WIRESHARK KULLANIM KILAVUZU V1.0

Utku Uluahin Gngr Basa

NDEKLER :

1 WIRESHARK 1.1 - WIRESHARKIN GELM 1.2 - DESTEKLENEN PROTOKOLLER 1.3 - A ANALZ ve KULLANIM ALANLARI 1.4 - WIRESHARKI YKLEME 1.4.1 - Windows iletim sisteminde ykleme 1.4.2 - Unix (Linux) iletim sisteminde ykleme 2 - WIRESHARK BLEENLER 2.1 - ANA PENCERE (MAIN WINDOW) : 2.2 - SUMMARY WINDOW 2.3 - PROTOCOL TREE WINDOW : 2.4 - DATA VEW WINDOW 2.5 FILTER BAR2.6 INFORMATION FIELD

2.7 MENU ERKLER : 2.7.1 FILE 2.7.2 EDIT 2.7.3 VIEW

2.7.4 GO 2.7.5 CAPTURE 2.7.6 ANALYZE 2.7.7 STATICS 2.7.8 - HELP 3- Filtreleme 3.1 FLTRELEME LEMLER 3.1.1 FLTRELEME GRAMER 3.1.2 EN OK KULLANILAN FLTRELER VE RNEKLER 3.1.2.1 IP FLTRELER 3.1.2.2 ETHERNET FLTRELER 3.1.2.3 TCP FILTRELER 3.1.2.3 UDP FLTRELER 3.2 FILTER EXPRESSION 3.2.1 MSN KONUMALARINI YAKALAMA 3.2.2 MAIL YAKALAMA 3.3 BILESK FILTRE YAPIMI

1 - WIRESHARK1998 ylnda Ethereal adyla faaliyete balayan proje, dnyann drt bir yanndaki a uzmanlarnn da katksyla gnmzn nder a protokol analizcisi haline gelmitir, hatta ou endstri ve eitim enstitsnde standarttr. Yeni versiyonlar wireshark ismiyle kan yazlm, bilgisayarnza ulaan paketleri yakalamanza ve bu paketlerin ieriini grntlemenize olanak tanyor. Baka bir deyile, bilgisayara bal olan her trl a kartlarndaki (Ethernet kart veya modem) tm TCP/IP mesajlarn analiz edebilen bir programdr. Wiresharkn dikkat eken zellikleri :

750'nin zerinde protokol analiz edebilir (srekli yenileri bu listeye eklenmektedir). Gerek zamanl analiz yapabilir. Bir analizi filtre edebilir (rnein "sadece HTTP mesajlarn gster" gibi). Standart pencereli paket gezginine sahiptir. oklu-platform: Windows, Linux, OS X, Solaris, FreeBSD, NetBSD, ve bir ok iletim sisteminde alr Terminal veya kullanc arabirimi ile kullanlabilir. Yakalanan a verisi kullanc grafik ara yz aracl ile gezilebilir veya TTY-kipinde TShark arac ilede olabilir. Endstrideki en gl gsterim filtrelerine sahiptir. Ayn zamanda zengin VoIP analizleri yapabilmektedir. Birok yakalama dosya biimini yazp okuyabilir: tcpdump (libpcap), Catapult DCT2000, Cisco Secure IDS iplog, Microsoft Network Monitor, Network General Sniffer (sktrlm ve sktrlmam), Sniffer Pro, ve NetXray, Network Instruments Observer, Novell LANalyzer, RADCOM WAN/LAN Analyzer, Shomiti/Finisar Surveyor, Tektronix K12xx, Visual Networks Visual UpTime, WildPackets EtherPeek/TokenPeek/AiroPeek, ve biroklar... Birok protokol iin ifre zme destei sunabilmektedir (IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP, ve WPA/WPA2'yi ierir). Gzip ile sktrlm dosyalar yakalarken, havadayken sktrmasn aabilir. Canl veriyi Ethernet, IEEE 802.11, PPP/HDLC, ATM, Bluetooth, USB, Token Ring, Frame Relay, FDDI, ve dierlerinden (platforma gre deiir) okuyabilir. Paket listesinde hzl ve sezgisel analiz iin, renklendirme kurallar uygulayabilir. kty XML, PostScript, CSV, veya dze metin eklinde verebilir.

1.1 - WIRESHARKIN GEL MWireshark 1997 ylnda, adaki sorunlar gidermek amacyla Gerald Combs tarafndan gelitirilmitir. lk versiyonu Temmuz 1998de yaynlanmtr. Daha sonra, Gilbert Raminez, Guy Harriz ve Richard Sharpeden oluan destek takm oluturulmu ve wireshark hzla gelitirilmeye balanmtr. O gnden itibaren, dnyann drt bir yanndan insanlar, wiresharkn gelimesine katkda bulunmutur (Katkda bulunanlarn listesini http://www.wireshark.org/about.html#authors adresinden bulabilirsiniz). Grd ok byk destek ve geni kullanm taban sayesinde wiresharkn kullanlabilirlii ve poplaritesi gnden gne artmaktadr.

