#STHM-Wireshark: Temel Bilgiler

Araçlara Genel Bakış​

Wireshark’ın Kullanım Alanları​

• Ağ sorunlarını tespit etmek ve çözümlemek:
  Ağdaki yoğunluk, gecikme, paket kaybı ya da tıkanıklık gibi problemleri belirlemek için oldukça etkilidir. Trafiği detaylı inceleyerek sorunun kaynağına daha hızlı ulaşmayı sağlar.
• Güvenlik anormalliklerini fark etmek:
  Yetkisiz cihazların ağa bağlanması, beklenmedik port kullanımları veya olağandışı veri akışları gibi şüpheli durumları ortaya çıkarmada önemli bir rol oynar.
• Protokol detaylarını analiz etmek ve öğrenmek:
  HTTP, TCP, DNS gibi protokollerin nasıl çalıştığını anlamak için paket içeriklerini inceleme imkânı sunar. Yanıt kodları, bayraklar (flags) ve veri yükü (payload) gibi teknik detaylar üzerinde derinlemesine analiz yapılabilir.

Not: Wireshark bir Saldırı Tespit Sistemi (IDS) değildir. Yakalanan paketleri değiştirmez veya engellemez; yalnızca analiz edilmesini sağlar. Bu nedenle anormallikleri fark etmek ve doğru yorumlamak, büyük ölçüde analistin bilgi birikimi ve tecrübesine bağlıdır.

Genişletmek için tıkla ...

Arayüz ve Veriler​

Aşağıdaki görselde Wireshark’ın ana penceresi yer almakta; tabloda açıklanan bölümler işaretlenmiştir.


Not: Bir pcap dosyasını yüklemek için yalnızca “File” menüsünü kullanmak zorunda değilsiniz. Dosyayı sürükleyip bırakabilir veya dosyaya çift tıklayarak da açabilirsiniz.

Paketleri Renklendirme​

• Geçici kurallar:
  Yalnızca o anki oturum boyunca geçerlidir. Program kapatıldığında bu kurallar kaybolur.
• Kalıcı kurallar:
  Profil dosyasında saklanır ve sonraki oturumlarda da aktif olarak kullanılmaya devam eder.

Kalıcı renklendirme kuralları oluşturmak için sağ tık menüsünü ya da View → Coloring Rules yolunu kullanabilirim.
Renklendirme kurallarını toplu olarak açıp kapatmak için ise Colourise Packet List seçeneği kullanılır.
Geçici renklendirme işlemleri de yine sağ tık menüsü veya View → Conversation Filter üzerinden yapılabilir.
Aşağıda Wireshark’ın varsayılan kalıcı renklendirme görünümüne ait örnek yer almaktadır:

Trafik Dinleme (Sniffing)​

Ağ dinlemeyi (trafik yakalamayı) başlatmak için mavi “köpekbalığı butonunu” kullanabilirsiniz. Kırmızı buton dinlemeyi durdurur, yeşil buton ise dinleme sürecini yeniden başlatır.
Durum çubuğu ayrıca kullanılan dinleme arayüzünü ve toplanan paket sayısını da gösterir.

PCAP Dosyalarını Birleştirme​

Wireshark, iki pcap dosyasını tek bir dosya hâline getirebilir. Bunun için File → Merge menü yolunu kullanarak mevcut işlenmiş dosya ile başka bir pcap dosyasını birleştirebilirsiniz.
İkinci dosyayı seçtiğinizde, Wireshark seçilen dosyadaki toplam paket sayısını gösterecektir. Open seçeneğine tıkladığınızda, mevcut pcap dosyası seçtiğiniz dosya ile birleştirilir ve yeni bir pcap dosyası oluşturulur.
Unutmayın: Birleştirilmiş pcap dosyası üzerinde çalışmaya başlamadan önce dosyayı kaydetmeniz gerekir.

Dosya Detaylarını Görüntüleme​

Dosya detaylarını bilmek oldukça faydalıdır. Özellikle birden fazla pcap dosyasıyla çalışırken, dosyayı tanımlamak, sınıflandırmak ve önceliklendirmek için bazen dosya detaylarını (dosya hash değeri, yakalama zamanı, dosya yorumları, arayüz ve istatistikler) bilmeniz ve hatırlamanız gerekebilir.
Bu detayları görüntülemek için Statistics → Capture File Properties menü yolunu izleyebilir veya sol alt köşede bulunan pcap simgesine tıklayabilirsiniz.

