wireshark vs frame contains

Fajna rzecz można np. wyszukiwać dodatkowo co znajduje się w pakiecie np.

http.request.method == GET && frame contains "jpg"

resolve name vs wireshark

Jesli interesuje nas jakis ip w wiresharku, a nie chce nam się nslookup'a robic, to jak zwykle wireshark ma tajną broń. Wybieramy z panelu Detail, ip źródłowy albo docelowy, klikamy prawym i wybieramy Resolve Name.

Wireshark & throughput speeds

Zawsze zastanawiałem się czemu tak trudno zmierzyć prędkość posiadając log z tcpdumpa. Wireshark znowu mnie zaskoczył.

Statistic -> TCP Stream Graph -> Throughput graph

Wireshark + ToLong

Następna przydatna rzecz jak mamy za duży plik i wireshark nie daje nam rady go pokazać to przy ładowaniu dajemy filtr

frame.number < 50000

tcpdump vs wireshark

Gdy robimy zrzut tcpdump'em czasami otrzymujemy informację.

[Packet size limited during capture]

Tcpdump obcina zbyt dużą ilość informacji (max domyślnie 68 pakietów), ale czasem może się to nam przydać. Wystarczy że dodamy flage -s0.

tcpdump -s0 host 192.168.1.2 -w log1.2.dump

Big File + Wireshark

Ostatnio chciałem przeanalizować ruch w sieci, nazbierało mi się tego 450 Mb.
Zrzut zrobiłem w taki sposób.

tcpdump -c 5000000 net 192.168.x.0/24 -w calasiecX.log

Nasłuchując przez 5 minut sieć obliczyłem, że 10 godzin to będzie gdzieś tak koło 5000000 pakietów (z tąd flaga -c), odpowiednia sieć oraz zapis do pliku calasiecX.log.
Moj wireshark oszalał jak ladował plik. Zastanawiałem się czy jest jakiś sposób, wymyśliłem tylko jeden.

#wc -l calasiecX.log
1911693 calasiecX.log

policzyłem ile jest wierszy podzieliłem na połowe i stworzyłem 2 pliki.

head -n 955846 calasiecX.log > calasiecX-01.log
tail -n 955845 calasiecX.log > calasiecX-02.log

955846 wierszy początkowych oraz tyle samo końcowych. Dzięki temu wireshark pozwolił mi załadować połowe informacji. Wydaje mi się, że ten sposób jest trochę nie domyślny macie jakiś swój ?.