1.2 - DESTEKLENEN PROTOKOLLERA analizcisi, adan okuduu bilgilerin ne anlama geldiini anlamas ve nasl okunabilir bir formata dntrleceini bilmesi gerekmektedir. Bu ileme protokol zmleyicisi denmektedir. n bilgi amal verdiimiz wiresharkn dikkat ekici zelliklerinin ilk maddesinde, 750'nin zerinde protokol analiz edebildiini belirtmitik. Bu maddeden de anlald gibi wireshark bu alanda olduka iddaaldr. Aada wiresharkn destekledii 752 protokol listelenmitir : 3COMXNS, 3GPP2 A11, 802.11 MGT, 802.11 Radiotap, 802.3 Slow protocols, 9P,AAL1,AAL3/4,AARP,ACAP,ACN,ACSE,ACtrace,ADP,AFP,AFS (RX),AgentX,AH,AIM,AIM Administration,AIM Advertisements,AIM BOS,AIM Buddylist,AIM Chat,AIM ChatNav,AIM Directory,AIM E-mail, AIM Generic,AIM ICQ,AIM Invitation,AIM Location,AIM Messaging, AIM OFT,AIM Popup,AIM Signon,AIM SSI,AIM SST,AIM Stats,AIM Translate,AIM User Lookup,AJP13,ALC,ALCAP,AMR,ANS,ANSI BSMAP,ANSI DTAP,ANSI IS-637-A Teleservice,ANSI IS-637-A Transport, ANSI IS-683-A (OTA (Mobile)),ANSI IS-801 (Location Services (PLD)), ANSI MAP,AODV,AOE,ARCNET,Armagetronad,ARP/RARP,ARTNET, ASAP,ASF,ASN1,ASP,ATM,ATM LANE,ATP,ATSVC,Auto-RP,AVS WLANCAP,AX4000, BACapp, BACnet, Basic Format XID, BEEP, BER, BFD Control, BGP, BICC, BitTorrent, Boardwalk, BOFL,BOOTP/DHCP, BOOTPARAMS, BOSSVR, BROWSER, BSSAP, BSSGP, BUDB, BUTC, BVLC,CAMEL,CAST,CBAPDev, CCSDS, CCSRL, CDP, CDS_CLERK, cds_solicit,CDT, CFLOW,CGMP, CHDLC, CIGI, CIMD, CIP, CISCOWLL2, CLDAP, CLEARCASE, CLNP,CLTP, CMIP,CMP, CMS,CONV, COPS, COSEVENTCOMM, CoSine, COSNAMING,COTP, CPFI, CPHA, cprpc_server,CRMF, CSM_ENCAPS, CUPS,DAAP,DAP, Data, dc, DCCP, DCE_DFS, dce_update, DCERPC, DCOM, DCP, DDP, DDTP, DEC_DNA, DEC_STP, DFS, DHCPFO, DHCPv6, DIAMETER, dicom, DIS, DISP, DISTCC, DLSw,DLT User A, DLT User B, DLT User C, DLT User D, DNP 3.0, DNS, DNSSERVER, DOCSIS, DOCSIS BPKM-ATTR, DOCSIS BPKM-REQ, DOCSIS BPKM-RSP, DOCSIS DSA-ACK, DOCSIS DSAREQ, DOCSIS DSA-RSP, DOCSIS DSC-ACK, DOCSIS DSC-REQ, DOCSIS DSC-RSP, DOCSIS DSD-REQ, DOCSIS DSD-RSP, DOCSIS INT-RNG-REQ, DOCSIS MAC MGMT, DOCSIS MAP, DOCSIS REGACK, DOCSIS REG-REQ, DOCSIS REG-RSP, DOCSIS RNG-REQ, DOCSIS RNG-RSP, DOCSIS TLVs, DOCSIS type29ucd, DOCSIS UCCREQ, DOCSIS UCC-RSP,DOCSIS UCD, DOCSIS VSIF, DOP,

DRSUAPI, DSI, DSP, DSSETUP, DTP, DTSPROVIDER, DTSSTIME_REQ,DUA,DVMRP, E.164, EAP, EAPOL,ECHO, EDONKEY, EDP, EFS, EIGRP, ENC, ENIP, ENRP, ENTTEC, EPM, EPMv4, ESIS, ESP, ESS, ETHERIC, ETHERIP, Ethernet, EVENTLOG, FC, FC ELS, FC FZS, FC-dNS, FC-FCS, FC-SB3, FC-SP, FC-SWILS, FC_CT, FCIP, FCP, FDDI, FIX, FLDB, FR, Frame, FRSAPI, FRSRPC, FTAM, FTBP, FTP, FTP-DATA, FTSERVER,FW-1,G.723, GIF image, giFT, GIOP, GMRP, GNM, GNUTELLA, GPRS NS, GPRS-LLC, GRE, Gryphon, GSM BSSMAP, GSM DTAP, GSM RP, GSM SMS, GSM SMS UD, GSM_MAP, GSM_SS, GSS-API, GTP, GVRP, H.223, H.225.0, H.235, H.245, H.261, H.263, H.263 data, H1, h221nonstd, H248, h450, HCLNFSD, HPEXT, HPSW, HSRP, HTTP, HyperSCSI, IAP, IAPP, IAX2, IB, ICAP, ICBAAccoCB, ICBAAccoCB2, ICBAAccoMgt, ICBAAccoMgt2, ICBAAccoServ, ICBAAccoServ2, ICBAAccoServSRT, ICBAAccoSync, ICBABrowse, ICBABrowse2, ICBAGErr, ICBAGErrEvent, ICBALDev, ICBALDev2, ICBAPDev, ICBAPDev2, ICBAPDevPC, ICBAPDevPCEvent, ICBAPersist, ICBAPersist2, ICBARTAuto, ICBARTAuto2, ICBAState, ICBAStateEvent, ICBASysProp, ICBATime, ICEP, ICL_RPC, ICMP, ICMPv6, ICP, ICQ, IDispatch, IDP, IEEE 802.11, IEEE802a, iFCP, IGAP, IGMP, IGRP, ILMI, IMAP, INAP, INITSHUTDOWN, IOXIDResolver, IP, IP/IEEE1394, IPComp, IPDC, IPFC, IPMI, IPP, IPv6, IPVS, IPX, IPX MSG, IPX RIP, IPX SAP, IPX WAN, IRC, IrCOMM, IRemUnknown, IRemUnknown2, IrLAP, IrLMP, ISAKMP, iSCSI, ISDN, ISIS, ISL, ISMP, iSNS, ISUP, isup_thin, ISystemActivator, itunes, IUA, IuUP, Jabber, JFIF (JPEG) image, Juniper, JXTA, JXTA Framing, JXTA Message, JXTA UDP, JXTA Welcome, K12xx, KADM5, KINK, KLM, Kpasswd, KRB4, KRB5, KRB5RPC, L2TP, LANMAN, LAPB, LAPBETHER, LAPD, Laplink, LDAP, LDP, Line-based text data, LLAP, llb, LLC, LLDP, LMI, LMP, Log, LogotypeCertExtn, LOOP, LPD, LSA, Lucent/Ascend, LWAPP, LWAPP-CNTL, LWAPP-L3, LWRES, M2PA, M2TP,M2UA,M3UA,MACC,Malformed packet, Manolito, MAP_DialoguePDU, MAPI, MDS Header, Media,MEGACO, message/http, Messenger,MGCP,MGMT, MIME multipart, MIPv6,MMS, MMSE, Mobile IP, Modbus/TCP,MOUNT, MPEG1, MPLS, MPLS Echo,MQ, MQ PCF, MRDISC, MS NLB, MS Proxy, MSDP,MSMMS, MSNIP, MSNMS, MSRP, MTP2, MTP3, MTP3MG, MySQL, NBAP, NBDS, NBIPX, NBNS, NBP, NBSS, NCP, NCS,NDMP, NDPS, NetBIOS, Netsync, nettl, NFS, NFSACL, NFSAUTH,NHRP, NIS+, NIS+ CB,NJACK, NLM, NLSP, NMAS, NMPI, NNTP, NORM, NS_CERT_EXTS, NSIP, NSPI, NTLMSSP, NTP, Null, NW_SERIAL,OAM AAL, OCSP, OLSR, OPSI, OSPF, P_MUL, PAGP, PAP, PARLAY, PCLI, PCNFSD, PER, PFLOG, PFLOG-OLD, PGM, PGSQL, PIM, PKCS-1, PKInit, PKIX Certificate, PKIX1EXPLICIT, PKIX1IMPLICIT, PKIXPROXY, PKIXQUALIFIED, PKIXTSP, PKTC, PNDCP, PN-RT, PNIO, PNP, POP, Portmap, PPP, PPP BACP, PPP BAP, PPP CBCP, PPP CCP, PPP CDPCP, PPP CHAP, PPP Comp, PPP IPCP, PPP IPV6CP, PPP LCP, PPP MP, PPP MPLSCP, PPP OSICP, PPP PAP, PPP PPPMux, PPP PPPMuxCP, PPP VJ, PPP-HDLC, PPPoED, PPPoES, PPTP, PRES, Prism, PTP, PVFS,Q.2931,Q.931,Q.933, QLLC,QUAKE,QUAKE2, QUAKE3,QUAKEWORLD, R-STP, RADIUS, RANAP,Raw, Raw_SigComp,Raw_SIP, rdaclif, RDM,RDT, Redback,REMACT, REP_PROC, RIP, RIPng, RLM, Rlogin, RMCP, RMI, RMP, RNSAP, ROS, roverride, RPC, RPC_BROWSER, RPC_NETLOGON, RPL, rpriv, RQUOTA, RRAS, RS_ACCT, RS_ATTR, rs_attr_schema, RS_BIND,

