Voir la source de Tshark

=== Commandes de bases ===

Version en ligne de commande de Wireshark. Il est plus léger que l'interface graphique complète et peut être utilisé pour capturer et analyser le trafic réseau.
<syntaxhighlight lang="bash" line copy>
sudo apt-get install tshark
</syntaxhighlight>
<syntaxhighlight lang="bash" line copy>
sudo tshark -i eth0
</syntaxhighlight>
<syntaxhighlight lang="bash" line copy>
sudo tshark -i eth0 -f "host 192.168.1.10"
</syntaxhighlight>
<syntaxhighlight lang="bash" line copy>
sudo tshark -i eth0 -f "port 853"
</syntaxhighlight>
Afficher les paquets en temps réel 
<syntaxhighlight lang="bash" line copy>
sudo tshark -i eth0 -Y "ip.addr == 192.168.1.10"
</syntaxhighlight>
Analyse DNS ciblée
<syntaxhighlight lang="bash" line copy>
sudo tshark -i eth0 -f "port 53" -Y "dns" -T fields \
  -e frame.time -e ip.src -e ip.dst -e dns.qry.name -e dns.qry.type -e dns.flags.response \
  -E separator=, -E quote=d
</syntaxhighlight>
Analyse DNS ciblée (montre seulement le trafic qui vient OU va vers 192.169.1.100) <br />
ex : 192.169.1.100 = pihole   
<syntaxhighlight lang="bash" line copy>
sudo tshark -i eth0 -f "port 53" -Y "ip.src == 192.168.1.100 || ip.dst == 192.168.1.100" -T fields \
  -e frame.time -e ip.src -e ip.dst -e dns.qry.name -e dns.qry.type -e dns.flags.response \
  -E separator=, -E quote=d
</syntaxhighlight>


-----
Pour analyser efficacement le trafic réseau sur votre machine avec '''TShark''', voici une commande optimisée et expliquée en détail :
<span id="commande-recommandée-analyse-complète"></span>
=== '''Commande recommandée (analyse complète)''' ===

<syntaxhighlight lang="bash">
sudo tshark -i eth0 -f "not port 22" -Y "not ssh" -T fields \
  -e frame.time -e ip.src -e ip.dst -e frame.protocols -e tcp.srcport -e udp.srcport -e http.host -e dns.qry.name \
  -E separator="|" -E header=y
</syntaxhighlight>
<span id="explications-des-options"></span>
==== '''Explications des options :''' ====
{| class="wikitable"
|-
! Composant
! Exemple/Format
! Description
! Pourquoi l’utiliser ?
|-
| '''<code>tshark</code>'''
| -
| Outil de capture et analyse de trafic (version CLI de Wireshark).
| Alternative puissante à <code>tcpdump</code>.
|-
| '''<code>-i eth0</code>'''
| <code>-i wlan0</code> (pour le Wi-Fi)
| Capture le trafic sur l’interface <code>eth0</code>.
| Cible une interface spécifique.
|-
| '''<code>-f &quot;not port 22&quot;</code>'''
| <code>-f &quot;port 53&quot;</code>
| '''Filtre BPF (noyau)''' : Exclut le trafic SSH (port 22).
| Réduit le bruit en ignorant les paquets non pertinents dès la capture.
|-
| '''<code>-Y &quot;not ssh&quot;</code>'''
| <code>-Y &quot;http&quot;</code>
| '''Filtre d’affichage''' : Supprime les paquets SSH résiduels.
| Affine les résultats après capture.
|-
| '''<code>-T fields</code>'''
| -
| Spécifie un format de sortie en colonnes personnalisées.
| Permet de choisir les champs à afficher.
|-
| '''<code>-e frame.time</code>'''
| <code>2025-05-20 14:30:00.123456</code>
| Horodatage du paquet.
| Pour tracer l’heure exacte des événements.
|-
| '''<code>-e ip.src</code>'''
| <code>192.168.1.77</code>
| Adresse IP source.
| Identifie l’origine du trafic.
|-
| '''<code>-e ip.dst</code>'''
| <code>8.8.8.8</code>
| Adresse IP destination.
| Identifie la cible du trafic.
|-
| '''<code>-e frame.protocols</code>'''
| <code>eth:ip:tcp:http</code>
| Liste des protocoles utilisés (par couche).
| Comprendre la structure des paquets (ex: TCP vs UDP, HTTP vs DNS).
|-
| '''<code>-e tcp.srcport</code>'''
| <code>443</code> (HTTPS)
| Port source TCP (si applicable).
| Identifier les services TCP (ex: 443 = HTTPS, 80 = HTTP).
|-
| '''<code>-e udp.srcport</code>'''
| <code>53</code> (DNS)
| Port source UDP (si applicable).
| Identifier les services UDP (ex: 53 = DNS, 67 = DHCP).
|-
| '''<code>-e http.host</code>'''
| <code>example.com</code>
| Hôte HTTP (si trafic web).
| Voir les sites web visités.
|-
| '''<code>-e dns.qry.name</code>'''
| <code>google.com</code>
| Nom de domaine interrogé en DNS.
| Surveiller les requêtes DNS.
|-
| '''<code>-E separator=&quot;|&quot;</code>'''
| <code>ip.src|ip.dst</code>
| Définit <code>|</code> comme séparateur de colonnes.
| Rend la sortie plus lisible (CSV-friendly).
|-
| '''<code>-E header=y</code>'''
| -
| Affiche les en-têtes de colonnes.
| Comprendre facilement ce que représente chaque champ.
|}

