ĐẠI HỌC CÔNG NGHỆ THÔNG TIN TPHCM
KHOA MẠNG MÁY TÍNH & TRUYỀN THÔNG

------

BÀI BÁO CÁO MÔN
QUẢN TRỊ HỆ THỐNG MẠNG
ĐỀ TÀI:

Tìm hiểu về công cụ WireShark

Giáo viên hướng dẫn : Vũ Trí Dũng
Sinh viên :
Trần Minh Hiếu

07520122

Phạm Trương Hoàng Tuấn 07520386
Phạm Nguyên Huy

TPHCM Tháng 10/2010

07520472


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

LỜI NÓI ĐẦU

nhiều cách thức khác nhau , với cách capture các gói tin của các máy PC từ đó bạn có thể phần
nào xác định được nguyên gây ra lỗi của máy tính đó hoặc của các một hệ thống mạng LAN .
Có khá nhiều công cụ để giải quyết vấn đề trên , WIRESHARK là một trong những công cụ
có chức năng như thế , có rất ít sản phẩm có được những tính năng đặc biệt như Wireshark và
điều này rất dễ nhận thấy tại sao. Giả sử bạn muốn biết những gì đang thực sự xảy ra trên mạng
của mình. Wireshark sẽ capture các gói dữ liệu, sau đó hiển thị chúng theo cách để bạn có thể dễ
dàng dõi theo các “cuộc trò chuyện” và truy cập giữa các máy tính. Nó có các tùy chọn phân loại
và lọc hầu như vô tận, cho phép bạn có thể tìm chính xác những thông đang cần tìm.
Bài báo cáo này sẽ đi tìm hiểu các chức năng , các ưu nhược điểm cơ bản và các tình huống
xử lý với WIRESHARK .

3


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

MỤC LỤC
1. Giới Thiệu Tổng Quan Về Bài Viết…………..................................................3
2. Mục Lục…………...............................................................................................4
3. Công cụ quản lý – WireShark…………...........................................................5
3.1.Giới thiệu về WireShark…………………………………………………..5
3.2.Giao diện của WireShark…………………………………………………6
4. Phân tích gói tin với WireShark …………………………………………….11
4.1.Phân tích gói tin là gì ?...............................................................................11
4.2.Xử lý tình huống với WireShark………………………………………..13
5. So sánh WireShark với một vài tool khác…………………………………..21
5.1 WireShark & LANView……………………………………………….....21

Nếu muốn sử dụng các kiểu mã hóa, chẳng hạn như WEP, WPA, WPA2, Ipsec, hoặc
SSL/TLS, chúng ta có thể cấu hình Wireshark với các khóa để nó có thể giải mã và hiển thị
dữ liệu thực nếu cần.

5


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

3.2 Một vài chức năng của Wireshark
Giao diện của Wireshark

Phần menu



File : chứa các menu dùng để mở , gộp, lưu , in ,trích xuất (các file đã bắt được ) hoặc



kết thúc chương trình Wireshark
Edit : menu này chứa các phần có chức năng tìm kiếm gói tin , đánh dấu hay bỏ qua



gói tin đã bắt được
View : Menu này dùng để chỉnh sửa việc hiển thị các mục trong phần dữ liệu các gói


cuối ,chiều dài gói tín ……
Telephony : hiển thị các số liệu thống kê liên quan đến telephony , như là phân tích




các media ,hiện thị các hệ thống phân cấp các giao thức
Tool : chứa các tool có liên quan đến wireshark như là “Firewall ACL Rules” .
Help : chứa các thành phần hỗ trợ cho người sử dụng như là : các hướng dẫn cơ bản ,
danh sách các giao thức được hỗ trợ , một vài trang chủ liên quan và thông tin về
chương trình đang sử dụng

Phần Main Toolbar

Cung cấp các chức năng thường được sử dụng để tạo sự dễ dàng cho người sử dụng .
Người sử dụng không thể tùy chỉnh các chức năng trên toolbar này , nhưng các thể ẩn
hiện chúng ở menu View phù hợp với độ rộng của màn hình
Phần Filters Toolbar

Dùng để hiển thị các gói tin dựa vào điều kiện lọc gói tin được nhập vào ô trên
Filter Input : nơi nhập công thức để lọc kết quả các gói tin