rs_misc, RS_PGO, RS_PLCY, rs_prop_acct, rs_prop_acl, rs_prop_attr, rs_prop_pgo, rs_prop_plcy, rs_pwd_mgmt, RS_REPADM, RS_REPLIST, rs_repmgr, RS_UNIX, rsec_login, RSH, rss, RSTAT, RSVP, RSYNC, RTcfg,RTCP,RTmac,RTMP,RTP,RTP Event,RTPS,RTSE,RTSP, RUDP,RWALL, RX, SADMIND, SAMR, SAP, SCCP, SCCPMG, SCSI, SCTP, SDLC, SDP, SEBEK, SECIDMAP, Serialization, SES, sFlow, SGI MOUNT, Short frame, SIGCOMP, SIP, SIPFRAG, SIR, SKINNY, SLARP, SliMP3, SLL, SM, SMB, SMB Mailslot, SMB Pipe, SMB2, SMB_NETLOGON, smil, SMPP, SMRSE, SMTP, SMUX, SNA, SNA XID, SNAETH, SNDCP, SNMP, Socks, SONMP, SoulSeek, SPNEGO, SPNEGO-KRB5, SPOOLSS, SPP, SPRAY, SPX, SRP, SRVLOC, SRVSVC, SSCF-NNI, SSCOP, SSH, SSL, SSS, STANAG 4406, STANAG 5066, STAT, STAT-CB, STP, STUN, SUA, SVCCTL, Symantec, Synergy, Syslog,T.38,TACACS, TACACS+,TALI,TANGO,TAPI,TCAP,TCP,TDMA,TDS,TEI_MANAGEMENT, TELNET,Teredo,TFTP,TIME,TIPC,TKN4Int,TNS,TokenRing,TPCP,TPKT,TR MAC,TRKSVR,TSP,TTP,TUXEDO,TZSP, UBIKDISK, UBIKVOTE, UCP, UDP, UDPENCAP, UDPlite, UMA, Unreassembled fragmented packet,V.120,V5UA, Vines ARP, Vines Echo, Vines FRP, Vines ICP, Vines IP, Vines IPC, Vines LLC, Vines RTP, Vines SPP, VLAN,VNC,VRRP,VTP,WAP SIR,WBXML,WCCP,WCP,WHDLC, WHO,WINREG, WINS-Replication,WKSSVC,WLANCERTEXTN, WSP,WTLS,WTP, X.25, X.29, X11, X411, X420, X509AF, X509CE, X509IF, X509SAT, XDMCP, XML,XOT, XYPLEX,YHOO,YMSG, YPBIND,YPPASSWD,YPSERV,YPXFRZEBRA, ZIP

1.3 - A ANALZ ve KULLANIM ALANLARIWiresharkn gnmzn nder a protokol analizcisi olduunu sylemitik. Bu blmde a analizi hakknda bilgi vericeiz. Sistem yneticileri, a mhendisleri, gvenlik mhendisleri, sistem iletmecileri ve programclarn hepsi a analizini kullanmaktadr. A analizi adaki sorunlar bulmada ve gidermede, sistem konfigrasyonu yaynlamada paha biilmez bir aratr Gemite, a analizcileri donanm aletlerini pahal ve kullanm zor bir ekilde piyasaya srmekteydi. Ancak gnmzde, teknolojideki yeni gelimeler yazlm tabanl a analizinin gelimesine olanak tanmtr. Bu a analizini daha kullanl ve ucuz bir hale getirmitir. Dier bir adan baklacak olursa, a analizinin yetenekleri iki yzl kl gibidir; a, sistem ve gvenlik uzmanlar problemleri zmede ve a grntlemede kullansa da, davetsiz misafirler a analizini kt amalar iin kullanmaktadr. A analizinin kullanm alanlar : Paketlerdeki ikili veri eklindeki bilgileri, okunabilir bir formata dntrmede kullanlr. Adaki problemleri zmede kullanlr. An performansn analiz etmek iin kullanlr. Aa izinsiz girenleri tespit etmede kullanlr. Uygulamalarn gerekletirdii operasyonlar analiz etmede kullanlr. A kartndaki hatalar bulmada kullanlr. Virslerin bulatn veya Denial ot Service(Dos) ataklarn bulmada kullanlr.

