Som en gratis og åpen kildekode-pakkeanalysator tilbyr Wireshark mange praktiske funksjoner. En av dem er å finne MAC-adresser (Media Access Control), som kan fortelle deg mer informasjon om forskjellige pakker på et nettverk.
Hvis du er ny på Wireshark og ikke vet hvordan du finner MAC-adresser, har du kommet til rett sted. Her vil vi fortelle deg mer om MAC-adresser, forklare hvorfor de er nyttige, og gi trinn for å finne dem.
Hva er en MAC-adresse?
En MAC-adresse er en unik identifikator som tildeles nettverksenheter som datamaskiner, brytere og rutere. Disse adressene tildeles vanligvis av produsenten og er representert som seks grupper med to heksadesimale sifre.
Hva brukes en MAC-adresse til i Wireshark?
Den primære rollen til en MAC-adresse er å merke kilden og destinasjonen til en pakke. Du kan også bruke dem til å spore en bestemt pakkes bane gjennom et nettverk, overvåke nettrafikk, identifisere ondsinnet aktivitet og analysere nettverksprotokoller.
Wireshark Hvordan finne MAC-adresse
Å finne MAC-adressen i Wireshark er relativt enkelt. Her viser vi deg hvordan du finner en MAC-kildeadresse og MAC-destinasjonsadresse i Wireshark.
Hvordan finne en kilde MAC-adresse i Wireshark
En kilde MAC-adresse er adressen til enheten som sender pakken, og du kan vanligvis se den i pakkens Ethernet-overskrift. Med kilde-MAC-adressen kan du spore en pakkes bane gjennom nettverket og identifisere hver pakkes kilde.
Du kan finne kilde-MAC-adressen til en pakke i Ethernet-fanen. Slik kommer du til det:
- Åpne Wireshark og ta opp pakker.
- Velg pakken du er interessert i og vis detaljene.
- Velg og utvid 'Ramme' for å få mer informasjon om pakken.
- Gå til 'Ethernet'-overskriften for å se Ethernet-detaljer.
- Velg 'Kilde'-feltet. Her ser du kildens MAC-adresse.
Hvordan finne en MAC-destinasjonsadresse i Wireshark
En destinasjons-MAC-adresse representerer adressen til enheten som mottar en pakke. I likhet med kildeadressen er destinasjons-MAC-adressen plassert i Ethernet-overskriften. Følg trinnene nedenfor for å finne en destinasjons-MAC-adresse i Wireshark:
- Åpne Wireshark og begynn å fange pakker.
- Finn pakken du vil analysere og observer detaljene i detaljruten.
- Velg 'Ramme' for å få mer data om det.
- Gå til 'Ethernet'. Du vil se «Kilde», «Destinasjon» og «Type».
- Velg 'Destinasjon'-feltet og se destinasjons-MAC-adressen.
Slik bekrefter du en MAC-adresse i Ethernet-trafikk
Hvis du feilsøker nettverksproblemer eller ønsker å identifisere ondsinnet trafikk, kan det være lurt å sjekke om en bestemt pakke sendes fra riktig kilde og rutes til riktig destinasjon. Følg instruksjonene nedenfor for å bekrefte en MAC-adresse i Ethernet-trafikk:
- Vis datamaskinens fysiske adresse ved å bruke ipconfig/all eller Getmac.
- Se Kilde- og Destinasjonsfeltene i trafikken du har fanget, og sammenlign datamaskinens fysiske adresse med dem. Bruk disse dataene til å sjekke hvilke rammer som ble sendt eller mottatt av datamaskinen din, avhengig av hva du er interessert i.
- Bruk arp-a for å se ARP-bufferen (Address Resolution Protocol).
- Finn standard gateways IP-adresse som brukes i ledeteksten og se dens fysiske adresse. Sjekk om gatewayens fysiske adresse samsvarer med noen av 'Kilde'- og 'Destinasjon'-feltene i den registrerte trafikken.
- Fullfør aktiviteten ved å lukke Wireshark. Hvis du vil forkaste fanget trafikk, trykk 'Avslutt uten å lagre.'
Hvordan filtrere en MAC-adresse i Wireshark
Wireshark lar deg bruke filtre og gå raskt gjennom store mengder informasjon. Dette er spesielt nyttig hvis det er et problem med en bestemt enhet. I Wireshark kan du filtrere etter kilde-MAC-adressen eller destinasjons-MAC-adressen.
Hvordan filtrere etter kilde MAC-adresse i Wireshark
Hvis du vil filtrere etter kilde MAC-adresse i Wireshark, er dette hva du trenger å gjøre:
- Gå til Wireshark og finn Filter-feltet øverst.
- Skriv inn denne syntaksen: 'ether.src == macaddress'. Erstatt 'macaddress' med ønsket kildeadresse. Husk å ikke bruke anførselstegn når du bruker filteret.
Hvordan filtrere etter destinasjons-MAC-adresse i Wireshark
Wireshark lar deg filtrere etter destinasjons-MAC-adresse. Slik gjør du det:
- Start Wireshark og finn Filter-feltet øverst i vinduet.
- Skriv inn denne syntaksen: 'ether.dst == macaddress'. Sørg for å erstatte 'macaddress' med destinasjonsadressen og husk å ikke bruke anførselstegn når du bruker filteret.
Andre viktige filtre i Wireshark
I stedet for å kaste bort timer på å gå gjennom store mengder informasjon, lar Wireshark deg ta en snarvei med filtre.
ip.addr == x.x.x.x
Dette er et av de mest brukte filtrene i Wireshark. Med dette filteret viser du kun innfangede pakker som inneholder den valgte IP-adressen.
