Uso de Wireshark (Avanzado)

Estas son más de 100 tareas que debes saber resolver para aprender a usar Herramientas de Análisis de Tráfico y Protocolos de forma avanzada. Puedes hacerlo sobre una captura que hagas tú o puedes utilizar esta de ejemplo: captura_estudio.pcapng

Requisitos Previos

Empieza por las 25 tareas básicas: Uso de Wireshark (Básico)

Uso general del software y la interfaz

1. ¿Tienes instalada la última versión de Wireshark?

2. ¿En qué interfaces de red puedes hacer una captura?

3. ¿Sabes cómo hacer una captura de 1.000 paquetes?

4. ¿Sabes cómo hacer una captura de tráfico de 5 segundos?

5. ¿Sabes cómo capturar sólo tráfico udp?

6. ¿Puedes hacer una captura de 1.000 paquetes, con tráfico TCP?

7. ¿Lo puedes guardar con el nombre ejemplo_tcp.pcap?

8. Reinicia Wireshark y abre los paquetes capturados en ejemplo_tcp.pcap.

9. ¿Puedes abrir el software y ver los diferentes paneles de la interfaz?

10. ¿Sabes abrir el menú de preferencias (ver la configuración)?

11. ¿Y cambiar la configuración de los paneles?

12. ¿Sabes cual es la IP origen de un paquete?

13. ¿Sabes cual es la IP destino?

14. ¿Sabes cómo ir directamente a ese paquete (de forma directa)?

15. ¿Sabes cómo ir al primer paquete de la captura? ¿Y al último?

16. ¿Cuánto tiempo pasó desde el inicio de la captura, hasta el paquete 300?

17. ¿Sabes cómo poner una marca de tiempo (es decir, que ese paquete sea el tiempo 0)?

18. ¿Qué protocolo es el de máximo nivel en ese paquete?

19. ¿Cual fue la fecha de captura de ese paquete?

20. ¿Cual es el tamaño total de ese paquete?

21. ¿Sabes cuales son los dígitos hexadecimales equivalentes a esa dirección IP?

22. ¿Y qué medio de transmisión utiliza y que tipo de interfaz de red es?

23. ¿Sabes qué protocolo de capa 2 utiliza?

24. ¿Sabes qué protocolo de capa 3 utiliza?

25. ¿Sabes qué protocolo de capa 4 utiliza?

26. ¿Está utilizando algún servicio de la capa de aplicación?

27. ¿Cómo resaltas (marcas) un paquete?

28. ¿Y cómo vuelves a ese paquete marcado, si estás viendo otros paquetes?

29. ¿Hay algún paquete que tenga el valor 0x0800?

30. ¿Y el 0xEBF2?

31. ¿Hay algún paquete que tenga la cadena de texto “pass” (en su contenido)?

32. ¿Hay algún paquete que tenga la cadena de texto “content” (en su contenido)?

33. ¿Hay algún paquete que tenga la cadena de texto “content” (en la información del paquete)?

34. ¿Puedes modificar la forma en que se visualiza la inferfaz? Por ejemplo que NO se vean los bytes HEX

35. ¿Puedes activar y desactivar la “vista por colores”?

36. ¿Podrías cambiarle el color de fondo a una regla concreta (por ejemplo tráfico TCP?

37. ¿Y desactivar una regla (que no coloree, pero sin borrarla)?

38. ¿Podrías colorear los paquetes que corresponden a una conversación TCP?

39. ¿Podrías moverte entre los paquetes de esa conversación TCP?

Analizando los protocolos en detalle

40. ¿Puedes ver/ocultar un grupo de paquetes (según diferentes criterios)?

41. ¿Y sólo de la capa 3?

42. ¿Y sólo de la capa 4?

43. ¿Puedes ver claro qué partes del paquete completo, corresponden a cada protocolo?

44. ¿Hay más de 5 protocolos diferentes en la captura? Cita al menos 5.