Paket Analizi​

Paket Ayrıştırma​

Paket Detayları​

Paket listesindeki bir pakete tıklayarak detaylarını açabilirsiniz (çift tıklama, detayları yeni bir pencerede açar). Paketler, OSI modeline göre 5 ila 7 katmandan oluşur. Örnek bir yakalamadan alınan bir HTTP paketi üzerinden tüm katmanları inceleyeceğiz.
Aşağıdaki görselde, 27 numaralı paketin görüntülenmesi gösterilmektedir.

Bir ayrıntıya her tıkladığınızda, paket baytları bölmesinde ilgili kısım vurgulanır.

Ayrıntılar bölmesini daha yakından inceleyelim.


Paket Katmanları
Bir pakette yedi farklı katman görebiliriz:

• Çerçeve/Paket (Frame/Packet)
• Kaynak [MAC]
• Kaynak [IP]
• Protokol
• Protokol Hataları
• Uygulama Protokolü
• Uygulama Verisi (Application Data)

Aşağıda bu katmanların her birini daha ayrıntılı şekilde ele alacağız.

The Frame Layer1(Çerçeve Katman 1)
Bu katman, hangi çerçeve/pakete baktığınızı ve OSI modelinin Fiziksel katmanına özgü detayları gösterir.


Source [MAC] (Layer 2){Kaynak [MAC] (Katman 2)}
Bu katman, kaynak ve hedef MAC adreslerini gösterir; OSI modelinin Veri Bağlantı (Data Link) katmanına aittir.


Source [IP] (Layer 3)-Kaynak [IP] (Katman 3):
OSI modelinin Ağ katmanından kaynak ve hedef IPv4 adreslerini gösterir.


Protocol (Layer 4)-Protokol (Katman 4):
Bu, kullanılan protokolün (UDP/TCP) ve kaynak ve hedef bağlantı noktalarının ayrıntılarını gösterir; OSI modelinin Taşıma katmanından.


Protocol Errors-Protokol Hataları:
4. katmanın bu devamı, yeniden birleştirilmesi gereken TCP'nin belirli segmentlerini gösterir.


Application Protocol (Layer 5)-Uygulama Protokolü (Katman 5):
Bu, HTTP, FTP ve SMB gibi kullanılan protokole özgü ayrıntıları gösterir. OSI modelinin Uygulama katmanından.


Application Data-Uygulama Verileri:
5. katmanın bu uzantısı, uygulamaya özgü verileri gösterebilir.


Paket Navigasyonu

Paket Numaraları​

Wireshark, incelenen paketlerin sayısını hesaplar ve her pakete benzersiz bir numara atar. Bu özellik, büyük yakalamalarda analiz sürecini kolaylaştırır ve belirli bir olayın tam noktasına geri dönmeyi mümkün kılar.

Pakete Gitme​

Paket numaraları yalnızca toplam paket sayısını belirlemeye veya belirli paketleri bulup incelemeyi kolaylaştırmaya yaramaz. Bu özellik, paketler arasında yukarı ve aşağı gezinmeyi sağlamanın yanı sıra, paket içi takibi de mümkün kılar ve belirli bir konuşmanın ilgili bölümündeki sonraki paketi bulur.
Belirli paketleri görüntülemek için “Go” menüsünü ve araç çubuğunu kullanabilirsiniz.

Paketleri Bulma​

1. Girdi türünü bilmek: Bu işlev dört tür girdi kabul eder Display filter, Hex, String ve Regex. En yaygın kullanılan arama türleri String ve Regex aramalarıdır. Aramalar varsayılan olarak büyük/küçük harf duyarsızdır, ancak arama sırasında radyo butonunu kullanarak duyarlı hâle getirebilirsiniz.
2. Arama alanını seçmek: Aramalar üç panelde yapılabilir paket listesi, paket detayları ve paket baytları. İlgili olayı bulmak için her panelde hangi bilgilerin mevcut olduğunu bilmek önemlidir. Örneğin, paket detayları panelinde bulunan bir bilgiyi aramak istiyorsanız, aramayı paket listesi panelinde yaparsanız Wireshark onu bulamayacaktır, mevcut olsa bile.

Paketleri İşaretleme​

Paketleri işaretlemek, analistler için oldukça faydalı bir özelliktir. Bir paketi işaretleyerek onu daha sonra incelemek üzere belirleyebilir veya yakalamadan (capture) belirli paketleri dışa aktarmak için kullanabilirsiniz. Paketleri işaretlemek veya işareti kaldırmak için Edit menüsünü ya da sağ tık menüsünü kullanabilirsiniz.
İşaretlenen paketler, bağlantı türünü temsil eden orijinal renkten bağımsız olarak siyah renkte gösterilir. Ancak unutmayın: işaretli paket bilgileri her dosya oturumunda yenilenir, yani yakalama dosyasını kapattığınızda işaretli paketler kaybolur.