7


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

Phần Packet List Pannel

Hiển thị tất cả các gói tin bắt được
Các cột cơ bản của phần trên :
• No : Hiển thị số thứ tự của gói tin
• Time : Thời gian kể từ khi bắt đầu thực hiện bắt gói tin
• Source : Địa chỉ nguồn của gói tin
• Destination : Địa chỉ đích của gói tin
• Protocol : giao thức của gói tin
• Info : Thông tin nội dung gói tin
8


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

Màu của các gói tin : mỗi màu tượng trưng cho một giao thức , để xem “coloring rule”
vào View -> Coloring Rules .
Ví dụ :
Nền đen chữ đỏ : gói tin TCP bị lỗi
Nền xanh nhạt : gói tin ARP
Nền xanh lá cây : gói tin HTTP

Phần Packet Details

Hiển thị các giao thức , các miền giao thức , địa chỉ đích nguồn của gói tin được chọn
Phần Packet Bytes


thành các khuôn dạng có thể đọc được.

•

Phân tích : phân tích các gói tin đã được chuyển đổi.

Các bước để nghe gói tin
4.1.1

Living Promiscuously (chế độ bắt tất cả các gói tin đi qua)

10


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

Cần một card mạng có hỗ trợ chế độ Promiscuous .Chế độ Promiscuous cho phép card
mạng nhìn thấy tất cả các gói tin đi qua hệ thống dây mạng. Khi nó ở chế độ
Promiscuous, nó bắt tất cả các gói tin và gửi toàn bộ tới CPU.
4.1.2 “Nghe” trong mạng hub
Cơ chế hoạt động của Hub cho phép gói tin được gửi tất cả các cổng của hub . Để
phân tích một máy tính trên một hub, tất cả các công việc cần làm là cắm máy nghe
vào một cổng còn trống trên hub.
4.1.3 “Nghe” trong mạng switch
Môi trường switch là kiểu mạng phổ biến mà bạn làm việc. Switch cung cấp một
phương thức hiệu quả để vận chuyển dữ liệu thông qua broadcast, unicast, multicast.
Switch cho phép kết nối song công (full-duplex), có nghĩa là máy trạm có thể truyền

Ví dụ:
Một ví dụ truyền file bị mất kết nối:
Bắt đầu bằng việc gửi 4 gói TCP ACK từ 10 . 3 . 71 . 7 đến 10 . 3 . 30 . 1.

Lỗi bắt đầu từ gói thứ 5, chúng ta nhìn thấy xuất hiện việc gửi lại gói của TCP.

12


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

TCP gửi một gói tin đến đích, nếu không nhận được trả lời sau một khoảng thời gian nó
sẽ gửi lại gói tin ban đầu. Nếu vẫn tiếp tục không nhận được phản hồi, máy nguồn sẽ
tăng gấp đôi thời gian đợi cho lần gửi lại tiếp theo.

Như ta thấy ở hình trên, TCP sẽ gửi lại 5 lần, nếu 5 lần liên tiếp không nhận được phản
hồi thì kết nối được coi là kết thúc.
Hiện tượng này ta có thể thấy trong Wireshark như sau:

Khả năng xác định gói tin bị lỗi đôi khi sẽ giúp chúng ta có thể phát hiện ra mấu chốt
mạng bị mất là do đâu.
4.2.2. Xác định máy tính nhiễm virus

13


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng


Từ máy tính gửi yêu cầu GET của HTTP đến địa chỉ như trên hình:
Một số gói tiếp theo có sự lặp ACK.

Sau một loạt các thay đổi trên thì có truy vấn DNS đến deskwx.weatherbug.com
Đây là địa chỉ A không hề biết và không có ý định truy cập.

15


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

Như vậy có thể là có một process nào đó đã làm thay đổi địa chỉ trang chủ mỗi khi IE
được bật lên. Dùng một công cụ kiểm tra process ẩn ví dụ như Process Explore và thấy
rằng có tiến trình weatherbug.exe đang chạy. Sau khi tắt tiến trình này đi không còn
hiện tượng trên nữa.
Thông thường các tiến trình như weatherbug có thể là virus, spyware
4.2.3 Hệ thống download chậm
Tình huống: cả mạng download rất chậm
Tiến hành : đặt wireshark lắng nghe toàn bộ đầu ra của mạng
Phân thích : hình ảnh dưới đây cho thấy có rất nhiều kết nối TCP,HTTP điều này có
nghĩa là có rất nhiều kết nối HTTP download dữ liệu về nên chiếm băng thông của
mạng.

16



chương trình Windows update.

