Una guida all'interfaccia della riga di comando Wireshark Tshark

Nei precedenti tutorial per Wireshark, abbiamo coperto argomenti fondamentali per i livelli avanzati. In questo articolo, capiremo e tratteremo un'interfaccia di riga di comando per Wireshark, i.e., tshark. La versione terminale di Wireshark supporta opzioni simili ed è molto utile quando non è disponibile un'interfaccia utente grafica (GUI).

Anche se un'interfaccia utente grafica è, teoricamente, molto più facile da usare, non tutti gli ambienti la supportano, in particolare gli ambienti server con solo opzioni di riga di comando. Quindi, ad un certo punto, come amministratore di rete o ingegnere di sicurezza, dovrai utilizzare un'interfaccia di comando. Importante notare che Tshark è talvolta usato come sostituto di TCPDump. Anche se entrambi gli strumenti sono quasi equivalenti alla funzionalità di cattura del traffico, Tshark è molto più potente.

Il meglio che puoi fare è utilizzare Tshark per impostare una porta nel tuo server che inoltra le informazioni sul tuo sistema, in modo da poter acquisire il traffico per l'analisi utilizzando una GUI. Tuttavia, per il momento, impareremo come funziona, quali sono i suoi attributi e come puoi utilizzarlo al meglio delle sue capacità.

Digita il seguente comando per installare Tshark in Ubuntu/Debian usando Apt-get:

ubuntu@ubuntu: ~ $ sudo apt -get Installa tshark -y

Ora digita tshark -help Per elencare tutti i possibili argomenti con le rispettive flag che possiamo passare a un comando tshark.

ubuntu@ubuntu: ~ $ tshark - -help | Testa -20
Tshark (Wireshark) 2.6.10 (Git V2.6.10 confezionati come 2.6.10-1 ~ Ubuntu18.04.0)
Scaricare e analizzare il traffico di rete.
Vedi https: // www.Wireshark.org per ulteriori informazioni.
Utilizzo: Tshark [Opzioni] ..
Interfaccia di acquisizione:
-io Nome o IDX dell'interfaccia (def: primo non loopback)
-F Filtro dei pacchetti nella sintassi del filtro libpcap
-S Lunghezza istantanea del pacchetto (def: massimo appropriato)
-p Non catturare in modalità promiscua
-Capture in modalità monitor, se disponibile
-B Dimensione del tampone del kernel (DEF: 2MB)
-Y Tipo di livello di collegamento (def: primo appropriato)
--Metodo timestamp di tipo temporale per l'interfaccia
-D Elenco di stampa di interfacce ed uscita
-L Elenco di stampa dei tipi di strato di collegamento di Iface ed uscita
--Elenco elenco di tipi di tipi di tipi di timestamp per Iface ed uscita
Condizioni di arresto di acquisizione:

Puoi notare un elenco di tutte le opzioni disponibili. In questo articolo, tratteremo la maggior parte degli argomenti in dettaglio e capirai la potenza di questa versione di Wireshark orientata al terminale.

Selezione dell'interfaccia di rete:

Per condurre l'acquisizione e l'analisi dal vivo in questa utilità, dobbiamo prima capire la nostra interfaccia di lavoro. Tipo tshark -d e Tshark elencherà tutte le interfacce disponibili.

ubuntu@ubuntu: ~ $ tshark -d
1. enp0s3
2. Qualunque
3. LO (Loopback)
4. nflog
5. nfqueue
6. USBMON1
7. Ciscodump (Cisco Remote Capture)
8. Randpkt (generatore di pacchetti casuali)
9. SSHDUMP (acquisizione remota SSH)
10. UDPDUMP (acquisizione remota dell'ascoltatore UDP)

Si noti che non tutte le interfacce elencate funzionano. Tipo ifconfig Per trovare interfacce di lavoro sul tuo sistema. Nel mio caso, lo è enp0s3.

