basıyoruz. Sürekli kullandığımız ve özellikle uzun filtreler için filtreleme butonu oluşturarak her seferinde bunu yazma zahmetinden kurtularak işimizi tek buton ile halledebiliriz.
+ tuşuna bastıktan sonra bu menü açılmaktadır. Açılan menüde filtrelemeler için kullanabileceğiniz butonun ismi ve filtreleme seçeneğini yazacağınız bölümler bulunmaktadır.
Yapılan işlemler sonunda görünüm kutucuk içine alınan kısım gibi olacaktır. Artık DHCP isminde ve dhcp paketlerini filtreleyen bir filtreleme butonumuz olmuştur.
Filtreyi silmek için...
Wireshark –Adres Çözümlemenin Aktif Edilmesi: ilk olarak Edit -> Prefences yolunu takip sağ tarafta bulunan pencerenin açılmasını sağlıyoruz. (Kısa yolu = Ctrl + Shift + A) Daha sonra kolon kısmına tıklanır. Daha sonra sağda açılan pencerede işlem yapılır. Bu örnek için sadece MAC adresleri için adres çözümlemesini aktifleştirdik. Bu sayede artık MAC adreslerinin ilk 24 biti çözümlenecek ve üretici firmayı trafik içerisinde görebileceğiz. Aynı durum DNS için de geçerlidir.
HTTP İsteklerinin Analiz Edilmesi
Eğer HTTP paketlerini analiz etmek ister isek: Statistics-> HTTP-> Requests yolunu takip ederek ziyaret edilen ve web site istatistiklerini görebilirsiniz.
Açılan ekranda url üzerine tıklayarak o url adresine ait trafiği ve yüklenme aşamalarını görebilirsiniz.
Statistics-> HTTP-> Packet Counter yolunu takip ederek HTTP Response Packet durumlarını analiz edebilirsiniz.
Bu kısımda HTTP cevap kodlarına ait istatistikleri görebilirsiniz. Örnek olarak • GETkullanılan 165 http isteği varmış
IP Adreslerinin Analiz Edilmesi
Statistics-> IPv4 Statistics-> All Addresses yolunu takip ederek IP Adres istiatistiklerinin bulunduğu kısma erişebilirsiniz.
Bu kısımda IP adreslerinin trafik içerisinde kaç defa geçtiğini bulabilirsiniz. Display Filter kısmından da bir filtre belirtip hangi ip adreslerinin o filtrede geçerli olduğunu bulabilirsiniz.
Wireshark Protocol Hierarchy
Statistics -> Protocol Hierarchy yolunu takip ederek açılır pencerede hangi protokolden kaç tane paket olduğunu görebilir ve istediğiniz bir protokol üzerine sağ tuş yapıp bir filtre uygulayabilirsiniz.
Wireshark – Resolved Addresses
Yakalanan paketlerin tamamı için bir adres çözümleme yapmak istersek Statistics-> Resolved Addresses yolunu takip etmemiz yeterli olacaktır.
Wireshark ile ARP Saldırılarını Tespit Etmek
Aşağıda belirtilen filtreleri kullanarak sisteminize yönelik muhtemel ARP saldırısını tespit edebilirsiniz.
- arp.duplicate-address-frame
- arp.duplicate-address-detected
Trafik İçerisindeki Verilerin Export Edilmesi
Wireshark ile çalışırken trafik içerisinde geçen bazı ojeleri export etmek isteyebilirsiniz. Bunu yapabilmek için:
File-> Export Objects yolunu takip ediyoruz.