Ethernet

45. ¿Quién es el fabricante de tu interfaz de red?

46. ¿Sabes cual es la dirección MAC destino de un paquete?

47. ¿Sabes cual es la dirección MAC origen de un paquete, en HEX?

48. ¿Sabes qué tipo de protocolo está llevando esa trama capa 2?

49. ¿Sabes como resaltar los HEX bytes de sólo la capa 2?

50. ¿Puedes ver los bits del preámbulo? ¿Porqué?

IP

51. ¿Cual es el tamaño de la cabecera IP (en bytes)?

52. ¿Cual es el valor del campo cabecera IP (IHL) en bits?

53. ¿Cual es el tamaño total del paquete IP?

54. ¿Cual es el TTL de ese paquete?

55. ¿La cabecera tiene opciones IP?

56. ¿Puedes ver las estadísticas de IP (v4)?

57. Ese paquete, ¿podrá pasar por 100 routers antes de ser entregado?

ARP

58. ¿Cuales son las direcciones origen y fuente? ¿MAC o IP?

59. ¿Ese paquete es una solicitud ARP o una respuesta?

60. ¿Qué dirección IP es la de origen de ese paquete?

61. ¿Qué dirección IP es la de destino de ese paquete?

62. ¿Qué valor tiene el campo Tipo de Protocolo?

63. ¿Cual es el código de la operación ARP que realiza?

64. ¿Cual es el código de un paquete que está respondiendo a una petición ARP?

65. ¿Cual es la longitud de la carga útil ARP?

66. ¿Qué significa que la MAC de destino sea: 00:00:00_00:00:00?

ICMP

67. Ver tráfico ICMP

68. ¿Qué tipo de operación ICMP está realizando esa trama?

69. ¿Cual es el código de ese tipo de operacion?

70. ¿A qué capa pertenece ICMP?

71. ¿Qué HEX bytes son de IP y cuales de ICMP? (para esa trama)

72. ¿Sabrías buscar el tipo y valor de mensaje de control ICMP (p.ej. Time Exceeded o similar)?

UDP

73. ¿Hay tráfico UDP?

74. ¿Cuántas tramas que usen UDP?

75. ¿Qué longitud tiene un datagrama (cualquiera)?

76. ¿Cual es el valor en HEX (de la longitud)?

77. ¿Cual es el puerto de destino del datagrama?

78. ¿Cuál es el puerto origen?

79. ¿Cual es el socket?

TCP

80. ¿Hay tráfico TCP?

81. ¿Cuántas tramas que usen TCP?

82. ¿Cual es el puerto remoto de un segmento TCP (cualquiera)?

83. ¿Cual es el tamaño de la cabecera TCP (en bytes)?

84. ¿Cual es el valor del campo cabecera TCP (en bits)?

85. ¿Qué flag de control está activado en ese segmento TCP?

86. ¿Cual es el número de secuencia de ese segmento (absoluta y relativa)?

87. ¿Qué número de secuencia (absoluta y/o relativa) está confirmando?

88. ¿A qué parte de la conexión (inicio / datos / fin) pertenece ese segmento?

TCP (Avanzado)

89. Ese segmento TCP, ¿lleva opciones?

90. Si el segmento TCP lleva opciones, ¿cuántas son?

91. ¿Cuántos bytes ocupan las opciones TCP?

92. ¿Qué campos tiene cada opción?

93. ¿Cual es el socket en el que va ese segmento?

94. ¿Podrías ver la estructura concreta de una opción (kind / length / value)?

95. ¿Cual es el valor de MSS para esa conversación TCP?

96. ¿Y el tamaño de la ventana (con y sin escalado, si lo tuviera)?

97. ¿Esa conversación TCP, finalizó por las buenas o por las malas?

98. ¿Aparece la opción SACK?¿En qué consiste?

99. ¿Aparece la opción Timestamp?

100. ¿Podrías usar un filtro para ver un socket concreto?

