Wireshark.

Wireshark est l'analyseur de paquets open source de reference, ecrit a l'origine par Gerald Combs en 1998 sous le nom Ethereal et maintenu par une communaute mondiale de developpeurs via la Wireshark Foundation. Il capture le trafic en direct depuis des interfaces filaires, Wi-Fi, USB et autres, et decode des milliers de protocoles, d'Ethernet et TCP/IP aux protocoles industriels et cryptographiques. Les ingenieurs reseau, les blue teams, les analystes malware et les chasseurs de menaces l'utilisent pour diagnostiquer les problemes de performance, valider des pare-feux, reconstruire des chronologies d'attaque et extraire des fichiers depuis des captures de paquets (PCAP).

En interne, Wireshark utilise libpcap/Npcap pour acquerir les trames et fait passer chacune d'elles dans une chaine de dissecteurs de protocole. Comme ces dissecteurs analysent des donnees entierement controlees par l'attaquant, ils constituent une source recurrente de vulnerabilites : rien qu'en 2024 sont apparues CVE-2024-2955 (plantage du dissecteur T.38, CVSS 7.5), CVE-2024-9780 (dissecteur ITS) et CVE-2024-9781 (encapsulation AppleTalk/RELOAD), chacune permettant un deni de service via un fichier de capture concu a cet effet ou un paquet injecte. La lecon pratique est de ne jamais ouvrir de PCAP non fiables sur un hote de production : analysez-les avec tshark dans une VM jetable, gardez l'outil a jour et evitez de l'executer en root (Wireshark isole la capture dans un processus dumpcap distinct precisement pour cette raison). Les filtres d'affichage (http.request, tcp.stream eq 3, ip.addr == …) ainsi que Follow TCP Stream / Export Objects transforment une capture brute en sessions lisibles et en fichiers reconstitues. Capturer du trafic sur un reseau qu'on ne possede ni n'administre peut violer des lois sur les ecoutes et la vie privee : une autorisation est imperative.

flowchart LR
  A[Interface reseau] --> B[libpcap / Npcap]
  B --> C[Moteur de capture dumpcap]
  C --> D[Fichier de capture / buffer en direct]
  D --> E[Chaine de dissecteurs<br/>Ethernet - IP - TCP - app]
  E --> F[Filtre d'affichage]
  F --> G[Liste des paquets et detail]
  G --> H[Suivre le flux / exporter les objets]