18


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

5. So sánh wireshark với một vài công cụ khác
5.1 Wireshark & LANView

Giao diện sử dụng của LANView
LANView là phần mềm thương mại có kích thước nhỏ gọn, chỉ với 2.8 MB. Giao diện
chính của chương trình gồm 3 phần:
•

Phần trên là menu

•

Bên trái là thanh slidebar chứa các công cụ mà ta muốn làm việc.

•

Bên phải là của sổ hiện thông tin chi tiết.

19


•
•

Giao diện của Ethernetscan
Etherscan là phần mềm phân tích gói tin hoạt động trên nền window.
Etherscan đọc được nhiều giao thức như là Ethernet, NetBEUI, TCP/IP, và nhiều giao
thức khác. Nó có khả năng xây dựng lại các phiên TCP/IP, với tính năng này ta có thể
thấy dữ liệu ở dạng nguyên bản ví dụ như ta có thể đọc nội dung của một email, bất

•

kỳ attachment chính xác như khi nó được gửi.
Tính năng lọc gói nâng cao, gồm các tab Protocol, IP address, Ports, Words,

•

Advanced.
Ngoài việc bắt và phân tích gói tin trên giao tiếp mạng của máy tính, Etherscan có thể
lưu lại (save) và tải (load) những gói tin trong file, có thể gửi 1 gói tin do mình tự tạo
lên mạng -> chức năng này Wireshark không có

 Kết luận : so với công cụ wireshark thì etherscan cũng có các chức năng tương đồng
nhau , tuy nhiên hỗ trợ giao thức dường như chưa bằng wireshark . Bên cạnh đó ,
etherscan có các chức năng wireshark không có như là gửi một gói tin do mình tự tạo
( wireshark chỉ bắt và đọc gói tin ).

6. Các ưu nhược điểm và lời khuyên khi sử dụng Wireshark
21



•

Bắt được các gói tin ở của nhiều giao tiếp mạng khác nhau

22


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

6.2 Nhược điểm
Như bất kì một công cụ nào khác, Wireshark có thể được dùng cho một số việc và không
cho một số việc khác. Ở đây là danh sách của một số việc mà Wireshark không thể làm:
• Nó không thể dùng để vạch ra một mạng như công cụ Nmap
• Nó không sinh ra ra các dữ liệu mạng - nó là một công cụ bị động. Những công cụ
như nmap, ping và traceroute là ví dụ về các công cụ có khả năng sinh ra các dữ
•

liệu mạng .
Nó chỉ có thể bắt được dữ liệu tốt khi giao diện driver của hệ điều hành hỗ trợ. Ví
dụ của việc bắt dữ liệu thông qua mạng không dây.

•

Wireshark đơn thuần chỉ dừng lại ở việc bắt gói để cho quản trị viên biết được
tình trạng mạng mà không có cơ chế báo động khi có lỗi trong hệ thống mạng.

•


KẾT LUẬN
Bài viết đã tóm tắt các thông tin , các chức năng cơ bản của công cụ wireshark với chức
năng chính là bắt và phân tích gói tin qua mạng rất có ích trong việc kiểm tra các lỗi của
hệ thống mạng đang quản lý .
Qua bài viết tìm hiểu về wireshark , ta có thể thấy wireshark hỗ trợ đầy đủ các yêu cầu
của một công cụ bắt và phân tích gói tin qua mạng . Với một giao diện GUI , hệ thống
menu rõ ràng trực quan cho những người tìm hiểu phân tích về giao thức mạng .
Với một vài ví dụ cơ bản sử dụng wireshark nêu trên , ta có thể thấy công cụ này thật sự
rất hữu ích và cần thiết cho một quản trị viên bên cạnh nhiều chức năng có ích, cộng với
việc là một phần mềm mã nguồn mở hoàn toàn miễn phí rất thích hợp cho các doanh
nghiệp vừa và nhỏ .

TÀI LIỆU THAM KHẢO

24


Bài Báo Cáo Môn Quản Trị Hệ Thống Mạng
Đề Tài : Tìm hiểu về Wireshark

Khoa Mạng Máy Tính Và Truyền Thông

1. Wireshark User's Guide Copyright © 2004-2008 Ulf Lamping , Richard Sharpe ,
Ed Warnicke
2. Chris Sanders, PRACTICAL PACKET ANALYSIS, Using Wireshark to Solve
Real-World Network Problems- No Startch Press,2007
3. Angela Orebaugh,Gilbert Ramirez,Josh Burke,Larry Pesce,Joshua Wright,Greg
Morris, Wireshark & Ethereal Network Protocol Analyzer Toolkit- Syngress
Publishing,2007