Risk altndaki bilgisayarlar bulmada kullanlr. Casus yazlmlar bulmada kullanlr. Ayn zamanda protokoller hakknda eitici bir kaynaktr.

1.4 - WIRESHARKI YKLEME1.4.1 - Windows iletim sisteminde ykleme :Dnyann nder a analiz program wiresharkn kurulumu olduka basit, ncelikle wiresharksetup-x.y.z.exe dosyasn temin etmelisiniz. Bu dosya ayn zamanda *WinPcap programnda ieriyor, bylece iki paket indirmenize gerek kalmyor. Daha sonra altrn, seilebilecek pek ok zellik olmasnn yannda deneyimli bir kullanc deilseniz default ayarlar semeniz yeterli olacaktr. WinPcap, Windows ortamnda link-layer(balant katman) a iin endstriyel standard Bir eriim aracdr. Packet pacture ve daha bir ok ilevi vardr. Daha fazla bilgi iin resmi sitesine bakabilirsiniz.

1.4.2 - Unix (Linux) iletim sisteminde ykleme :Linux ortamnda paket ykleyicisi yardmyla kolaylkla kurulabilr. Hibir ek ileme gerek yoktur. Eer paket yneticilerinde program yoksa kullanclar sourceforge.net ya da www.wireshark.org adreslerinden birinden programn kaynak kodlarn indirerek kurulum yapabilirler. Kurulum ilemi bittikten sonra program altrabilmek iin root haklar elde edilmesi gereklidir. Bu yzden kullanclar konsole u aarak orada "su" komutunu verip ynetici ifrelerini girdikten sonra "wireshark" yazarak program altrabilirler.

2 - WIRESHARK BLE ENLERWireshark iletiim ann i yznde neler olduunu kavramamz salar. Bu zelliiyle; uygulama protokollerinde, a uygulamalarndaki sorunlar zmede, a test etmede ve canl a balantlarndaki sorunlar zmemizde bize yardmc olur. Yani, iletiim a ile teknik dzey arasnda etkileim salayarak pek ok problemi zmemizi salar. Wireshark ayn zamanda etkileyici bir eitimsel uygulamadr. letiim an grntlemek ve analiz etmek birok eyi anlamamza yardmc olan, retici bir etkinliktir. Bu blmde wiresharkn grafiksel kullanc ara yzndeki ana bileenleri tanmlayacaz : Main window Menu bar Tool bar Summary window Protocol Tree window

Data View window Filter bar Information field Display information Ayn zamanda Summary Window, Protocol Tree Window ve de Data View Windowu yaknda inceleyerek, birbirleriyle balantlarn gstericeiz. Wiresharkn temel grevlerinin(a trafiini yakalama, yakalanan dosyalarn kaydedilmesi ve yklenmesi, temel filtreleme ilemi, paketlerin yazdrlmas vb.) nasl yapldn, anlalr olmas bakmndan, adm adm inceleyeceiz. Komut satrndan wireshark yazarak uygulamay balatabilirsiniz. Wireshark alnca ekil 1.1deki pencere ekrana gelicektir :

ekil 1.1 : Ana Pencere

2.1 - ANA PENCERE (MAIN WINDOW)

Ana penceredeki bileenlerin ieriklerini anlamak, wireshark' anlamamza yardmc olucaktr. ekil 1.1de ana bileenler gzkmektedir. Bu bileenler Tablo 1.1de tanmlanmtr.

Tablo 1.1: Ana Pencere BileenleriPencere Bileeni Menu Bar Tanm Menudeki maddelerin, grafiksel ara yzn ieren klasik bir uygulamadr. Wiresharkn sk kullanlan fonksiyonlarnn yollarn ierir. Kullancya gre ayarlanabilir. Yakalanan paketleri, istenilen ekilde ayrlarak gsterilmesini salar. Yakalan paketlerin her biri iin, bir satrlk zet bilgi sunar. ksa

Tool Bar

Filter Bar

Summary Window

Protocol Tree Window

Summary windowda seili olan paketin detayl bilgilerini, kullanclarn anlayaca ekilde dzenleyerek sunar. Summary windowda seili olan paketin, detayl bilgilerini, herhangi bir dzenleme yapmadan sunar. Yakalanm paketlerin numaralarn, gncel olarak gsterir.

Data View Window

Display Information Field

2.2 - SUMMARY WINDOWYakalanm paketlerin tamamna buradan baklabilir. Her bir dosyann ierii bir satr olarak sunulur, satrlar belli zelliklerine gre stunlara ayrlr. Varsaylan stunlar Tablo 1.2de tanmlanmtr.

Tablo 1.2 : Summary Windows StunlarStun Ad No Tanm Yakalanan dosyann iindeki paketlerin numarasn temsil eder. Grntleme filtresi (display fitler) kullanlmad srece bu numara deitirilemez. Paketin zaman damgasdr. Paketin nereden geldiini gsterir. Paketin nereye gittiini gsterir. Protokol isminin ksa versiyonudur. Paket ierii hakknda ekstra bilgi gsterir.

Time Source Destination Protocol Info

(Edit | Prefences yoluyla stunlarda gsterilen bilgiler deitirilebilir.) Bu dosyalar daha ayrntlda incelenebilir. Herhangi bir dosya seilirse "Packet Details" ve "Packet Bytes" pencereleri alr.

Bir paketin ieriine baklacak olursa, Ethernet paketinin iinde IP, onun iinde TCP bulunur. Ethernet taraycs kendi bilgisini(rnein Ethernet Adresleri) yazar, IP taraycs onun stne kendi bilgisini(rnein IP adresleri) yazar ve TCP taraycs da onun stne IP bilgisini yazacaktr.

ekil 1.1de seili olan paketin, Summary Window blmende gsterilen bilgiler Tablo 1.3de incelenmitir.

Tablo 1.3 : Summary Window StunuStun Ad No Time Source Destination Protocol Info Deeri 8 8.004042 (yakalama ilemine balanldndan itibaren) IP numaras 192.168.0.15 IP numaras 192.168.0.33 Border Gateway Protocol (BGP) OPEN Message

Gzkt gibi bu paket; Border Gateway Protocol (BGP) oturumunda, 192.168.0.15 ve 192.168.0.33 adresleri arasnda yakalanmtr. Bu paket seilerek, alan "Protocol Tree Window" ve "Data View Window" blmlerinden daha da ayrntl incelenebilir.

