tag:blogger.com,1999:blog-34493370.post7193709625979587195..comments2011-08-12T20:59:32.752-06:00Leonel Munguiahttp://www.blogger.com/profile/02540594536579918692noreply@blogger.comBlogger30125tag:blogger.com,1999:blog-34493370.post-43300424960586797802011-08-12T20:59:32.752-06:002011-08-12T20:59:32.752-06:00Amigo es una información basica pero claro que ayuda.<br /><br />Pero nada mejor para capturar el trafico de una red que TCPDUM. saludos<br /><br />ghost.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-18906703925718350582011-07-02T19:00:44.220-06:002011-07-02T19:00:44.220-06:00Amigo Leonel, en primer lugar felicitarte por esta página que, de seguro, me va a aportar muchas cosas. Actualmente no tengo mucho conocimiento de la materia pero estoy deseoso de aprender esa magnífica herramienta de análisis que es WireShark. Echando un vistazo a los filtros de captura y visualización he intentado buscar la sintaxis correcta para, bien desde las opciones de captura o desde la posterior visualización, hacer lo siguiente: quería aplicar filtros a los siguientes host: http://www.google.es y https://www.google.com (conjuntamente) para mostrar primeramente sólo el tráfico HTTP. ¿Qué sería mejor, filtrar en la captura por los puertos o filtrar por los host? ¿Como filtro el host https en captura y en visualización? <br />Luego quería hacer lo propio pero capturarndo todo el tráfico excepto HTTP y ARP pero también me ha fallado la experiencia. Y para rematar luego queria capturar el tráfico con origen o destino en los puertos 80 y 443. Sé que en el filtro de la captura podría poner algo así como &quot;port 80 and port 443&quot; ¿pero como le añado al filtro los dos host, en esa misma captura o mejor en la visualización con otro filtro? En fin, para ser mi primera experiencia con esta herramienta tengo muchas dudas que debo pulir, empezando por aplicar bien los operadores lógicos, que me siguen liando. Por favor, algún consejo. Otra cuestión que me gustaría preguntarte es sobre la herramienta, o mejor dicho plugin de IE &quot;IEWatch&quot;, que he escuchado que permite visualizar sin más que visitar una página web, incluso https, el contenido de la misma, pudiendo ver incluso las cookies, ¿pero sobre una página https supongo que sólo se podrá visualizar el contenido no encriptado o me equivoco? Por otro lado Wireshark podría analizar el contenido de los paquetes con origen/destino el puerto 443 -https-?. Como puedes comprobar soy un mar de dudas.<br />Muchas gracias por todo (espero que mi poca experiencia no provoque muchas risas), y cordiales saludos,<br />Juan Miguel (juanmivp@gmail.com)Juan Miguelnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-4939549846815861262011-05-19T08:18:41.861-06:002011-05-19T08:18:41.861-06:00Curidin;<br />Con wireshark puedes analizar unicamente el trafico que has capturado explicitamente, es decir, no puedes analizar trafico que paso por la red en un tiempo pasado, si no tenias una captura con wireshark o alguna otra herramienta capturando trafico.<br />Con respecto a tu segunda pregunta, cuando configuras wireshark en un servidor, unicamente puedes ver el trafico de ese servidor + el trafico de broadcast que generan otros servidores, en otras palabras en general no puedes ver el trafico de otros servidores. Por eso te explicaba en mi comentario anterior, que si deseas capturar trafico de varios servidores, debes utilizar algo como un port mirroring, con este feature un switch se configura para que copie el trafico de toda una vlan, o de varios puertos a otro puerto especifico donde tu colocarias la captura de wireshark, si todo el trafico esta cruzando por un router, otra opcion es hacer mirroring del puerto del router y ahi podrias ver todo el trafico que esta cruzando por el router.<br />Espero que esto aclare un poco tus dudas.<br />SaludosLeonel Munguiahttp://www.blogger.com/profile/02540594536579918692noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-40529965496975083152011-05-19T04:27:39.846-06:002011-05-19T04:27:39.846-06:00Perdona, pero hay algo que no tengo claro, Wireshark solo recoge datos del transito de una red cuando esta en ejecución (para poder analizarlos luego cuando quieras) o se ejecuta el programa y puedes analizar el transito de la red de cualquier momento auque sea de momentos en que el programa no haya estado ejecutándose????