DHCP

95. ¿Hay tráfico DHCP en la captura? ¿Cuántas tramas?

96. ¿A qué capa pertenece DHCP?

97. ¿Qué mensajes DHCP encuentras en la trama?

98. ¿En qué estados DHCP se encuentra el cliente?

99. ¿Cual es la Dirección IP que tendrá el Cliente?

100. ¿Cual es la Dirección IP del servidor DHCP?

101. ¿Cual sería el socket (circuito) que se crea entre cliente y servidor?

102. ¿Cual es el tiempo de concesión que oferta el servidor Web?

103. ¿Cuántas opciones tiene ese paquete DHCP

104. ¿Cual es el código de opción de Client Identifier?

DNS

105. ¿Hay tráfico DNS en la captura? ¿Cuántas tramas?

106. ¿A qué capa pertenece DNS?

107. ¿Qué mensajes DNS encuentras en la trama?

108. ¿Cual sería la IP del servidor DNS?

109. ¿Cual sería la IP de un cliente DNS en esa red?

110. La trama 335, ¿qué operación está realizando? ¿Cual es el código de la operación?

111. ¿En qué trama le responden?

112. Busca una trama con respuesta DNS, ¿qué tipo de registro devuelve? ¿qué valor del registro?

113. En la trama 366, ¿cuantos registros de respuesta hay? ¿Cual es la pregunta y la respuesta?

114. ¿Y en la trama 1400?

Usando Filtros de visualización

115. ¿Sabrías filtrar los paquetes cuyo origen sea una dirección IP concreta?

116. ¿Hay algún socket que haya usado el puerto 8000?

117. ¿Sabrías filtrar los paquetes desde dos IPs concretas?

118. ¿Sabrías filtrar los paquetes de un socket concreto (IP + puerto)?

119. ¿Podrías filtrar los paquetes con el flag SYN activo?

120. ¿Y los paquetes con el flag SYN y de una IP concreta?

121. ¿Y los paquetes con el flag RST (reset) activo?

122. ¿Y los paquetes con una dirección MAC concreta?

123. ¿Y los de una IP origen concreta, que además tengan el flag TCP FIN activo?

124. ¿Y los paquetes IP que tengan un TTL superior a 100?

125. ¿Y un TTL de 1? ¿Qué significaría esto?

126. ¿Qué segmentos TCP están anunciando el valor MSS?

127. ¿Qué segmentos TCP tienen el valor MSS y el flag FIN activo? ¿Porqué?

128. ¿Qué segmentos TCP tienen una ventana de más de 30.000 Bytes (sin escalar)?

129. ¿Qué paquetes IP ocupan más de 1.000 B?

130. ¿Qué filtro uso para ver un flujo (stream) concreto (p.ej el 30)?

131. ¿Qué filtro uso para ver el flujo #30 y que tengan el flag SYN activo? Es decir, estoy viendo la fase de incialización de ese socket

Usando herramientas y estadísticas

132. ¿Podrías mostrar un gráfico (IO) de los paquetes de la captura?

133. ¿Y modificar alguna de las propiedades del gráfico?

134. ¿Cómo muestras la información experta?

135. ¿Puedes tener una idea de lo que te dice esa información experta?

136. ¿Puedes ver el paquete concreto en uno de los avisos?

137. ¿Qué protocolo tiene más paquetes (en %)?

138. ¿Hay más paquetes que usen UDP que los que usan TCP?

139. ¿Qué protocolos intervienen en la captura?

140. ¿Puedes ver un análisis de la longitud de los paquetes?

141. ¿Cual es la longitud de paquetes más frecuente?

142. ¿Puedes ver cuántas conversaciones TCP hay en la captura?

143. ¿Qué socket TCP envió más paquetes?

144. ¿Qué IP envía más paquetes TCP?

145. ¿Puedes ver el flujo de datos (gráfico) de una conversación? Hay que limitar la vista a una conversación

146. ¿Y los detalles de cada paso, desde la ventana de flujo de datos?