Wireshark — Analyse de trafic réseau

Qu'est-ce que Wireshark ?

Wireshark est l'analyseur de protocoles réseau le plus utilisé. Il capture le trafic réseau en temps réel et permet de disséquer chaque paquet. Indispensable en forensic réseau, pour comprendre des protocoles, ou analyser des malwares.

Filtres essentiels

# Filtrer par IP
ip.addr == 192.168.1.1
ip.src == 10.0.0.1 && ip.dst == 10.0.0.2

# Filtrer par protocole
http
dns
smb
tls

# Filtrer par port
tcp.port == 443
udp.port == 53

# Chercher des credentials en clair
http.request.method == "POST"
ftp.request.command == "PASS"
telnet

Extraction d'artefacts

# Exporter des fichiers HTTP capturés
File -> Export Objects -> HTTP

# Suivre un flux TCP (reconstituer la conversation)
Clic droit sur paquet -> Follow -> TCP Stream

# Statistiques
Statistics -> Protocol Hierarchy  # répartition des protocoles
Statistics -> Conversations       # qui parle à qui
Statistics -> IO Graph            # graphe du débit

Tshark — version CLI

# Capturer sur une interface
tshark -i eth0 -w capture.pcap

# Filtrer à la capture
tshark -i eth0 -f "port 80" -w http.pcap

# Lire et filtrer un pcap
tshark -r capture.pcap -Y "http.request" -T fields -e ip.src -e http.request.uri