Interceptere data trafikken fra PC'en ved hjælp af Wireshark

Lær at bruge Wireshark til at analysere datatrafik, opdage netværksproblemer og forstå kommunikationsmønstre gennem filtrering og dekryptering af beskeder.

Computeren hang, Task Manager gav ingen vished. Kun netværkskortets aktivitet blinkede, men hvilken forbindelse der blev etableret, var uklart. Som at høre vandet strømme gennem en væg, uden at opdage kilden til lækagen. For virkelig at forstå skal man skifte fokus fra Windows’ ikoner til de data, der bevæger sig gennem kablerne eller luften.

Analyse af denne karakter er værdifuld for dem, der vil afdække, om software sender data til sårbare servere, dem der kæmper med at få smart enheder til at kommunikere, eller dem, der undersøger netværksprotokolernes mekanikker. For en dybere indsigt, se hvordan man logger sig ind på et beskyttet wifi-netværk for at opfange pakker.

Montere antennen til lyttese

For at aflæse data kræves en sniffer, et program der opfanger pakker. Den anerkendte løsning findes på Wireshark. Mange stopper op under installationen, når Npcap skal installeres.

Uden Npcap er programmet som en radio uden antenne: tændt, men uden signal. Driveren kan overtræde operativsystemets beskyttelser og give adgang til rå data. For Wi-Fi-analyse, husk at aktivere "raw 802.11"-tilstand, men vær opmærksom på, at Windows’ hardwarebegrænsninger kan gøre denne funktion ustabil. På Linux og macOS kræver opfangning administratorrettigheder (root/sudo), ellers er netværksinterfacet usynligt.

Håndtere kaos og forstå farver

Når opfangningen går i gang, fylder farverne skærmen med et kaotisk mønster i høj hastighed. Det er som at læse en bog, mens en anden bladrer siderne hurtigt. Computeren er optaget af at udveksle usynlige beskeder med routeren og serverne.

For ikke at miste besindelsen, fokuser blot på farverne, der kortlægger sproget i kommunikationen:

• Grøn: TCP-trafik, som stort set alle websites og webtjenester anvender.
• Mørkeblå: DNS-forespørgsler, essentielle for at se hvilke domæner der kontaktes.
• Lyseblå eller Lilla: UDP-trafik, brugt til streaming, online spil eller Googles QUIC-protokol.
• Sorte eller Røde: viser fejl, tabte pakker eller retransmissioner. Mange betyder problemer i linjen.

Filtrere trafik for at finde svar

For at undgå at drukne i datahavet, anvend filtre. Fortæl programmet hvilke oplysninger, vi vil se. Vil vi isolere kommunikationen fra en bestemt enhed, kan vi skrive ip.addr == 192.168.1.10 i tekstfeltet. Ønsker vi blot at overvåge webstedernes navne, skriver vi dns.

Fanger du en ukrypteret kommunikation, kan hele samtalen genskabes. Højreklik på en pakke og vælg Følg TCP-strøm, så kobler Wireshark alle fragmenter sammen og præsenterer teksten i klartekst som en chat.

hvis du opdager, at computeren downloader et billede eller en mistænkelig fil, er der ingen grund til manuel byte-genskabelse. Ifølge WindowsOnlineSolutionss vejledning, gå til Fil-menuen, vælg Eksporter objekter, derefter HTTP. En liste over alle filer fra netværket vises, som kan gemmes for yderligere antivirusanalyse.

Muren af HTTPS og det nye standard QUIC

I dag er næsten al trafik krypteret. Åbner du en pakke fra et moderne websted, ser du blot meningsløse symboler fra TLS-kryptering. Mange Google- og Facebook-tjenester anvender nu QUIC-protokollen, der benytter UDP i stedet for TCP, hvilket komplicerer analysen yderligere.

Adgang til dine data kræver, at browseren leverer nøglerne. Opret en systemvariabel kaldet SSLKEYLOGFILE og angiv stien til en fil.

Chrome eller Firefox skriver nøglerne for hver session i denne fil. Integrer filen i Wireshark's indstillinger. Programmet dekrypterer dermed trafikken i realtid og omdanner koden til klar tekst.

Analyse hurtigt og statistik om bredbånd

Ved langsomt netværk er det en udfordring at fokusere på individuelle pakker. Brug Statistikker for at få overblikket. Under Samtaler vises en tabel sorteret efter byte-forbrug; hvis forbindelsen er mættet, fremgår den IP-adresse, der forårsager det største forbrug, tydeligt.

I/O Grafer skildrer trafikmønstret over tid. Den afslører, om lag-spikes er sporadiske eller et vedholdende problem på linjen.

Almindelige spørgsmål og tekniske grænser

• Kan jeg spionere på naboerne? Nej. WPA2/WPA3 kryptering beskytter dataene. Selv optagede pakker vil ikke afsløre adgangskoder i klar tekst; dekryptering kræver uforholdsmæssigt mange ressourcer.
• Hvorfor ser jeg kun min egen trafik? Moderne netværk anvender switches, der isolerer data. For at se trafik fra en anden PC kræves en mirror-port eller et gammelt hub, som er umoderne nu.
• Er det lovligt? Ja, det er legitimt for dem, der administrerer netværk. Det er lovligt at overvåge eget netværk. At opsnappe andres data uden samtykke er strafbart.
• Hurtig analyse med TShark. Når fangstfilerne vokser, kan den grafiske grænseflade være langsom. I sådanne tilfælde er TShark, terminalversionen, hurtigere til at filtrere dataene.

At bruge Wireshark er som at have superkræfter, men forvent ikke at læse hver e-mail eller adgangskode. Kryptering er ofte uovervindelig. Brug værktøjet til at tackle specifikke problemer, ikke til overfladisk spionage. Hvis et program skaber problemer, isoler IP-adressen og kontroller DNS. Det er den eneste metode til konkret at forstå, hvad der forlader din PC, uden at stole blindt på softwareproducenternes beskrivelser.