Wireshark

Wireshark décode le trafic réseau paquet par paquet. Il lit les fichiers de capture aux formats pcap et pcapng et présente chaque trame avec ses couches de protocole développées en arborescence, d'Ethernet et IP jusqu'à TCP ou UDP et au protocole d'application sous-jacent, les octets bruts étant affichés à côté et mis en surbrillance à mesure que les champs sont sélectionnés.

Son langage de filtre d'affichage est l'endroit où s'effectue l'essentiel du travail : une expression nommant un hôte, un port, un protocole ou une comparaison de champs réduit des milliers de trames à la conversation en question. Les trames associées peuvent être suivies sous forme de flux réassemblé, et les menus de statistiques résument les conversations, les points de terminaison, la distribution des protocoles et les temps de réponse. Le trafic TLS peut être décodé lorsque les clés de session sont fournies, et un grand nombre de protocoles d'application disposent de déssecteurs dédiés.

L'empaquetage décrit ici est indiqué comme étant sans prise en charge de la capture en direct, il fonctionne donc sur des fichiers capturés ailleurs, par exemple par tcpdump ou dumpcap sur la machine qui voit le trafic. La lecture d'un fichier de capture existant ne nécessite aucun privilège élevé.