2.3 - PROTOCOL TREE WINDOW :Paketi btn protokollerin bir st aac(tree) olarak canlandralm. Her bir protokol iin aa dm(tree node) oluturulur. Bu aa dmleri sayesinde, protokol alan daha geni bir ekilde tanmlanabilir. Herhangi bir aa dmnn alt aaca sahip olmas, onun daha geni bilgiler gsterecek ekilde geniletilebileceini veya sadece zet bilgiler gsterecek ekilde daraltlabileceini gsterir. Protocol tree window, wiresharkn paketi zmleyerek oluturduu aac denetleme imkan sunmaktadr. imdi ekil 1.1de seilmi paketi denetliyelim.

rnekteki protokol katmanlarnn aklamas Tablo 1.4 dedir.

Tablo 1.4 : rnek Protokol KatmanlarKatman Packet Meta Data Protocol Frame Tanm 83 bytes on wire, 83 bytes Captured Src Addr: 00:c0:4f:23:c5:95, Dst Addr: 00:00:0c:35:0e:1c Src Addr: 192.168.0.15, Dst Addr: 192.168.0.33 Src Port: 2124, Dst Port: bgp(179), Seq: 2593706850, Ack

Data Link ( Layer 2/L2 ) www.syngress.com Network ( Layer 3/L3 )

Ethernet II

IP

Transport ( Layer 4/L4)

Transmission Control Protocol (TCP)

Application Layer ( Layer 7/L7)

BGP

Her bir katmann banda (+) iareti bulunmaktadr. Bu iaret : seili protolol hakknda geniletilmi bilgi sunulmasn salayan bir alt aacn bulunduunu gstermektedir. ekil 1.2de ilk nce BGP aac geniletilmitir, daha sonra da OPEN message alt aac geniletilmitir.

ekil 1.2 : Geniletilmi Protocol Tree Window

2.4 - Data View WindowData view window, paketin ieriine gre farkl sayda satr ierir. Satrlardaki ilk drt rakam, sekizlideki byte saysn gsterir (sekizli; 8 bit, 1 byte veya 2 hexadecimal rakamdan oluur). Satrdaki ilk sekizli, paketin balang konumunu(offset) gstermektedir (baknz : ekil 1.3). Daha sonra 16 tane 2 karakterlik hexadecimal byte gsterilir. Son olarak da bu 16 karakterin, American Standard Code for Information Interchange (ASCII) tablosundaki karlklar gsterilir. Btn bytelarn ASCII tablosunda karl yoktur, tabloda karl olmayan bytelar (.) ile temsil edilir.

ekil 1.3 : Data View Window

Protokol Tree Window blmnden bir yer seildii zaman, Data View Window blmnde ona karlk gelen yer belirginleir. Bunun tersi de geerlidir yani, Data View Window blmnden bir yer seildii zaman, Protokol Tree Window blmnde ona karlk gelen yer de belirginleir. ekil 1.3de Protocol Tree window blmnden, BGP Message Type alan seilmitir.Data view window blmnde belirginleen 0040 offseti paketin, 0x40 hexadecimallik ya da 64 bytelk olduunu gstermektedir. Belirginleen 9. Byte 01 deerini gstermektedir. Bu deerin ASCII tablosundaki karln(ekildeki nc yuvarlak) . areti bulunmaktadr. Bu iaret, 0x01in ASCIIde karlnn olmadn gstermektedir. Hexadecimal byte veya ASCII karlnda bir noktaya tkladnz zaman da, onun protocol Tree Windowdaki karl ve Data View Windowdaki devam belirginlecektir. ekil 1.4de 4.satrn balangcna tklyoruz(48. Byte,[0030 ya da hexadecimal 0x30]. Tkladmz 0030 deeri, 2 bytelk bir alana sahip TCP penceresinin ilk byte. Dolaysyla, TCP Protocol Tree otomatik olarak geniliyor ve pencere alan belirginleiyor. Ayrca, bir sonraki byte(78 hexadecimal) da belirginleiyor nk TCP penceresi 2 bytelk bir alana sahip. Bu gsterim ekli Protocol Tree window ve Data View Windowun birlikte kullanm kolaylatryor ve aralarndaki ilikiyi net bir biimde gsteriyor.

EKL 1.4 : Data View Window Byte Gsterimi

2.5 - Filter BarFilter Bar summary window daki aldmz paketleri filtre etmemize yarayan ksmdr. Filter Bar a herhangi bir filtre girdisi yaptmzda summary window da sadece filtrelediimiz paketler grnr olacaktr. Filter Bar da grdmz filitre paketlerin durumlarn belirtir. rnein bir filtre yazalm. ( ip.src==10.15.162.1&&bgp ) Bu filtre source ip adresi olarak 10.15.162.1 ve ayn zamanda bgp protokolnden gelen dosyalar bize listeler.

ekil 1.5

ekil 1.5 te bgp filtresi uygulanm. Bu filtreyi uygulamak iin filter ksmna girmek istediimiz stringi girip hemen yandaki apply dmesine tklamamz yeterli. Ama filtre yazarken unutmamamz gerek eylerden biriyse filter bar n case sensitive (byk-kk harfe duyarl) olduudur. Yani filter a bgp yerine BGP yazarsak filitre almayacaktr. Bir dier unutulmamas gereken eyse filtre yazarken filter bar arka plan(background) rengidir. Eer filtremiz doru yazlmsa yeil, yanl yazlmsa krmz olur. Hi bir filtre girii olmamsa beyaz olarak kalr.

NOT:Filter Bar yeil olmasna ramen herhangi bir filtre ilemi olumamsa bunun muhtemel nedeni apply tuuna basmay unutmanzdr. Eer filter bar krmzysa filtrenin yanl olduuna kanaat getirip bu filtreyi uygulamanza izin vermeyecektir.Eer eski yazdnz filtrelere ulamak isterseniz hemen filter bar daki aa ok iaretine tklamanz yeterli. Yazdnz btn eski filtrelere oradan ulaabilirsiniz.( ekil 1.6) Karmza kan listede istediimiz filtrenin zerine tklayp apply dememiz yeterli.

