Wireshark

O Wireshark descodifica o tráfego de rede pacote a pacote. Lê ficheiros de captura nos formatos pcap e pcapng e apresenta cada frame com as respetivas camadas de protocolo expandidas numa árvore, desde Ethernet e IP até TCP ou UDP, passando por qualquer protocolo de aplicação que se encontre no topo, com os bytes em bruto mostrados ao lado e destacados à medida que os campos são selecionados.

A sua linguagem de filtro de ecrã é onde a maior parte do trabalho acontece: uma expressão que nomeia um anfitrião, uma porta, um protocolo ou uma comparação de campos reduz milhares de frames à conversa em questão. As frames que pertencem umas às outras podem ser seguidas como um fluxo reassemblado, e os menus de estatísticas resumem conversas, pontos finais, distribuição de protocolos e tempos de resposta. O tráfego TLS pode ser descodificado quando as chaves de sessão são fornecidas, e um grande número de protocolos de aplicação possui descodificadores dedicados.

O empacotamento descrito aqui é indicado como sendo sem suporte de captura em direto, pelo que opera em ficheiros capturados noutro local, por exemplo por tcpdump ou dumpcap na máquina que vê o tráfego. A leitura de um ficheiro de captura existente não necessita de privilégios elevados.