Wireshark

Wireshark decodiert Netzwerkverkehr Paket für Paket. Es liest Aufzeichnungsdateien im pcap- und pcapng-Format und stellt jeden Frame dar, dessen Protokollschichten in einem Baum erweitert sind, von Ethernet und IP über TCP oder UDP bis hin zu dem jeweiligen Anwendungsprotokoll, während die Rohbytes daneben angezeigt und hervorgehoben werden, wenn Felder ausgewählt werden.

Seine Filtersprache ist der Ort, an dem die meiste Arbeit stattfindet: Ein Ausdruck, der einen Host, einen Port, ein Protokoll oder einen Feldvergleich benennt, reduziert Tausende von Frames auf die betreffende Konversation. Zusammengehörige Frames können als wieder zusammengesetzter Datenstrom verfolgt werden, und die Statistikmenüs fassen Konversationen, Endpunkte, Protokollverteilung und Antwortzeiten zusammen. TLS-Verkehr kann decodiert werden, wenn die Sitzungsschlüssel bereitgestellt werden, und eine große Anzahl von Anwendungsprotokollen verfügt über dedizierte Dissectoren.

Das hier beschriebene Paket wird als ohne Live-Aufzeichnungsunterstützung gekennzeichnet beschrieben, sodass es mit an anderer Stelle aufgezeichneten Dateien arbeitet, zum Beispiel durch tcpdump oder dumpcap auf der Maschine, die den Verkehr sieht. Das Lesen einer vorhandenen Aufzeichnungsdatei erfordert keine erhöhten Privilegien.