Filteret er spesielt praktisk for de som ønsker å fokusere på én type trafikk.
Du kan filtrere etter kilde- eller destinasjons-IP-adresse.
Hvis du vil filtrere etter kildens IP-adresse, bruk denne syntaksen: 'ip.src == x.x.x.x'. Erstatt 'x.x.x.x' med ønsket IP-adresse og fjern anførselstegn når du skriver inn syntaksen i feltet.
De som ønsker å filtrere etter kilde-IP-adresse, bør skrive inn denne syntaksen i Filter-feltet: 'ip.dst == x.x.x.x'. Bruk ønsket IP-adresse i stedet for 'x.x.x.x' og fjern anførselstegn.
Hvis du vil filtrere flere IP-adresser, bruk denne syntaksen: 'ip.addr == x.x.x.x og ip.addr == y.y.y.y'.
ip.addr == x.x.x.x && ip.addr == x.x.x.x
Hvis du ønsker å identifisere og analysere data mellom to spesifikke verter eller nettverk, kan dette filteret være utrolig nyttig. Det vil fjerne unødvendige data og vise de ønskede resultatene på bare noen få sekunder.
http
Hvis du kun vil analysere HTTP-trafikk, skriv inn 'http' i Filter-boksen. Husk å ikke bruke anførselstegn når du bruker filteret.
dns
Wireshark lar deg filtrere fangede pakker etter DNS. Alt du trenger å gjøre for å se kun DNS-trafikk er å skrive inn 'dns' i Filter-feltet.
hvordan du sletter alle bildene på mac
Hvis du vil ha mer spesifikke resultater og bare vise DNS-spørringer, bruk denne syntaksen: 'dns.flags.response == 0'. Pass på at du ikke bruker anførselstegn når du går inn i filteret.
Hvis du vil filtrere DNS-svar, bruk denne syntaksen: 'dns.flags.response == 1'.
ramme inneholder trafikk
Dette praktiske filteret lar deg filtrere pakker som inneholder ordet «trafikk». Det er spesielt verdifullt for de som ønsker å søke etter en spesifikk bruker-ID eller streng.
tcp.port == XXX
Du kan bruke dette filteret hvis du vil analysere trafikken som går inn eller ut av en bestemt port.
ip.addr >= x.x.x.x og ip.addr <= y.y.y.y
Dette Wireshark-filteret lar deg kun vise pakker med et spesifikt IP-område. Den leses som 'filter IP-adresser større enn eller lik x.x.x.x og mindre enn eller lik y.y.y.y.' Erstatt 'x.x.x.x' og 'y.y.y.y' med de ønskede IP-adressene. Du kan også bruke '&&' i stedet for 'og.'
frame.time >= 12. august 2017 09:53:18 og frame.time <= 12. august 2017 17:53:18
Hvis du ønsker å analysere innkommende trafikk med en bestemt ankomsttid, kan du bruke dette filteret for å få relevant informasjon. Husk at dette bare er eksempeldatoer. Du bør erstatte dem med ønskede datoer, avhengig av hva du ønsker å analysere.
!(filtersyntaks)
Hvis du plasserer et utropstegn foran en filtersyntaks, vil du ekskludere det fra resultatene. For eksempel, hvis du skriver '!(ip.addr == 10.1.1.1),' vil du se alle pakker som ikke inneholder denne IP-adressen. Husk at du ikke bør bruke anførselstegn når du bruker filteret.
Hvordan lagre Wireshark-filtre
Hvis du ikke bruker et bestemt filter i Wireshark ofte, vil du sannsynligvis glemme det med tiden. Å prøve å huske riktig syntaks og kaste bort tid på å søke etter den på nettet kan være veldig frustrerende. Heldigvis kan Wireshark hjelpe deg med å forhindre slike scenarier med to verdifulle alternativer.
Det første alternativet er automatisk fullføring, og det kan være nyttig for de som husker filterets begynnelse. For eksempel kan du skrive 'tcp', og Wireshark vil vise en liste over filtre som begynner med den sekvensen.
Det andre alternativet er bokmerkefiltre. Dette er et uvurderlig alternativ for de som ofte bruker komplekse filtre med lang syntaks. Slik bokmerker du filteret ditt:
- Åpne Wireshark og trykk på bokmerkeikonet. Du finner den på venstre side av Filter-feltet.
- Velg 'Administrer skjermfiltre.'
- Finn ønsket filter på listen og trykk på plusstegnet for å legge det til.
Neste gang du trenger det filteret, trykk på bokmerkeikonet og finn filteret ditt på listen.
FAQ
Kan jeg kjøre Wireshark på et offentlig nettverk?
Hvis du lurer på om det er lovlig å kjøre Wireshark på et offentlig nettverk, er svaret ja. Men det betyr ikke at du bør kjøre Wireshark på et hvilket som helst nettverk. Sørg for å lese vilkårene og betingelsene for nettverket du vil bruke. Hvis nettverket forbyr bruk av Wireshark og du fortsatt kjører det, kan du bli utestengt fra nettverket eller til og med saksøkt.
Wireshark biter ikke
Fra feilsøking av nettverk til å spore tilkoblinger og analysere trafikk, Wireshark har mange bruksområder. Med denne plattformen kan du finne en spesifikk MAC-adresse med bare noen få klikk. Siden plattformen er gratis og tilgjengelig på flere operativsystemer, nyter millioner av mennesker over hele verden de praktiske alternativene.
Hva bruker du Wireshark til? Hva er ditt favorittalternativ? Fortell oss i kommentarfeltet nedenfor.
