Wireshark.

O Wireshark e o principal analisador de pacotes de codigo aberto, originalmente escrito por Gerald Combs em 1998 com o nome Ethereal e atualmente mantido por uma comunidade global de desenvolvedores sob a Wireshark Foundation. Captura trafego ao vivo a partir de interfaces cabeadas, sem fio, USB e outras, e decodifica milhares de protocolos, de Ethernet e TCP/IP a protocolos industriais e criptograficos. Engenheiros de rede, blue teams, analistas de malware e cacadores de ameacas o usam para diagnosticar problemas de desempenho, validar firewalls, reconstruir cronologias de ataque e extrair arquivos de capturas de pacotes (PCAP).

Internamente, o Wireshark usa libpcap/Npcap para adquirir os quadros e passa cada um por uma cadeia de dissecadores de protocolo. Como esses dissecadores analisam entradas totalmente controladas pelo atacante, sao uma fonte recorrente de vulnerabilidades: so em 2024 surgiram CVE-2024-2955 (falha do dissecador T.38, CVSS 7.5), CVE-2024-9780 (dissecador ITS) e CVE-2024-9781 (enquadramento AppleTalk/RELOAD), cada uma permitindo negacao de servico por meio de um arquivo de captura manipulado ou de um pacote injetado. A licao pratica e nunca abrir PCAPs nao confiaveis em um host de producao: analise-os com tshark em uma VM descartavel, mantenha a ferramenta atualizada e evite executa-la como root (o Wireshark isola a captura em um processo dumpcap separado exatamente por esse motivo). Filtros de exibicao (http.request, tcp.stream eq 3, ip.addr == …) e Follow TCP Stream / Export Objects transformam uma captura bruta em sessoes legiveis e arquivos recuperados. Capturar trafego em redes que voce nao possui nem administra pode violar leis de escuta e privacidade, por isso a autorizacao e essencial.

flowchart LR
  A[Interface de rede] --> B[libpcap / Npcap]
  B --> C[Motor de captura dumpcap]
  C --> D[Arquivo de captura / buffer ao vivo]
  D --> E[Cadeia de dissecadores<br/>Ethernet - IP - TCP - app]
  E --> F[Filtro de exibicao]
  F --> G[Lista de pacotes e detalhe]
  G --> H[Seguir fluxo / exportar objetos]