2.6 - Information Field (The Statusbar)Information Field yakaladmz paketlerin isimlerinin, source ve destination adreslerinin, kulland protokollerin grnd alandr.

Genel olarak: sol taraf : balant bilgilerini gsterir. orta taraf : gncel paket saysn gsterir. sa taraf : seili olan bilginin profilini gsterir.

The initial Statusbar

Yakalanm paketlerin hi birinin seilmedii durumlarda Statusbar bu ekilde olabilir(rnein: wireshark yeni balatldnda). The Statusbar with a loaded capture file

Yakalanm paketlerden herhangi birisinin seildii durumlarda Statusbar bu ekilde olabilir. The Statusbar with a selected protocol field

"Packet Details" erevesinden herhangi bir protokol alan seildii durumlarda Statusbar bu ekilde olabilir. The Statusbar with a display filter message

Eer bir "display fitler" kullanmay denerseniz ve de bir hata meydana gelirse Statusbar bu ekilde olabilir.

2.7 - Men erikleri

Wireshark menu bardan ulaabileceimiz birok fonksiyona sahiptir. Bu blmde sistematik olarak men bar kefedilecektir.

2.7.1 - FILE(Dosya)Bu men dosya ama, kaydetme,yazdrma gibi temel ilevleri yapabileceimiz blmdr. Tablo 1.4 te hangi ilemlerin yapld tanmlanmtr.

ekil 1.7

Tablo 1.4 Menu SeeneiOpen Open Recent yardmc Merge Close Save Save As lokasyonda Fle Set Export Print Quit

TanmKaytl olan bir wireshark dosyasn amamza yarar Son ilem gren wireshark dosyalarn listeler ve amamza olur ki tane ayr dosyay tek bir dosyaym gibi gsterir Yakaladmz dosyalar kapatr Kaydet Kaytl olan bir dosyada yaplan deiiklikleri baka bir bamsz olarak kaydetmemize olanak salar Dosyadaki bilgileri dzenlemek iin bir altmendr Baka bir dosyay export etmemizi salar Yazcdan kt alr Wireshark uygulamasndan kar

Baz Gzel zelliklerBu ksmda men seeneinde belirtilen maddeler arasndan Birka ieyarar rnek seilmitir.

PrintFile>Print yolunu izlediimizde aadaki resimdeki gibi bir satrla karlayoruz. Burada tm yakaladmz paketleri yazdrabildiimiz gibi seili olan paketleri, filtreden geen paketleri yazdrabiliyoruz. Ayrca pekt boyutu belirtip o sayda paketi de yazdrabiliyoruz.

ekil 1.8

SaveBu ilem dosyay kaydetmemizi salar. Bu ilem yaplrken tm paketler, seili paketler, paket aral vb. eyler girilerek yaplabilir. rnein sadece seili paketleri kaydetmek iin selected packet only ksmna tick koymanz yeterli.

ekil 1.9

2.7.2 - Edit(Dzen)Edit mens kullanc tanml ilemleri ve paket arama gibi ilemleri yapmamz salar. Edit mensnn ierii gsterilmitir.

ekil 1.10

Tablo 1.5 Men Saenei Tanm

Find Packet(Paket Bul) Kullanlan filtreye, hex deere ya da stringe gre arama yapar ve bulduu paketleri listeler Find Next(Sonrakini Bul) Aramayla eleen paketten bir sonraki paketi bulur Find Previus(ncekini Bul) Aramayla eleen paketten bir nceki paketi bulur Mark Packet Summary Window da seili olan paketi iaretler Find Next Mark aretli olan paketler arasnda bir sonraki iaretli paketi bulur Find Previus Mark aretli olan paketler arasnda bir nceki iaretli paketi bulur Preferences Kullanc tanml ayarlar deitirir

Baz Gzel zelliklerBu ksmda edit seeneinde belirtilen maddeler arasndan Birka ieyarar rnek seilmitir.

Find PacketEdit>Find Packet yolunu izleyerek istediimiz paketleri bulmamza yardmc olan bir ekranla kar karya kalyoruz.( ekil 1.11)

ekil 1.11

Filter yazan ekranda filtrelerimizi girebiliyoruz. Bu filtreleme ilmeinde string, hex, ya da display filter (ip.src==196.123.21.1) girebiliyoruz. Sonra find a tklayarak aradmz paketleri bulabiliriz.

PreferencesEdit>Preferences yolunu izleyerek ulatmz preferences mens wireshark ile ilgili ayar yapmamz salayan mendr. Burada ekrann nasl grneceini vb. Programla ilgili btn ayarlar yapmamz mmkndr. Ayrca gerekli olan ayarlar yaptktan sonra apply

butonuna tklamak suretiyle yeni ayarlarmz etkinleir.

2.7.3 - Viewekil 1.12grlen view mens wireshark ana ekranmzn grntsn dzenlememizi salayan mendr. Toolbar lar eklenebilir, karlabilir, paketlere zel renk ayarlar yaplabilir. Tablo 1.6 de hangi elerin hangi ilere yarad aklanmtr.

ekil 1.12

Tablo 1.6 Men SeeneiPacket Details(Paket Detaylar) ekler Packet Bytes Time Display Format gzkeceini Name Resolution Colorize Packet List Auto Screen in Live Capture kapamaya yarar

TanmPaketlerin detaylarn ASCII kodunda gsteren blgeyi ya da kaldrr Data Window penceresini ekler ya da kaldrr Summary Window da zaman grnmn nasl ayarlamamz salar ******************************** Paketlerin renk zelliini aar ya da kapar Summary Windowun gncellenmesini ap

Zoom In Zoom Out Normal Size Resize All Columns Expand Subtrees Expand All Collapse All Coloring Rules Show Packet in New Window Reload

Font ve column size lar bytmeye yarar Font ve column size lar kltmeye yarar Zoom In ve out la bytp klttmz fontlar default deere dndrmemizi salar ************************************ Protocol tree deki seili altdiziyi aar Protocol tree deki btn altdizileri aar Protocol tree deki btn altdizileri kapatr Paketler iin Renk ayarlarn yapmamz salar Paket detaylarn yeni bir pencerede grmemizi salar *********************************

Baz Gzel zelliklerBu ksmda view seeneinde belirtilen maddeler arasndan Birka ieyarar rnek seilmitir.