-----

<span id="exemple-de-sortie"></span>

=== '''Exemple de sortie''' ===

<pre>frame.time|ip.src|ip.dst|frame.protocols|tcp.srcport|udp.srcport|http.host|dns.qry.name
2025-05-20 14:30:00|192.168.1.77|8.8.8.8|eth:ip:udp:dns| |53| |google.com
2025-05-20 14:30:01|192.168.1.77|151.101.1.69|eth:ip:tcp:http|49234| |example.org|</pre>
-----

<span id="variantes-selon-lanalyse-souhaitée"></span>

=== '''Variantes selon l’analyse souhaitée''' ===

<span id="analyse-httphttps"></span>
==== '''1. Analyse HTTP/HTTPS''' ====

<syntaxhighlight lang="bash">
sudo tshark -i eth0 -Y "http || tls" -T fields \
  -e ip.src -e http.host -e http.request.uri -e tls.handshake.extensions_server_name
</syntaxhighlight>
{| class="wikitable"
|-
! Composant
! Exemple/Valeur
! Description
! Utilité
|-
| '''<code>sudo</code>'''
| -
| Exécute avec les privilèges root
| Accès à l’interface réseau
|-
| '''<code>tshark</code>'''
| -
| Outil de capture réseau (CLI Wireshark)
| Alternative puissante à tcpdump
|-
| '''<code>-i eth0</code>'''
| <code>-i wlan0</code>
| Capture sur l’interface ethernet
| Cibler une interface spécifique
|-
| <pre>-Y "http || tls"</pre>
| <code>-Y &quot;dns&quot;</code>
| Filtre d’affichage :<br>• HTTP (non chiffré)<br>• TLS (HTTPS)
| Isoler le trafic web
|-
| '''<code>-T fields</code>'''
| -
| Format de sortie en colonnes
| Personnaliser l’affichage
|-
| '''<code>-e ip.src</code>'''
| <code>192.168.1.77</code>
| Adresse IP source
| Identifier l’appareil émetteur
|-
| '''<code>-e http.host</code>'''
| <code>example.com</code>
| Domaine HTTP (Header Host)
| Voir les sites visités (HTTP)
|-
| '''<code>-e http.request.uri</code>'''
| <code>/search?q=test</code>
| URI complète de la requête
| Analyser les pages/requêtes
|-
| '''<code>-e tls.handshake.extensions_server_name</code>'''
| <code>google.com</code>
| SNI (Server Name Indication)
| Voir les domaines HTTPS
|}

----

<span id="surveillance-dns"></span>

<span id="détection-de-connexions-suspectes"></span>

==== '''3. Détection de connexions suspectes''' ====

<syntaxhighlight lang="bash">sudo tshark -i eth0 -Y "tcp.flags.syn==1 and tcp.flags.ack==0" -T fields -e ip.src -e ip.dst -e tcp.port</syntaxhighlight>
<span id="export-json-pour-analyse-avancée"></span>
==== '''4. Export JSON pour analyse avancée''' ====

<syntaxhighlight lang="bash">sudo tshark -i eth0 -T json -l > traffic.json</syntaxhighlight>

-----

<span id="optimisations"></span>
=== '''Optimisations''' ===

<ul>
<li><p>'''Pour réduire la charge CPU''' :</p>
<syntaxhighlight lang="bash">sudo tshark -i eth0 -f "not port 22 and not port 53" -s 128 -l</syntaxhighlight>
<ul>
<li><code>-s 128</code> : Capture seulement les 128 premiers octets de chaque paquet.<br />
</li>
<li><code>-l</code> : Affiche en temps réel sans buffer.</li></ul>
</li>
<li><p>'''Pour capturer sur une durée limitée''' :</p>
<syntaxhighlight lang="bash">timeout 30 sudo tshark -i eth0 -w capture.pcap  # Capture 30 secondes</syntaxhighlight></li></ul>


-----

<span id="analyse-post-capture"></span>
=== '''Analyse post-capture''' ===

Si vous avez enregistré dans un fichier (<code>.pcap</code>) :

<syntaxhighlight lang="bash">tshark -r capture.pcap -Y "http" -T fields -e http.host -e http.user_agent</syntaxhighlight>

-----

<span id="résumé-des-commandes-clés"></span>
=== '''Résumé des commandes clés''' ===

{| class="wikitable"
|-
! Objectif
! Commande
|-
| '''Analyse générale'''
| <code>sudo tshark -i eth0 -f &quot;not port 22&quot; -Y &quot;not ssh&quot; -T fields [...]</code>
|-
| '''Debug HTTP'''
| <code>sudo tshark -i eth0 -Y &quot;http&quot; -O http</code>
|-
| '''Surveillance DNS'''
| <code>sudo tshark -i eth0 -f &quot;port 53&quot; -Y &quot;dns&quot;</code>
|-
| '''Détection SYN scans'''
| <code>sudo tshark -i eth0 -Y &quot;tcp.flags.syn==1 and tcp.flags.ack==0&quot;</code>
|}


-----

<span id="pourquoi-utiliser-tshark-plutôt-que-tcpdump"></span>
=== '''Pourquoi utiliser TShark plutôt que tcpdump ?''' ===

* '''Décodage des protocoles''' : TLS, HTTP/2, QUIC, etc.<br />

* '''Filtres avancés''' : Syntaxe Wireshark (<code>http.request.method==&quot;GET&quot;</code>).<br />

* '''Sorties structurées''' : JSON, CSV, XML.


-----

Cette commande vous donne une '''vision complète et organisée''' du trafic sur votre machine. Utilisez les filtres (<code>-Y</code>) pour cibler des protocoles spécifiques selon vos besoins !

[[Catégorie:Tools]] [[Catégorie:Linux]] [[Catégorie:Debian]] [[Catégorie:Softz]] [[Catégorie: Terminal Tools]]