Wireshark

Wireshark descodifica el tráfico de red paquete por paquete. Lee archivos de captura en formato pcap y pcapng y presenta cada trama con sus capas de protocolo expandidas en un árbol, desde Ethernet e IP pasando por TCP o UDP hasta cualquier protocolo de aplicación que se encuentre en la parte superior, con los bytes sin procesar mostrados al lado y resaltados a medida que se seleccionan los campos.

Su lenguaje de filtro de pantalla es donde se realiza la mayor parte del trabajo: una expresión que nombra un host, un puerto, un protocolo o una comparación de campos reduce miles de tramas a la conversación en cuestión. Las tramas que pertenecen juntas se pueden seguir como una secuencia reensamblada, y los menús de estadísticas resumen las conversaciones, los puntos finales, la distribución de protocolos y los tiempos de respuesta. El tráfico TLS se puede descodificar cuando se proporcionan las claves de sesión, y una gran cantidad de protocolos de aplicación tienen desentorchadores dedicados.

El empaquetado descrito aquí se indica como carente de soporte de captura en vivo, por lo que opera en archivos capturados en otra parte, por ejemplo, por tcpdump o dumpcap en la máquina que ve el tráfico. La lectura de un archivo de captura existente no requiere privilegios elevados.