L implmentation de logiciel wiresharek Dirig par : Mr . Ladjailia AmmarRalise par : Dridi Saloua

Plant de travaille Introduction DfinitionInterfaceFiltrageAnalyseur rseau WiresharkConclusion

Introduction : Un ordinateur quip d'une carte de communication Ethernet fonctionnant sous Windows ou Linux sur lequel est install un logiciel d'analyse de trames. On utilisera dans les manipulations tcpdump (sous Linux) et Wireshark (sous Windows ou Linux).

Dfinition WIRESHARK est un logiciel libre permettant l'coute et le dcodage des trames circulant sur un rseau il est Open Source et multi-protocole . Ses applications vont de l'audit de problmes rseau l'audit de scurit en passant par le dveloppement et l'apprentissage des fonctionnements internes des protocoles rseau..Wireshark reconnait 759 protocoles. Site officiel : http://www.wireshark.org/

Le logiciel s'ouvre sur cette page de menu :

Interface L interface de Wireshark permet de raliser toutes les oprations dont vous aurez besoin. Elle est compose principalement de 4 parties qui seront dcrites dans les sections suivantes.

affichage des trames reues dans lordre chronologique

barre dactionsdcodage des informations, protocoles par protocolesaffichage de la trame en hexadcimale.

Interface partie(1)En haut de la zone marque 1 de la figure(1) prcdant se trouve la barre de menu qui permet daccder toutes les fonctions. En particulier.FIGURE 2 Extrait de la barre dactions

Le bouton correspond au menu Capture Interfaces et ouvre une bote de dialogue montrant la liste des interfaces disponibles. On peut choisir sur quelle interface dmarrer la capture en cliquant sur le bouton Start, ou dfinir des options de capture en cliquant sur Options. Notons que pour capturer des trames sur toutes les interfaces disponibles, il faut utiliser linterface virtuelle any.

Le bouton permettant de configurer la capture. Si en principe, la majorit des options ont une valeur par dfaut satisfaisante, certaines mritent une attention particulire :

Pour faire une capture manuelle, il suffit de cliquer sur Le boutonCette option est intressante pour tester le trafic et dterminer la quantit dinformations passant sur linterface, cependant il est prfrable de faire une capture automatis.

Le bouton nest cliquable que lorsquune capture est en cours. Il correspond au menu Capture -> Stop et arrte la capture en cours.

Le bouton nest cliquable que lorsquune capture est en cours. Il correspond au menu Capture ->Restart et a pour effet deffacer les trames captures jusque l et de continuer la capture.

Le bouton correspond au menu File -> Open et permet de charger un fichier contenant une capture (efface les trames courantes).

Le bouton correspond au menu File ->Save et permet de sauver les trames selon quelques critres. Cela ouvre la bote de dialogue de la figure suivant dans laquelle on peut indiquer si lon veut sauver les trames captures ou affiches, slectionnes, marques ou un intervalle de trames. Le format du fichier par dfaut est Pcap.

FIGURE Bote de dialogue de sauvegarde de trames

Liste des tramesFIGURE 15 Filtre daffichage et liste des trames correspondantesFIGURE 3 Filtre daffichage et liste des trames correspondantes

Liste des tramesLa liste des trames captures et respectant le filtre daffichage figure dans la zone(2) . de la figure (1), reprisedans la figure(3) . En haut de cette zone se trouve le filtre daffichage spcifi. En dessous, la liste des trames respectant les critres de ce filtre sont affiches, raison dune trame par ligne. Les lignes sont colores en fonction des protocoles reconnus dans les trames. Les colonnes affiches sont configurables via le menu Edit -> Preferences.Par dfaut, il y en a 6 : le numro de la trame capture, la date de capture depuis son dbut, sa source ,sa destination, le protocole reconnu de plus haut niveau, et une prsentation humainement comprhensible de linformation transporte pour ce protocole.

Dtails des protocoles reconnus dans une trameEn slectionnant une trame dans la liste prcdente, comme la trame 23 sur la figure 3, les informations qui en ont t extraites sont prsentes dans la zone (3). de la figure 1, reprise dans la figure 4. Dans cette zone, les informations apparaissent sous la forme dune arborescence. En cliquant sur le symbole en dbut dune ligne on la dveloppe sur plusieurs lignes afin den avoir plus de dtails. . Au contraire, en cliquant sur on rduit laffiche de linformation une seule ligne. En effectuant un clic droit sur une information, on accde un menu permettant notamment de la copier, ou de la sauver dans un fichier.Sur la figure 4, on voit que dans la trame 23 sont reconnus les protocoles Ethernet-V2, IP, UDP et BOOTP (en ralit DHCP), dont les informations peuvent tre dtailles.

Dtails des protocoles reconnus dans une trameFIGURE 4 Affichage des dtails sur les protocoles reconnus dans une trame

Dtails des protocoles reconnus dans une trameLes octets de la trame sont affichs dans la zone(4) de la figure 1, reprise dans la figure 5.