Cattura del traffico:

Per iniziare il processo di acquisizione in tempo reale, useremo il tshark comando con il "-io"Opzione per iniziare il processo di acquisizione dall'interfaccia di lavoro.

ubuntu@ubuntu: ~ $ tshark -i enp0s3

Utilizzo Ctrl+c per fermare la cattura dal vivo. Nel comando sopra, ho convocato il traffico catturato al comando Linux Testa Per visualizzare i primi pacchetti catturati. Oppure puoi anche usare la sintassi "-c" per catturare il "N" Numero di pacchetti.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -c 5

Se entri solo tshark, Per impostazione predefinita, non inizierà a catturare il traffico su tutte le interfacce disponibili né ascolterà l'interfaccia di lavoro. Invece, acquisirà pacchetti sulla prima interfaccia elencata.

È inoltre possibile utilizzare il seguente comando per verificare più interfacce:

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -i usbmon1 -i lo

Nel frattempo, un altro modo per vivere il traffico di acquisizione è utilizzare il numero insieme alle interfacce elencate.

ubuntu@ubuntu: ~ $ tshark -i interface_number

Tuttavia, in presenza di più interfacce, è difficile tenere traccia dei loro numeri elencati.

Filtro di acquisizione:

I filtri di acquisizione riducono significativamente la dimensione del file acquisita. Tshark utilizza la sintassi del filtro dei pacchetti Berkeley -F "", Che è anche usato da TCPDump. Useremo l'opzione "-f" per acquisire solo pacchetti dalle porte 80 o 53 e utilizzare "-c" per visualizzare solo i primi 10 pacchetti.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -f "porta 80 o porta 53" -c 10

Salvare il traffico catturato su un file:

La cosa chiave da notare nello screenshot sopra è che le informazioni visualizzate non sono salvate, quindi è meno utile. Usiamo l'argomento "-w"Per salvare il traffico di rete catturato a test_capture.PCAP In /TMP cartella.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -w /tmp /test_capture.PCAP

Mentre, .PCAP è l'estensione del tipo di file Wireshark. Salvando il file, è possibile rivedere e analizzare il traffico in una macchina con Wireshark GUI più tardi.

È una buona pratica salvare il file in /tmp Poiché questa cartella non richiede privilegi di esecuzione. Se lo salvi in ​​un'altra cartella, anche se stai eseguendo Tshark con i privilegi di root, il programma negherà l'autorizzazione a causa di motivi di sicurezza.

Scaviamo in tutti i modi possibili attraverso i quali puoi:

• applicare limiti all'acquisizione di dati, in modo tale che l'uscita tshark Oppure srotolando automaticamente il processo di acquisizione e
• Output i tuoi file.

Parametro AutoStop:

Puoi usare il "-UN"Parametro per incorporare flag disponibili come dimensione del file di durata e file. Nel comando seguente, utilizziamo il parametro AutoStop con il durata Flag per fermare il processo entro 120 secondi.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -a durata: 120 -w /tmp /test_capture.PCAP

Allo stesso modo, se non hai bisogno che i tuoi file siano extra-grandiosi, dimensione del file è una bandiera perfetta per fermare il processo dopo i limiti di alcuni KB.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -a filesize: 50 -w /tmp /test_capture.PCAP

Più importante, File Il flag consente di arrestare il processo di acquisizione dopo un numero di file. Ma questo può essere possibile solo dopo aver creato più file, che richiedono l'esecuzione di un altro parametro utile, l'acquisizione dell'output.

Parametro di output di acquisizione:

Output di acquisizione, AKA Argomento RingBuffer "-B“, Arriva con le stesse bandiere dell'autostop. Tuttavia, l'uso/output è un po 'diverso, io.e., le bandiere durata E dimensione del file, in quanto consente di cambiare o salvare i pacchetti su un altro file dopo aver raggiunto un limite di tempo specificato in secondi o dimensioni del file.

Il comando inferiore mostra che acquisiamo il traffico attraverso la nostra interfaccia di rete enp0s3, e acquisire il traffico usando il filtro di acquisizione "-F"Per TCP e DNS. Usiamo l'opzione RingBuffer "-B" con a dimensione del file Flag per salvare ogni file di dimensioni 15 kb, e utilizzare anche l'argomento AutoStop per specificare il numero di file utilizzando File Opzione in modo tale che interrompa il processo di acquisizione dopo aver generato tre file.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -f "porta 53 o porta 21" -b filesize: 15 -a files: 2 -w /tmp /test_capture.PCAP

Ho diviso il mio terminale in due schermi per monitorare attivamente la creazione di tre .File PCAP.