Show Packet in New WindowSumamry Window da nce bir paket seilir ve View>Show Packet in New Window yolu izlenerek paketin zelliklerini yeni bir pencerede grntleyebiliriz.( ekil 1.13)

ekil 1.13

1.7.4 - Goekil 1.14 deGo mensnn grnm ve tablo 1.7ierii gsterilmitir.

ekil 1.14

Tablo 1.7 Men SaeneiBack Forward Go to Packet Go to Corresponding Packet First Packet Last Packet

TanmBir nce ki pakete gider Bir sonraki pakete gider Kullancnn belirttii frame number da olan pakete gider **************************** lk pakete gider Son pakete gider

2.7.5 - Captureekil 1.15 de gsterilen capture mens, tablo 1.8 de aklanmtr.

ekil 1.15

Tablo 1.8 Men SaeneiInterfaces Options Start Stop Restart eder Capture Filters

TanmProgramda paket yakalama ilemini balattmz yer Paket ayarlama mensn aar Paket yakalama ilemini balatr Paket yakalama ilemini durdurur Durdurulan paket yakalama ilemine tekrar devam Yakalama filtresini ayarlar

Capture InterfacesCapture>Interfaces yolunu izleyip internetin bal bulunduu aygt seilir. Ardndan start ya da capture(versiyonlar arasnda deiiklik gsterir) dmesine tklayarak paket yakalamaya balanr. Bu ilem main toolbar da bulunan ksyol tuuyla da yaplabilir.

ekil 1.16

2.7.6 - AnalyzeAnalyze men ekil 1.17 da gsterilmi, tablo 1.9 de ise aklanmtr

ekil 1.17

Tablo 1.9 Men SaeneiDisplay Filter Apply as Filter Prepare a Filter Firewall ACL Rules temel Enable Protocols Decode As User Specified Decode

TanmHazr filtreleri kullanmamz salar ********************************* ********************************* Summary penceresindeki seili paket ve firewall standart alnarak eitli filtreler yaratr ********************************* Paketleri belirli protokollere gre decode eder *********************************

Follow TCP Stream Follow SSL Stream Expert Info vb.) Expert Info Composite

Bir paket iin paketle alakal tm TCP akn gsterir Bir paket iin paketle alakal tm SSL akn gsterir Yakalanan paket aklamasn gstrir(Duplicate, error *********************************

Baz Gzel zelliklerBu ksmda Analyze seeneinde belirtilen maddeler arasndan Birka ie yarar rnek seilmitir.

Edit Display FilterBu pencere kullanclara filtre yazmada yardmc olmak iin oluturulmutur. ekil 1.18 de bu pencerenin nasl grnd gsterilmitir. Eer orada grdnz kurallar yetersiz kalrsa expression butonuna tklayarak istediiniz filtreyi oluturabilirsiniz.

ekil 1.18

stediimiz filtreyi girebilmek iin field name ksmndan kullanmak istediimiz filtreyi, relation ksmndan ilikisini (eit, byk eit vb.) daha sonra value ksmnda deerini ya da range ksmnda deer araln girip tamam tuuna basarak kendi filtremizi oluturabiliriz.

ekil 1.19

Enable ProtocolsAnalyze>Enable Protocols yolunu izleyerek ekil 1.20 de bulunan pencereyle kar karya kalyoruz. Bu pencere

ekil 1.20

Decode AsYakaladmz paketleri sihirli numaralar kullanarak btn protokolleri decode etmemize yarar. Wireshark bize bir sihirli numaray temel alarak zorunlu decode etmemizi salar. Bunu yapabilmek iin aadaki yol izlenir. nce ekrann yukar ksmnda grdmz transport, network vb. Layerlardan birini semeliyiz. Sonra sihirli numaramz bilgi kutusundan smeliyiz.( ekil 1.21)(source port,destination port vb.)

ekil 1.21

En sa taraftan hangi protokole ait olan paketleri semek istiyorsak o protokol seip nce apply sonra tamam tuuna basyoruz ve ite hazrz. Bakalm doru yapabildik mi diye kontrol etmek iin Analyze>User Specified Decodes yolunu izleyebilirsiniz.

Follow TCP Stream ve Follow SSL StreamBu altmenler seili olan paket hakknda btn TCP ya da SSL akn ortaya karr. Bu gzel zellik sayesinde bilgisayardan girilen ifreler, youtube dan video indirme linkleri vb. lemler yaplabilir.(Bu konulara daha sonra deinilecektir.) imdi bir pakete ait TCP stream nasl renilir onu renelim. nce TCP streamn grmek istediimiz paket seilir. Daha sonra Analyze>TCP Stream yolu izlenerek paketin TCP akna ulalabilir.( ekil 1.22)

ekil 1.22

2.5.7 - StaticsStatics mens network analizi iin birok arac barndran mendr. mens, Tablo 1.10 de aklamalar grlmektedir. ekil 1.23 de Statics

ekil 1.23

Tablo 1.10 Men SaeneiSummary Protocol Hierarchy Conversation Endpoints IO Graphs Conversation List Endpoint List Service Response Time ANSI Fax T38 Analysis GSM

TanmSeili olan paketin ayrntlarn verir Yakalanan paketlerin u anki hierarchy sini gsterir Ethernet kartlar temel balanty gsterir Btn endpointsler iin temel bilgileri gsterir IO grafii izer Birka layer ve protokol hakknda temel bilgiler verir Birka layer ve protokol hakknda temel endpoint bilgileri verir ************************************** 3 farkl ANSI protokolnn dkmn gsterir Fax T38 hakknda temel bilgileri gsterir GSM ANSI protokolnn dkmn gsterir

H.225 MTP3 RTP SCT SIP VoIP Calls WAP-WSP BOOTP-DHCP Destinations Flow Graph http IP Adress ISUP Messages gsterir Multicast Streams ONC-RPC Programs Packet Length belirler Port Type TCP Stream Graph

H.225 mesajlarnn saylarn gsterir Temel MTP3 saylarn gsterir RTP protokoln akn gsterir ve seili RTP protokolnn analizini yapar SCTP protokolnn istatistiklerini salayan ve analiz eden bir alt men SIP nin code volume lerine temel analizler getirir VoIP arlarnn bilgilerini gsterir WAP ve WSP iin temel analizler salar *********************************** Yakalanan paketlerdeki btn konumalarn hiyerarik grnmlerini salar Prokol flow bilgileri iin detayl grafiksel bir yrtme gerekletirir http istem bilgileri iin bir altmen oluturur Yakalanan paketlerdeki btn IP konumalarn hiyerarik grnmlerini salar Yakalanan paketler iin belirli bir sayda ISUP mesaj ************************************ ONC ve RPC iin bilgi aklayc salar Current capture n boyutuna gre Paket boyutlarn Yakalanan paketlerin kulland btn portlarn hiyerarik grnmlerini salar Robust grafiklerini hesaplar ve gsterir

SummarySummary penceresi Statics>Sumary yolu izlenerek alabilir. Bu summary box yakalnan paketler hakknda bilgi verir.

