Phenquestions
I denne artikel lærer du, hvordan du søger efter strenge i pakker ved hjælp af Wireshark. Der er flere muligheder forbundet med strengesøgninger. Inden du går videre i denne artikel, skal du have en generel viden om Wireshark Basic.
Antagelser
En Wireshark-fangst skal være i en tilstand; enten gemt / stoppet eller live. Vi kan også udføre strengesøgning i live capture, men for bedre og klar forståelse bruger vi gemt capture til at gøre dette.
Trin 1: Åbn Gemt optagelse
Åbn først en gemt optagelse i Wireshark. Det vil se sådan ud:
Trin 2: Åbn søgemulighed
Nu har vi brug for en søgemulighed. Der er to måder at åbne denne mulighed på:
- Brug tastaturgenvejen "Ctrl + F"
- Klik på "Find en pakke" enten fra ikonet udefra eller gå til "Rediger-> Find pakke"
Tjek skærmbillederne for at se den anden mulighed.
Uanset hvilken indstilling du bruger, vil det sidste Wireshark-vindue se ud som nedenstående skærmbillede:
Trin 3: Etiketindstillinger
Vi kan se flere muligheder (dropdowns, afkrydsningsfelt) inde i søgevinduet. Du kan mærke disse muligheder med tal for nem forståelse. Følg skærmbilledet nedenfor for nummerering:
Mærke1
Der er tre sektioner i rullemenuen.
- Pakkeliste
- Pakkeoplysninger
- Pakkebyte
Fra nedenstående skærmbillede kan du se, hvor disse tre sektioner i Wireshark er placeret:
Valg af sektion a / b / c betyder, at strengen kun udføres i det afsnit.
Mærke2
Vi holder denne mulighed som standard, da den er bedst til almindelig søgning. Det anbefales at holde denne mulighed som standard, medmindre det er nødvendigt at ændre den.
Mærkat3
Som standard er denne indstilling ikke markeret. Hvis “Skift mellem store og små bogstaver” er markeret, finder strengesøgningen kun nøjagtige match af den søgte streng. For eksempel, hvis du søger efter “Linuxhint” og Label3 er markeret, vil dette ikke søge efter “LINUXHINT” i Wireshark capture.
Det anbefales at holde denne mulighed ukontrolleret, medmindre det er nødvendigt at ændre den.
Mærkat4
Denne etiket har forskellige typer søgninger, såsom "Displayfilter", "Hex-værdi", "Streng" og "Regelmæssig udtryk.”I forbindelse med denne artikel vælger vi“ String ”fra denne rullemenu.
Mærke 5
Her skal vi indtaste søgestrengen. Dette er input til søgningen.
Mærke6
Når Label5-input er givet, skal du klikke på knappen "Find" for at udløse søgningen.
Mærke7
Hvis du klikker på "Annuller", lukkes søgevinduerne, og du skal vende tilbage for at følge trin 2 for at få dette søgevindue tilbage.
Trin 4: Eksempler
Nu hvor du har forstået mulighederne for søgning, lad os prøve nogle eksempler. Bemærk, at vi har deaktiveret farvelægningsreglen for at se den søgepakke, vi valgte, mere tydeligt.
Prøv1 [Brugt valgmulighedskombination: "Pakkeliste" + "Smal og bred" + "Ikke-markeret sagsfølsom" + streng]
Søgestreng: “Len = 10”
Klik nu på “Find.”Nedenfor er skærmbilledet til det første klik på“ Find: ”
Da vi har valgt "Pakkeliste", blev søgningen udført inde i pakkelisten.
Dernæst vil vi klikke på knappen "Find" igen for at se den næste kamp. Dette kan ses på skærmbilledet nedenfor. Vi markerede ingen sektioner for at give dig mulighed for at forstå, hvordan denne søgning sker.
Lad os søge i strengen med den samme kombination: “Linuxhint” [For at kontrollere ikke fundet scenario].
I dette tilfælde kan du se den gule meddelelse i nederste venstre side af Wireshark, og der er ikke valgt nogen pakke.
Prøv2 [Brugt valgmulighedskombination: “Pakkeoplysninger” + "Smal og bred" + "Ikke-markeret store og små bogstaver" + streng]
Søgestreng: "Sekvensnummer"
Nu skal vi klikke på “Find.”Nedenfor er skærmbilledet til det første klik på“ Find: ”
Her blev den streng, der blev fundet i "pakkeoplysninger" valgt.
Vi kontrollerer indstillingen "Skift mellem store og små bogstaver" og bruger søgestrengen som et "Sekvensnummer" og holder de andre kombinationer som de er. Denne gang vil strengen matche det nøjagtige ”Sekvensnummer.”
Prøv3 [Brugt valgmulighedskombination: “Pakkebyte” + "Smal og bred" + "Ikke-markeret store og små bogstaver" + streng]
Søgestreng: "Sekvensnummer"
Klik nu på “Find.”Nedenfor er skærmbilledet til det første klik på“ Find: ”
Som forventet sker strengsøgningen inde i pakkebyte.
Konklusion
Udførelse af en strengesøgning er en meget nyttig metode, der kan bruges til at finde en påkrævet streng inde i en Wireshark-pakkeliste, pakkeoplysninger eller pakkebyte. God søgning gør det let at analysere store Wireshark capture-filer.