Vai al tuo /TMP cartella e utilizzare il seguente comando nel secondo terminale per monitorare gli aggiornamenti dopo ogni secondo.

ubuntu@ubuntu: ~ $ watch -n 1 "ls -lt"

Ora, non è necessario memorizzare tutte queste bandiere. Invece, digita un comando tshark -i enp0s3 -f “Porta 53 o porta 21” -B FileSize: 15 -a nel tuo terminale e premi Scheda. L'elenco di tutte le flag disponibili sarà disponibile sullo schermo.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -f "porta 53 o porta 21" -b filesize: 15 -a
Durata: file: filesize:
ubuntu@ubuntu: ~ $ tshark -i enp0s3 -f "porta 53 o porta 21" -b filesize: 15 -a

Lettura .File PCAP:

Ancora più importante, puoi usare un "-R"Parametro per leggere il test_capture.file PCAP e pipì su Testa comando.

ubuntu@ubuntu: ~ $ tshark -r /tmp /test_capture.PCAP | Testa

Le informazioni visualizzate nel file di output possono essere un po 'schiaccianti. Per evitare dettagli inutili e ottenere una migliore comprensione di qualsiasi indirizzo IP di destinazione specifico, utilizziamo il -R Opzione per leggere il file catturato del pacchetto e utilizzare un IP.ADDR Filtro per reindirizzare l'output in un nuovo file con "-w" opzione. Questo ci consentirà di rivedere il file e perfezionare la nostra analisi applicando ulteriori filtri.

ubuntu@ubuntu: ~ $ tshark -r /tmp /test_capture.PCAP -W /TMP /REDIRECT_FILE.PCAP IP.DST == 216.58.209.142
ubuntu@ubuntu: ~ $ tshark -r /tmp /redirected_file.PCAP | Testa
1 0.000000000 10.0.2.15 → 216.58.209.142 TLSV1.2 370 Dati dell'applicazione
2 0.000168147 10.0.2.15 → 216.58.209.142 TLSV1.2 669 Dati dell'applicazione
3 0.011336222 10.0.2.15 → 216.58.209.142 TLSV1.2 5786 Dati dell'applicazione
4 0.016413181 10.0.2.15 → 216.58.209.142 TLSV1.2 1093 Dati dell'applicazione
5 0.016571741 10.0.2.15 → 216.58.209.142 TLSV1.2 403 Dati dell'applicazione
6 0.016658088 10.0.2.15 → 216.58.209.142 TCP 7354 [segmento TCP di una PDU rimontata]
7 0.016738530 10.0.2.15 → 216.58.209.142 TLSV1.2 948 Dati dell'applicazione
8 0.023006863 10.0.2.15 → 216.58.209.142 TLSV1.2 233 Dati dell'applicazione
9 0.023152548 10.0.2.15 → 216.58.209.142 TLSV1.2 669 Dati dell'applicazione
10 0.023324835 10.0.2.15 → 216.58.209.142 TLSV1.2 3582 Dati dell'applicazione

Selezionando i campi da output:

I comandi sopra emettono un riepilogo di ciascun pacchetto che include vari campi di intestazione. Tshark consente anche di visualizzare i campi specificati. Per specificare un campo, usiamo "-T del campo"Ed estrarre campi secondo la nostra scelta.

Dopo il "-T del campo"Switch, utilizziamo l'opzione" -e "per stampare i campi/filtri specificati. Qui, possiamo usare i filtri di visualizzazione Wireshark.

ubuntu@ubuntu: ~ $ tshark -r /tmp /test_capture.PCAP -t Fields -e frame.Numero -e IP.src -e ip.dst | Testa
1 10.0.2.15 216.58.209.142
2 10.0.2.15 216.58.209.142
3 216.58.209.142 10.0.2.15
4 216.58.209.142 10.0.2.15
5 10.0.2.15 216.58.209.142
6 216.58.209.142 10.0.2.15
7 216.58.209.142 10.0.2.15
8 216.58.209.142 10.0.2.15
9 216.58.209.142 10.0.2.15
10 10.0.2.15 115.186.188.3

Acquisisci dati crittografati per la stretta di mano:

Finora abbiamo imparato a salvare e leggere i file di output utilizzando vari parametri e filtri. Ora impareremo come HTTPS inizializza la sessione tshark. I siti Web accessibili tramite HTTPS anziché HTTP garantiscono una trasmissione di dati sicura o crittografata sul filo. Per la trasmissione sicura, una crittografia di sicurezza del livello di trasporto avvia un processo di handshake per dare il via alla comunicazione tra il client e il server.

