Como usar o Wireshark

Escolhendo a interface

Passo 1. Se você ainda não tem o Wireshark em seu computador, baixe o programa no TechTudo downloads, instale-o e depois execute-o;

Passo 2. Clique na opção “Interface List” , disponível na janela principal do programa ou no menu “Capture” em “Interfaces…”;

Passo 3. Dentro da janela de interfaces, marque a interface de rede que deseja utilizar na captura;

Definindo as opções de captura

Passo 4. Ainda na janela de interfaces, clique no botão “Options”;

Passo 5. Na janela de opções, clique na placa que será usada para fazer a captura (caso ela não esteja selecionada) e depois marque a opção “Capture all in promiscuous mode”. Isso fará o programa capturar todos os pacotes da rede atual;

Passo 6. Na área “Capture file(s)”, clique no botão “Browse…”;

Passo 7. Na janela que aparece, vá para a pasta onde está o arquivo (no formato TXT) que será usado para guardar a captura (se o arquivo ainda não tiver sido criado, digite um nome no campo “Name”). Para finalizar, clique no botão “OK”;

Capturando pacotes

Passo 8. Ainda na janela de opções de captura, clique no botão “Start”. O programa começará a capturar pacotes e exibir no primeiro quadro de sua janela;

Filtrando a captura

Passo 9. Como é possível ver, a quantidade de pacotes é imensa, para simplificar a pesquisa, clique no botão “Expression…”;

Passo 10. Procure pelo item “IPv4 – Internet Protocol version 4″ no quadro “Field name” que fica do lado esquerdo da janela de “Filter Expression”. Depois clique no sinal de “+” ao lado do nome ” IPv4 – Internet Protocol version 4″ e selecione a opção “ip.dst”. Clique na opção “==” no campo “Relation”, no centro da tela.  No campo “Value” digite o endereço IP de seu computador. Clique em “OK” para confirmar;

Passo 11. Depois de aplicado o filtro, apenas os pacotes destinados à sua máquina aparecerão na listagem. Mas ainda aparecem muitos pacotes. Vamos restringir isso a apenas solicitações de Ping. Para fazer isso,  digite ” and ” (sem as aspas mas como os espaços) depois da expressão que foi criada depois do nome “Filter” na janela do programa. Agora clique novamente no botão “Expression…”;

Passo 12. Procure pelo item “ICMP – Internet Control Message Protocol” no quadro “Field name”. Depois clique no sinal de “+” ao lado do nome “ICMP – Internet Control Message Protocol” e selecione a opção “icmp.type”. Clique na opção “==” no campo “Relation” e no campo “Value” digite o número 8 (que corresponde a solicitações ping). Clique em “OK” para confirmar. A expressão completa ficará “ip.dst == 192.168.1.5 and icmp.type == 8″ e será exibida no campo “Filter”;

Passo 13. Agora só aparecerão os pacotes destinados ao seu computador que sejam solicitações do comando ping, com isso você saberá qual ou quais máquinas estão pingando na sua.

Este foi um exemplo básico do uso do Wireshark. Ele pode ir muito além disso se for usado por um administrador experiente e que tenha um bom conhecimento das características de cada protocolo de rede, para poder usar o recurso de filtros adequadamente. Para os que ainda não conhecem os detalhes mais obscuros do programa e dos protocolos, o site wiki do produtor do programa é o lugar ideal para começar a aprender.