FIGURE 5 Mise en vidence des octets dune information

Dtails des protocoles reconnus dans une trameCette zone est constitue de 3 parties : au centre, les octets de la trame sont affichs en hexadcimal raison de 2 sries de 8 octets par ligne(soit 16 octets en tout, crits avec 32 digits hexadcimaux) ; droite, ces octets sont affichs sous la forme de caractres ASCII, en remplaant les caractres non imprimables par un point (.) gauche, un nombre en hexadcimal donne le numro du premier octet de la ligne.

FiltrageIl est possible (indispensable !) de crer des filtres d'affichage qui ne montrent que les trames conformes la rgle de filtrage. Cela permettra d'isoler un change en particulier ou l'analyse d'un protocole spcifique.On renseignera alors le cadre Filter dans la barre du haut du zone (2):

Le bouton Expression permet d'accder un assistant pour crer une rgle de filtrage. Une rgle de filtrage s'appuie sur les champs des enttes (header) des protocoles connus du logiciel Wireshark :

En cliquant sur Valider puis sur Apply , on obtient alors :

Analyseur rseau WiresharkUne fois les captures effectues, il est possible de faire le travail danalyse. Cest la partie la plus complexe mais si les options de captures ont t judicieusement utilises, ce travail ne sera pas trop long.

Analyse rapidePour obtenir rapidement des indications concernant les erreurs dans la capture, il faut utiliser le module expert.

Analyse rapideChaque trame va tre analyse et les drapeaux (flag) ainsi que les numros de squences seront suivis. Le rsultat est tri en 5 catgories :ERRORS : les problmes rels comme des pertes de donnes. Limpact est donc visible. WARNINGS : les problmes potentiels mais pas forcment rels. NOTES : les problmes lgers comme les retransmissions suspectesCHAT : le suivi des sessions (SYNchronisation, ReSeT, etc.)Details : est une vue des 4 catgories prcdentes permettant de trier les donnes par type.

Analyse rapide

Analyse normaleLa qualification dun rseau ncessite de pouvoir dterminer lutilisation de celui-ci. Cela inclut lutilisation de la bande passante, les protocoles prsents ainsi que leur proportion, les temps de latence, la rpartition des tailles de paquets, etc.Wireshark affiche les informations sur le fichier de capture avec notamment le dbit moyen lors de la capture. Pour cela, il faut aller dans le menu [Statistics] [Summary].

Analyse normale

ConversationsWireshark est capable de montrer les conversations durant la capture, menu [Statistics] [Conversations].

Les onglets permettent de choisir le type dadressage (Ethernet, IPX, Ipv4) et mme par protocoles (TCP ou UDP).Il est possible de trier les donnes par colonnes (en cliquant sur le titre de la colonne une foisou deux fois pour changer lordre) et de copier le rsultat dans le presse-papier (bouton [Copy].La troisime et la quatrime colonne (Packets et Bytes) sont respectivement la somme descolonnes Packets A->B + Packet B->A et Bytes A->B + Bytes B-> A.

Outils statistiques Summary : statistiques gnrales sur la capture actuelle Protocol Hierarchy : statistiques sur la pile de protocoles utilis dans l'change Conversations : statistiques desconversations saisies. Une conversation est le trafic entre deux points de terminaison spcifique. Par exemple, une conversation IP est tout le trafic entre deux adresses IP. Endpoints : statistiques des points de terminaison. Un point de terminaison rseau est la terminaison logique d'unprotocole d'une couche spcifique.

Analyse graphique "Time-Sequence" (tcptrace)Cet outil graphique permet de voir rapidement la forme des changes pour un flux slectionn :

Analyse graphique "Time-Sequence" (tcptrace)Les petits traits verticaux noirs (en forme de 'I') sont des trames envoys (du premier au dernier octet, donc la hauteur reprsente la longueur de la trame).La courbe bleue qui semble suit les traits verticaux noirs correspond l'accus de rception des trames: squence ACK. Elle indique le dlai d'acquittement de chaque trame et lorsqu'il y a une retransmission, un petit trait vers le bas est ajout (Duplicate ACK).

conclusionLe logiciel Wireshark (anciennement Ethereal) permet la capture et lanalyse de trames sur Ethernet. Wireshark peut tre fait: Dcoder les trames (niveau 2 et 3)Calculer le dbit moyen sur la dure de la capture (Mbps)Tracer un graphe du trafic pour tout ou partie des flux captursAfficher les temps de rponses des trames TCP (bas sur les acquittements)Indiquer les erreurs ou les alertes dtectes (paquets perdus, retransmis, dupliqus)Suivre un dialogue TCP (notamment HTTP)Donner les statistiques sur les tailles des trames rseauxEtc.

Merce pour vouter attention