Paket Yorumları​

Paket işaretlemeye benzer şekilde, yorum eklemek de analistler için faydalı bir özelliktir. Belirli paketlere yorum ekleyerek daha sonraki incelemelerde yardımcı olabilir, önemli veya şüpheli noktaları hatırlatabilir ve diğer katman analistlerine işaret edebilirsiniz.
Paket işaretlemeden farklı olarak, yorumlar yakalama dosyasında (capture file) kalıcıdır ve operatör tarafından silinmedikçe dosya içinde saklanmaya devam eder.

Nesneleri (Dosyaları) Dışa Aktarma​

Wireshark, ağ üzerinden aktarılan dosyaları çıkarabilir. Bir güvenlik analisti için paylaşılan dosyaları keşfetmek ve daha sonra inceleme amacıyla kaydetmek oldukça önemlidir.
Nesneleri dışa aktarma özelliği yalnızca belirli protokollerin akışları için kullanılabilir: DICOM, HTTP, IMF, SMB ve TFTP.

Zaman Görüntüleme Formatı​

Wireshark, paketleri yakalandıkları sırayla listeler; bu nedenle varsayılan akışı incelemek her zaman en iyi seçenek olmayabilir. Varsayılan olarak Wireshark zamanı “Yakalamanın Başlangıcından İtibaren Geçen Saniyeler” biçiminde gösterir. Daha anlaşılır bir görünüm için yaygın kullanım, UTC Zaman Görüntüleme Formatıdır.
Zaman görüntüleme formatını değiştirmek için View → Time Display Format menüsünü kullanabilirsiniz.

Uzman Bilgisi (Expert Info)​

Tüm mevcut bilgi girdilerini bir diyalog kutusu aracılığıyla görüntülemek için durum çubuğunun sol alt bölümünü veya Analyse → Expert Information menüsünü kullanabilirsiniz. Bu özellik, paket numarasını, özetini, grup protokolünü ve toplam oluşum sayısını gösterir.

Paket Filtreleme​

• Capture filtreleri, yalnızca kullanılan filtreye uygun paketlerin yakalanması için kullanılır.
• Display filtreleri ise, filtreye uygun paketlerin görüntülenmesi için kullanılır.

1. Sorgular kullanmak
2. Sağ tık menüsünü kullanmak

Filtre Uygulama (Apply as Filter)​

Bu, trafiği filtrelemenin en temel yoludur. Bir yakalama dosyasını incelerken filtrelemek istediğiniz alana tıklayabilir ve sağ tık menüsünü veya Analyse → Apply as Filter menüsünü kullanarak ilgili değeri filtreleyebilirsiniz.
Unutmayın: Toplam ve görüntülenen paket sayısı her zaman durum çubuğunda gösterilir.

Konuşma Filtresi (Conversation Filter)​

“Apply as a Filter” seçeneğini kullandığınızda, yalnızca paketin tek bir öğesini filtrelemiş olursunuz. Bu yöntem, paketlerde belirli bir değeri incelemek için uygundur. Ancak, belirli bir paket numarasını ve ona bağlı tüm paketleri IP adresleri ve port numaralarına odaklanarak incelemek istediğinizde, “Conversation Filter” seçeneği işinize yarar. Bu özellik, yalnızca ilgili paketleri görüntülemenizi ve diğer paketleri kolayca gizlemenizi sağlar.
Konuşmaları filtrelemek için sağ tık menüsünü veya Analyse → Conversation Filter menüsünü kullanabilirsiniz.

Konuşmayı Renklendirme (Colourise Conversation)​

Bu seçenek, “Conversation Filter” özelliğine benzer ancak tek bir farkı vardır: Görüntüleme filtresi uygulamadan ve görüntülenen paket sayısını azaltmadan, ilgili paketleri vurgular. Bu özellik, Colouring Rules seçeneğiyle birlikte çalışır ve daha önce uygulanmış renk kurallarını dikkate almadan paket renklerini değiştirir.
Bağlantılı bir paketi tek tıkla renklendirmek için sağ tık menüsünü veya View → Colourise Conversation menüsünü kullanabilirsiniz. Bu işlemi geri almak için ise View → Colourise Conversation → Reset Colourisation menüsünü kullanabilirsiniz.