Acquisiamo e comprendiamo la stretta di mano TLS usando tshark. Dividi il tuo terminale in due schermi e usa un Wget comando per recuperare un file HTML da https: // www.Wireshark.org.

ubuntu@ubuntu: ~ $ wget https: // www.Wireshark.org
--2021-01-09 18: 45: 14-- https: // www.Wireshark.org/
Connessione a www.Wireshark.org (www.Wireshark.org) | 104.26.10.240 |: 443 ... collegato.
Richiesta http inviata, in attesa di risposta ... 206 contenuto parziale
Lunghezza: 46892 (46K), 33272 (32K) rimanente [Testo/HTML]
Salvataggio su: 'indice.html '
indice.HTML 100%[+++++++++++++ =============================== ==>] 45.79K 154kb/s in 0.2s
2021-01-09 18:43:27 (154 kb/s)-'indice.Html 'salvato [46892/46892]

In un'altra schermata, useremo Tshark per catturare i primi 11 pacchetti usando il “-C"Parametro. Durante l'esecuzione dell'analisi, i timestamp sono importanti per ricostruire gli eventi, quindi usiamo "-t ad", In un modo che Tshark aggiunge Timestamp insieme a ogni pacchetto catturato. Infine, utilizziamo il comando host per acquisire pacchetti dall'host condiviso indirizzo IP.

Questa stretta di mano è abbastanza simile alla stretta di mano TCP. Non appena la stretta di mano a tre vie TCP si conclude nei primi tre pacchetti, i pacchetti del quarto a nono seguono un rituale in qualche modo simile a quella di Handshake e include stringhe TLS per garantire una comunicazione crittografata tra le due parti.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -c 11 -t pubblicitario host 104.26.10.240
Catturare su "enp0s3"
1 2021-01-09 18:45:14.174524575 10.0.2.15 → 104.26.10.240 TCP 74 48512 → 443 [syn] seq = 0 win = 64240 len = 0 mss = 1460 sack_perm = 1 tsval = 2488996311 tsecr = 0 ws = 128
2 2021-01-09 18:45:14.279972105 104.26.10.240 → 10.0.2.15 TCP 60 443 → 48512 [syn, ACK] SEQ = 0 ACK = 1 win = 65535 len = 0 MSS = 1460
3 2021-01-09 18:45:14.280020681 10.0.2.15 → 104.26.10.240 TCP 54 48512 → 443 [ACK] SEQ = 1 ACK = 1 WIN = 64240 LEN = 0
4 2021-01-09 18:45:14.280593287 10.0.2.15 → 104.26.10.240 TLSV1 373 Cliente Ciao
5 2021-01-09 18:45:14.281007512 104.26.10.240 → 10.0.2.15 TCP 60 443 → 48512 [ACK] SEQ = 1 ACK = 320 WIN = 65535 LEN = 0
6 2021-01-09 18:45:14.390272461 104.26.10.240 → 10.0.2.15 TLSV1.3 1466 Server Ciao, modifica le specifiche della cifratura
7 2021-01-09 18:45:14.390303914 10.0.2.15 → 104.26.10.240 TCP 54 48512 → 443 [ACK] SEQ = 320 ACK = 1413 WIN = 63540 LEN = 0
8 2021-01-09 18:45:14.392680614 104.26.10.240 → 10.0.2.15 TLSV1.3 1160 Dati dell'applicazione
9 2021-01-09 18:45:14.392703439 10.0.2.15 → 104.26.10.240 TCP 54 48512 → 443 [ACK] SEQ = 320 ACK = 2519 WIN = 63540 LEN = 0
10 2021-01-09 18:45:14.394218934 10.0.2.15 → 104.26.10.240 TLSV1.3 134 Cambia specifiche di cifra, dati dell'applicazione
11 2021-01-09 18:45:14.394614735 104.26.10.240 → 10.0.2.15 TCP 60 443 → 48512 [ACK] SEQ = 2519 ACK = 400 WIN = 65535 LEN = 0
11 pacchetti catturati