<br /><br />Otra pregunta que no tengo clara es: en una red de varios ordenadores conectados a un router, se puede ejecutar wireshark en cualquier ordenador para analizar el transito de red de todos los demás…. (supongo que lo que hace es analizar el transito del router y luego identificar las direcciones de las maquinas).<br /><br />Gracias por haber respondido a mis preguntas anteriores, espero respondas estas también (y espero sean las ultimas). Perdona las molestias que haya podido ocasionar y gracias de nuevo.<br /><br />Un saludo CurundinAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-72866051458302711412011-05-18T17:07:59.951-06:002011-05-18T17:07:59.951-06:00Curudin;<br />Con wireshark se puede analizar el trafico de todo un dia, una semana, un mes, el tiempo que quieras, sin embargo el tamaño del archivo seria gigantesco, sin embargo puedes configurar el wireshark para que limite la captura a x cantidad de Mbs, por ejemplo archivos de 2 Mb, cuando la captura alcanza los 2 Mb, se crea un nuevo archivo y asi sucesivamente por el tiempo que quieras. Wireshark es un analizador de paquetes de red, por lo que no esta limitado a trafico web, sino a TODO tipo de trafico. Con respecto a tu pregunta sobre si se puede analizar el trafico de varios servidores, depende, si estas usando un switch administrable puedes configurar un port mirroring y capturar trafico de varios puertos a la vez. Te sugiero ver las otras entradas publicadas en este blog y algunos recursos adicionales que puedas encontrar en la web, para formarte una mejor idea de lo que hace este software.<br />Saludos<br />HectorLeonel Munguiahttp://www.blogger.com/profile/02540594536579918692noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-65135638549496841342011-05-16T02:35:44.162-06:002011-05-16T02:35:44.162-06:00Buenos días, tengo una serie de preguntas y dudas sobre wireshark ... y me gustaría si es posible que me dieran respuestas. Mis preguntas son las siguientes:<br /><br />se puede analizar el tráfico de todo el día de una red por la tarde o hay que hacerlo en tiempo real???? Y si se puede, wireshark ha tenido que estar ejecutándose o se puede ejecutar por la tarde y ver el tráfico de la red de todo el día<br /><br />se puede saber por donde ha estado navegando y lo que han bajado (si ha descargado algo) un equipo de la red?<br /><br />Se puede analizar el tráfico de acceso a archivos almacenados en un servidor o sólo sirve para el tráfico web?<br /><br />En una red, en la que hay varios ordenadores conectados a un servidor y a un router con acceso a Internet, se puede instalar wireshark en cualquier ordenador para analizar el tráfico de los demás??? Y se puede analizar el tráfico de web y el de acceso a datos del servidor o solo el de web???<br /><br />Gracias de antemano, espero que responder a estas preguntas, un saludo Curundin<br /><br />También me gustaría si fuera posible me respondieran a mi correo; curundin_dae@hotmail.comAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-44262281878836125762011-05-16T02:30:08.386-06:002011-05-16T02:30:08.386-06:00Buenos días, tengo una serie de preguntas y dudas sobre wireshark ... y me gustaría si es posible que me dieran respuestas. Mis preguntas son las siguientes:<br /><br />puede analizar el tráfico de todo el dia en una red en un momento dado (por la tarde) o hay que hacerlo en tiempo real???? Y si se puede, wireshark ha tenido que estar ejecutándose o se puede ejecutar por la tarde y ver el tráfico de la red de todo el día<br /><br />se puede saber donde ha estado navegando un equipo y lo que han bajado (si ha descargado algo)?<br /><br />Se puede analizar el tráfico de acceso a archivos almacenados en un servidor o sólo sirve para el tráfico web?<br /><br />En una red, en la que hay varios ordenadores conectados a un servidor y a un router con acceso a Internet, se puede instalar wireshark en cualquier ordenador para analizar el tráfico de los demásordenadores??? Y se puede analizar el tráfico de web y el de acceso a datos del servidor o solo el de web???