Filtre Hazırlama (Prepare as Filter)​

Bu seçenek, “Apply as Filter” özelliğine benzer şekilde analistlerin sağ tık menüsünü kullanarak görüntüleme filtreleri oluşturmasına yardımcı olur. Ancak önceki seçeneğin aksine, bu model filtreleri seçimin ardından hemen uygulamaz.
Gerekli sorguyu ilgili panele ekler ve çalıştırma komutunu (enter) bekler ya da sağ tık menüsündeki “.. and/or..” seçeneğiyle başka bir filtreleme yöntemi belirlenmesini sağlar.

Sütun Olarak Uygulama (Apply as Column)​

Varsayılan olarak, paket listesi paneli her paket hakkında temel bilgileri gösterir. Ancak, sağ tık menüsünü veya Analyse → Apply as Column menüsünü kullanarak bu panele yeni sütunlar ekleyebilirsiniz.
Bir değere tıklayıp onu sütun olarak uyguladığınızda, bu değer paket listesi panelinde görünür hale gelir. Bu işlev, analistlerin yakalama dosyasındaki paketler arasında belirli bir değer/alanın nasıl göründüğünü incelemesine yardımcı olur.
Ayrıca, paket listesi panelinin üst kısmına tıklayarak gösterilen sütunları etkinleştirebilir veya devre dışı bırakabilirsiniz

Akışı Takip Etme (Follow Stream)​

Wireshark, paketleri parça boyutlarında gösterir. Ancak akışları yeniden yapılandırarak trafiği uygulama seviyesinde olduğu gibi görüntülemek mümkündür. Protokol akışlarını takip etmek, analistlerin uygulama düzeyindeki verileri yeniden oluşturmasına ve ilgili olayı daha iyi anlamasına yardımcı olur. Ayrıca, şifrelenmemiş protokol verilerini — örneğin kullanıcı adları, parolalar ve diğer aktarılan veriler — görüntülemek de mümkündür.
Trafik akışlarını takip etmek için sağ tık menüsünü veya Analyse → Follow TCP/UDP/HTTP Stream menüsünü kullanabilirsiniz. Akışlar ayrı bir diyalog kutusunda gösterilir; sunucudan gelen paketler mavi, istemciden gelen paketler ise kırmızı ile vurgulanır.

Bir akışı takip ettiğinizde, Wireshark belirli akışı görüntülemek için gerekli filtreyi otomatik olarak oluşturur ve uygular. Unutmayın: bir filtre uygulandığında, görüntülenen paketlerin sayısı değişecektir.
Tüm paketleri tekrar görmek için, görüntüleme filtre çubuğunun sağ üst köşesinde bulunan “X” düğmesini kullanarak filtreyi kaldırmanız gerekir.

Basit Görüntüleme Filtresi Sorguları (Simple Display Filter Queries)​

Çok sayıda paketi hızlıca filtrelemenin en kolay yolu, aşağıdaki görselde gösterilen “Apply a display filter” çubuğunu kullanarak bir görüntüleme filtresi uygulamaktır.


Çok sayıda filtre sorgusu mevcuttur ve her biri çok özel sonuçlar gösterecek şekilde ayrıntılı biçimde uyarlanabilir. Başlangıç için bazı basit filtreler aşağıda verilmiştir.

Protokol Adı veya Port Numarasına Göre Filtreleme​

• Protokol adıyla filtreleme
• Protokol port numarasıyla filtreleme

Protokol adına göre filtrelemek için, yalnızca protokol adını yazıp Enter tuşuna basmanız veya görüntüleme filtresi çubuğunun sağ tarafındaki ok düğmesine tıklamanız yeterlidir.
Aşağıdaki resim, http trafiğini filtreleme örneğini göstermektedir. Benzer şekilde, arp, dhcp, ftp, smtp, pop, imap ve daha birçok protokol için de anahtar kelimeler kullanarak filtreleme yapabilirsiniz dostlarım.


Protokol port numarasına göre filtreleme yapmak için şu yapıyı kullanabilirsiniz:

• tcp.port == <port numarası>
• udp.port == <port numarası>

IP’ye Göre Filtreleme​

Bir paket yakalamayı analiz ederken, çoğu zaman belirli bir IP adresine göre filtreleme ihtiyacı doğar. Bunun için şu yapıyı kullanabilirsiniz:
ip.addr == <IP adresi>
Örneğin, 192.168.1.2 IP adresini aramak istiyorsanız, filtre şu şekilde olur: ip.addr == 192.168.1.2
Aşağıdaki resim, IP filtresi kullanımına bir örnek göstermektedir.

Okuduğunuz için Teşekkür ederim​

CW-Ommah...
Bug Researchers Tim Sundu.
​