Visualizzazione dell'intero pacchetto:

L'unico svantaggio di un'utilità della linea di comando è che non ha una GUI, poiché diventa molto utile quando è necessario cercare molto traffico Internet e offre anche un pannello di pacchetti che visualizza tutti i dettagli del pacchetto all'interno di un immediato. Tuttavia, è ancora possibile ispezionare il pacchetto e scaricare le informazioni sull'intera pacchetto visualizzate nel pannello dei pacchetti GUI.

Per ispezionare un intero pacchetto, utilizziamo un comando ping con l'opzione "-c" per catturare un singolo pacchetto.

ubuntu@ubuntu: ~ $ ping -c 1 104.26.10.240
Ping 104.26.10.240 (104.26.10.240) 56 (84) byte di dati.
64 byte da 104.26.10.240: ICMP_SEQ = 1 TTL = 55 tempo = 105 ms
--- 104.26.10.240 statistiche sul ping ---
1 pacchetti trasmessi, 1 ricevuto, perdita di pacchetti 0%, tempo 0ms
RTT MIN/AVG/MAX/MDEV = 105.095/105.095/105.095/0.000 ms

In un'altra finestra, utilizzare il comando tshark con un flag aggiuntivo per visualizzare gli interi dettagli del pacchetto. È possibile notare varie sezioni, visualizzare frame, Ethernet II, IPV e ICMP Dettagli.

