Wireshark.

Wireshark — это ведущий открытый анализатор пакетов, изначально написанный Gerald Combs в 1998 году под названием Ethereal и сейчас поддерживаемый мировым сообществом разработчиков в рамках Wireshark Foundation. Он перехватывает живой трафик с проводных, беспроводных, USB и других интерфейсов и декодирует тысячи протоколов — от Ethernet и TCP/IP до промышленных и криптографических. Сетевые инженеры, blue team, аналитики вредоносного ПО и threat hunter используют его для диагностики проблем производительности, проверки межсетевых экранов, восстановления хронологии атаки и извлечения файлов из захватов пакетов (PCAP).

Под капотом Wireshark использует libpcap/Npcap для получения кадров и пропускает каждый из них через цепочку протокольных диссекторов. Поскольку эти диссекторы разбирают полностью контролируемый злоумышленником ввод, они являются постоянным источником уязвимостей: только в 2024 году появились CVE-2024-2955 (сбой диссектора T.38, CVSS 7.5), CVE-2024-9780 (диссектор ITS) и CVE-2024-9781 (кадрирование AppleTalk/RELOAD), каждая из которых позволяет вызвать отказ в обслуживании с помощью специально созданного файла захвата или внедрённого пакета. Практический вывод — никогда не открывать недоверенные PCAP на рабочем хосте: анализируйте их с помощью tshark в одноразовой ВМ, своевременно устанавливайте патчи и избегайте запуска от имени root (Wireshark изолирует захват в отдельном процессе dumpcap именно по этой причине). Фильтры отображения (http.request, tcp.stream eq 3, ip.addr == …) и Follow TCP Stream / Export Objects превращают сырой захват в читаемые сессии и восстановленные файлы. Перехват трафика в сетях, которыми вы не владеете и которые не администрируете, может нарушать законы о тайне связи и конфиденциальности, поэтому авторизация обязательна.

flowchart LR
  A[Сетевой интерфейс] --> B[libpcap / Npcap]
  B --> C[Движок захвата dumpcap]
  C --> D[Файл захвата / живой буфер]
  D --> E[Цепочка диссекторов<br/>Ethernet - IP - TCP - app]
  E --> F[Фильтр отображения]
  F --> G[Список пакетов и детали]
  G --> H[Просмотр потока / экспорт объектов]