Protocol HierarchyStatics>Protocol Hierarchy yolu izlenerek alr.

ekil 1.24

IO GraphIO graph yakaldnz paketlerin grafik olarak gsterimini salayan blmdr. ekil 1.25 de grnm grlmektedir.

ekil 1.25

Yukardaki rneimizde tcp ve msn paketlerinin grafii gsterilmektedir. Program ayarlarken ister filter ksmndan hazr filterlar, ister bizim yazdmz filter lara gre filterlama ilemi yapabiliriz. Style yazan yere tkladmzda nmze Line, Impulse, Fbar, Dot altmensn kar. Burada grafiimizin nasl grnmesi gerektiini seebiliriz. Color yazan yerde grafikleri birbirinden ayrabilmek iin renklendirme yaplabilmektedir. Btn bu ilemleri yaptktan sonra Graph n(1,2,3,4,5) e tklayarak grafii aktif olarak grebiliriz. Yukardaki rneimizde msn trafii krmz noktalarla, tcp trafii ise line grafii ile siyah olarak gsterilmitir.

2.7.8 - HelpTablo 1.11da ierii gsterilmitir.

Tablo 1.11 Men SaeneiContents Supported Protocols Manual Pages altmendr Wireshark Online

TanmWireshark online yardm gsterir Desteklenen protoklleri gsterir UNIX-Style kullanc sayfalarna Online wireshark kaynaklarna

ulaan iin

bir bir

ulamak

altmendr About Wireshark

Wireshark ile ilgili bilgileri gsterir(Versiyon vb.

3 - FiltrelemeWireshark paket yakalama ilemine baladnda n tanml olarak btn paketleri gstermeye balar. Bu kiisel bilgisayarlar iin ok byk sorunlar tekil etmeyebilir ancak irket bilgisayarlar ve sistem uzmanlar iin ok byk bir klfet demektir. Bir ev kullancsnn dahi 2 saat ierisinde 1 milyon paket toplama ilemi yapt dnlrse durumun ne kadar vahim olduu anlalabilir. Wireshark programnda bu gibi kark durumlarla ba edebilmek iin filter bar kullanlr. Filter barn grevi yazlan filtera gre paketleri ayrmasdr. Bu blmde filtreleme ileminin nasl yapld ve filtreleme gramer kurallaryla birlikte en ok kullanlan birka filtre rnei verilecektir. ekil 1.26 te filter bar gsterilmektedir.

ekil 1.26

3.1 - Filtreleme lemiWiresharkta filtreleme ilemi iki yolla yaplabilir. Filter barda filter ve expression ksmndan hazr filtreleri kullanarak (3.2 FILTER EXPRESSION blmnde anlatlacak) ya da filtreleri filter bardaki bo alana yazarak yaplabilir. lk olarak bo alanda filter yazm gramerleri konusuna eileceiz.

3.1.1 - Filtreleme GrameriFilterleme grameri filtrelerimizin alabilmesi iin ncelikli bilinmesi gereken eydir. Eer filtremizin gramerini doru yazamazsak filter bardaki filtre yazdmz ksm krmz renge dnecek ve apply tuuna bastmzda bir uyar mesaj alacaz. Bunun sonucunda da filtremiz almayacaktr. Filter barda sadece protokollerin isimlerinin yazlp paketlerimizi ayrabildiimiz gibi bunun yannda daha spesifik filterlar yazarak rnein mantksal operatrlerle filtreleri birletirerek de kullanabiliriz.(Tablo 1.12 de operatr-anlam ilikileri verilmitir)

Tablo 1.12 Operatr== != > >= < = 123.123.1.123 Destination IP adresi 123.123.1.123 olarak filter yapma ip.dst == 123.123.1.123 Destination IP adresi 123.123.1.123 den kk veya eit olan filter yapma ip.dst 3 IP versiyonu 6 dan kk olan paketleri sralayan filter yapma ip.version < 6

2 - Ethernet Filters Filtereth.addr adres eth.src eth.dst eth.len eth.type

Tip6 bit mac adres 6 bit mac adres 6 bit mac adres 16 bit integer 16 bit integer

TanmSource(kaynak) veya Destination(hedef)

Source adres Destination adres Uzunluk Tip

Kullanm rnekleriEthernet adresi 00:1a:9d:7f:02:5d olan bilgisayarn source veya destination olarak filter ilemi yapma eth.addr == 00:1a:9d:7f:02:5d Ethernet adresi 00:1a:9d:7f:02:5d olmayan bilgisayarn source veya destination olarak filter ilemi yapma eth.addr != 123.123.1.123 Source adresi 00:1a:9d:7f:02:5d olarak filter yapma eth.src == 00:1a:9d:7f:02:5d

Source adresi 00:1a:9d:7f:02:5d den byk veya eit olan filter yapma eth.src >= 00:1a:9d:7f:02:5d Destination adresi 00:1a:9d:7f:02:5d olarak filter yapma eth.dst == 123.123.1.123 Destination IP adresi 00:1a:9d:7f:02:5d den kk veya eit olan filter yapma eth.dst 00:1a:9d:7f:02:5d IP source adresi 123.123.1.123, mac adresi 00:1a:9d:7f:02:5d den kk veya tcp protokoln 123 port numarasyla kullanan btn paketlei gstermek iin (ip.src == 123.123.1.123)&&(eth < 00:1a:9d:7f:02:5d || tcp.port == 123) Bu rnekte parantez kullanmak zorunludur.