ubuntu@ubuntu: ~ $ tshark -i enp0s3 -c 1 -v host 104.26.10.240
Frame 1: 98 byte su filo (784 bit), 98 byte catturati (784 bit) sull'interfaccia 0
ID interfaccia: 0 (enp0s3)
Nome dell'interfaccia: ENP0S3
Tipo di incapsulamento: Ethernet (1)
Tempo di arrivo: 9 gennaio 2021 21:23:39.167581606 PKT
[Time Shift per questo pacchetto: 0.000000000 secondi]
Tempo di epoca: 1610209419.167581606 secondi
[Time Delta dal frame catturato precedente: 0.000000000 secondi]
[Time Delta dal frame visualizzato precedente: 0.000000000 secondi]
[Tempo dal riferimento o dal primo frame: 0.000000000 secondi]
Numero frame: 1
Lunghezza del telaio: 98 byte (784 bit)
Lunghezza di acquisizione: 98 byte (784 bit)
[Il frame è contrassegnato: falso]
[Il frame viene ignorato: falso]
[Protocolli nel frame: ETH: Ethertype: IP: ICMP: Data]
Ethernet II, SRC: PCSCOMPU_17: FC: A6 (08: 00: 27: 17: FC: A6), DST: Realteku_12: 35: 02 (52: 54: 00: 12: 35: 02)
Destinazione: Realteku_12: 35: 02 (52: 54: 00: 12: 35: 02)
Indirizzo: Realteku_12: 35: 02 (52: 54: 00: 12: 35: 02)
… 1… = Bit LG: indirizzo amministrato localmente (questo non è il valore predefinito della fabbrica)
... 0… = IG Bit: Indirizzo individuale (Unicast)
Fonte: PCSCOMPU_17: FC: A6 (08: 00: 27: 17: FC: A6)
Indirizzo: PCSCOMPU_17: FC: A6 (08: 00: 27: 17: FC: A6)
ID interfaccia: 0 (enp0s3)
Nome dell'interfaccia: ENP0S3
Tipo di incapsulamento: Ethernet (1)
Tempo di arrivo: 9 gennaio 2021 21:23:39.167581606 PKT
[Time Shift per questo pacchetto: 0.000000000 secondi]
Tempo di epoca: 1610209419.167581606 secondi
[Time Delta dal frame catturato precedente: 0.000000000 secondi]
[Time Delta dal frame visualizzato precedente: 0.000000000 secondi]
[Tempo dal riferimento o dal primo frame: 0.000000000 secondi]
Numero frame: 1
Lunghezza del telaio: 98 byte (784 bit)
Lunghezza di acquisizione: 98 byte (784 bit)
[Il frame è contrassegnato: falso]
[Il frame viene ignorato: falso]
[Protocolli nel frame: ETH: Ethertype: IP: ICMP: Data]
Ethernet II, SRC: PCSCOMPU_17: FC: A6 (08: 00: 27: 17: FC: A6), DST: Realteku_12: 35: 02 (52: 54: 00: 12: 35: 02)
Destinazione: Realteku_12: 35: 02 (52: 54: 00: 12: 35: 02)
Indirizzo: Realteku_12: 35: 02 (52: 54: 00: 12: 35: 02)
… 1… = Bit LG: indirizzo amministrato localmente (questo non è il valore predefinito della fabbrica)
... 0… = IG Bit: Indirizzo individuale (Unicast)
Fonte: PCSCOMPU_17: FC: A6 (08: 00: 27: 17: FC: A6)
Indirizzo: PCSCOMPU_17: FC: A6 (08: 00: 27: 17: FC: A6)
... 0… = LG BIT: indirizzo univoco a livello globale (impostazione predefinita di fabbrica)
... 0… = IG Bit: Indirizzo individuale (Unicast)
Tipo: IPv4 (0x0800)
Internet Protocol versione 4, SRC: 10.0.2.15, DST: 104.26.10.240
0100… = versione: 4
… 0101 = lunghezza dell'intestazione: 20 byte (5)
Field dei servizi differenziati: 0x00 (DSCP: CS0, ECN: NOT-ECT)
0000 00… = Servizi differenziati Codice: impostazione predefinita (0)
... 00 = Notifica di congestione esplicita: non trasporto a capacità ECN (0)
Lunghezza totale: 84
Identificazione: 0xcc96 (52374)
Flag: 0x4000, non frammento
0… = bit riservato: non impostato
.1… = non frammento: imposta
… 0… = più frammenti: non impostato
… 0 0000 0000 0000 = Framment Offset: 0
È ora di vivere: 64
Protocollo: ICMP (1)
Checksum di intestazione: 0xeef9 [convalida disabilitata]
[Stato di checksum di intestazione: non verificato]
Fonte: 10.0.2.15
Destinazione: 104.26.10.240
Protocollo di messaggi di controllo Internet
Tipo: 8 (eco (ping) richiesta)
Codice: 0
Checksum: 0x0cb7 [corretto]
[Stato checksum: buono]
Identificatore (BE): 5038 (0x13ae)
Identificatore (LE): 44563 (0xAE13)
Numero di sequenza (BE): 1 (0x0001)
Numero di sequenza (Le): 256 (0x0100)
Timestamp dai dati ICMP: 9 gennaio 2021 21:23:39.000000000 PKT
[Timestamp dai dati ICMP (relativo): 0.167581606 secondi]
Dati (48 byte)
0000 91 8E 02 00 00 00 00 00 10 11 12 13 14 15 16 17…
0010 18 19 1a 1b 1c 1d 1e 1f 20 21 22 23 24 25 26 27… !"#$%E '
0020 28 29 2A 2b 2c 2d 2e 2f 30 31 32 33 34 35 36 37 ()*+,-./01234567
Dati: 918E02000000001011112131415161718191A1B1C1D1E1F ..
[Lunghezza: 48]

Conclusione:

L'aspetto più impegnativo dell'analisi dei pacchetti è trovare le informazioni più rilevanti e ignorare i bit inutili. Anche se le interfacce grafiche sono facili, non possono contribuire all'analisi dei pacchetti di rete automatizzata. In questo articolo, hai imparato i parametri Tshark più utili per l'acquisizione, la visualizzazione, il salvataggio e la lettura di file di traffico di rete.

Tshark è un'utilità molto utile che legge e scrive i file di acquisizione supportati da Wireshark. La combinazione di filtri di visualizzazione e acquisizione contribuisce molto mentre si lavora su casi d'uso a livello avanzato. Possiamo sfruttare la capacità di tshark di stampare campi e manipolare i dati secondo i nostri requisiti per l'analisi approfondita. In altre parole, è in grado di fare praticamente tutto ciò che fa Wireshark. Ancora più importante, è perfetto per il pacchetto annusare in remoto usando SSH, che è un argomento per un altro giorno.