Wireshark Aide Memoire

s disponibles sont : la quantité de bits capturés et la date de capture.

• La deuxième ligne correspond au couche liaison. On y détaille le type et les champs de la trame et les adresses physiques.

• La troisième ligne correspond au couche réseau. On y détaille les champs du protocole réseau reconnu : adresses logiques et indicateurs d'état.

• La quatrième ligne correspond au couche transport. On y détaille les champs du protocole de transport reconnu : état de la connexion, numéros de ports utilisés et diverses options.

• La cinquième ligne correspond au couche application. On y trouve les données utilisateur.

3) Volet d'affichage brut de la trame sélectionnée. Cette fenêtre affiche tous les octets de la trame en hexadécimal.

Le filtrage des trames

Un problème survenant lors du lancement de Wireshark avec le paramétrage par défaut est l'obtention d'un trop grand nombre d'informations à l'écran. Ceci va donc compliquer la recherche de l'information que vous désirez.

Pour utiliser Wireshark de manière optimale, il est important de savoir comment manipuler les filtres pour trouver les informations précises que vous recherchez. Ainsi, les filtres sont si importants, ils vont nous aider à cibler les données que vous recherchez.

 Pour configurer un filtre de capture il faut :

• Sélectionnez Capture -> Options.

• Remplissez le champ "Capture Filter" ou cliquez sur le bouton "Capture Filter" pour donner un nom à votre filtre et pouvoir le réutiliser pour des captures ultérieures.

• Cliquez sur Start pour capturer des données.

 Un filtre peut être de cette syntaxe :

Syntaxe: Protocole Direction Hôte(s) Valeur Operations logique Autre expression

Exemple: tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128

• le protocole à capturer : exemples : ether, ip, arp, rarp, decnet, sca, moprc, tcp ou udp,

• Direction qui peut être src ou dst,

• un champ qui peut être host, net ou port suivi d'une valeur.

• Les opérateurs and, or et not peuvent être utilisés pour combiner des filtres, par exemple :

 host 172.16.0.1 and tcp  ne conserve que les paquets TCP à destination ou en provenance de la machine 172.16.0.1

 udp port 53 ne conserve que les paquets UDP en provenance ou à destination du port 53

 udp port 53 and dst host 172.16.0.1 ne conserve que les paquets UDP en provenance ou à destination du port 53 et à destination de la machine 172.16.0.1

 tcp dst port 80 and dst host 172.16.0.1 and src net 172.16.0.0 mask 255.255.255.0  ne conserve que les paquets TCP à destination de la machine 172.16.0.1 sur le port 80 et en provenance des machines du sous-réseau 172.16.0/24