<br /><br />Gracias de antemano, espero que responder a estas preguntas, un saludo Curundin<br /><br />si es posible me gustaria que me respondieran tambien a mi correo; curundin_dae@hotmail.comAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-25727795048826449882011-04-17T15:52:28.968-06:002011-04-17T15:52:28.968-06:00hola me mandaron hacer el analisis de trafico en una transmision por medio de infrarojos, los infrarojos que tengo se conectan al puerto usb quiero saber si con el wireshark puedo hacer esto como lo hago o con que programa me permita trabajar con infrarojosvictor zuritahttp://www.blogger.com/profile/12577450951686551774noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-85681921758435510142010-05-27T05:06:10.174-06:002010-05-27T05:06:10.174-06:00Buenos dias<br /><br />Podria crear port mirror para todos los puertos del swich a uno especifico, incluso si utilizo 2 swichs.Es decir lo que explicas en el ejemplo 1 pero a nivel de todos los pcs de la red.<br /><br />Gracias<br />Excelente BloggIvan comesañanoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-81820812735182859602009-09-28T06:33:26.552-06:002009-09-28T06:33:26.552-06:00Hola Leonel,<br /><br />Veo que controlas mucho de redes. Tengo un problema y me gustaria consejo. En la red de mi oficina (unas 100 máquinas) salimos a la intranet de la empresa a traves de una linea Macrolan de 2mb. Resulta que en algunos momentos, la linea se satura y se nos cortan las comunicaciones. ¿como puedo utilizaar wireshark pra ver que ip son las que me estan saturando la linea en un determinado instante?<br /><br />Muchas gracias, espero tu ayuda.<br /><br />albertoshsh @ hotmail.comAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-65766071053530224632009-08-09T15:23:23.145-06:002009-08-09T15:23:23.145-06:00hola Leonel, este programa tambien sirve para redes inalambricas?.<br /><br />atte<br />leonardoleonardohttp://www.blogger.com/profile/02074545690983826763noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-69093895877672811682009-08-09T15:13:20.800-06:002009-08-09T15:13:20.800-06:00hola leonel, este programa tambien sierve para analizar redes inalambricas.<br />atte<br />leonardoleonardohttp://www.blogger.com/profile/02074545690983826763noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-64286301441333907762009-07-14T14:25:38.273-06:002009-07-14T14:25:38.273-06:00hola quiesiera saber como obtener todo el trafico de una red lan no de un pc en especificolilianahttp://www.blogger.com/profile/06174197565762567575noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-13744941744527314992009-07-03T14:27:15.926-06:002009-07-03T14:27:15.926-06:00Juan Pedro, lo importante en este caso es que ubiques el wireshark en un punto en el que puedas observar el tráfico que te interesa, supongo que en este caso tendria que ser en la salida a Internet, inicialmente yo capturaria todo el tráfico, tratando de observar comportamiento anormal (por ejemplo un host interno utilizando el puerto smtp), una vez identificado esto podrias usar un filtro de caputura sencillo, por ejemplo host x.x.x.x donde x.x.x.x seria la ip del host sospechoso.Leonel Munguiahttp://www.blogger.com/profile/02540594536579918692noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-37201679792779939202009-07-03T11:13:05.208-06:002009-07-03T11:13:05.208-06:00Acabo de instalar el wireshark ya que me lo recomendaron para determinar que equipo de mi red puede ser el causante de estar generando spam masivo y que me esten bloqueando para envios de correos, quisiera saber que filtro usar para poder obtener esta informacion.<br /><br />GraciasJuanPedronoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-64356242666949457342009-05-28T08:27:32.078-06:002009-05-28T08:27:32.078-06:00Hola Leonel, me parecio muy interesante lo que expones y quisiera adentrarme más en es y otros programas, tengo un interes por aprender seguridad infornatica y estoy buscando la manerade aprender de una forma auto-didacta, tu que me recomiendas ¿por donde puedo empesar?, te agradeceria me pudieras dar una idea.Ohttp://www.blogger.com/profile/02043116375786023668noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-4380961455097293902009-04-06T18:34:00.000-06:002009-04-06T18:34:00.000-06:00hola yo necesito un puerto espejo y mi problema es que no se lo que tengo si es un hum o un switch , yo lo que utilizo es un router inalambrico y queria tener el puerto espejo en el portatil , que puedo hacer?????<BR/><BR/>mi msn es : passdata2@hotmail.com<BR/><BR/>responderme porfavor es urgente <BR/>Gracias!Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-30705667540119873102009-04-03T07:10:00.000-06:002009-04-03T07:10:00.000-06:00Que tal!<BR/><BR/>Tengo un pequeño problema, resulta que estaba corriendo Wireshark, en este proceso se me bloqueó el programa y no alcancé a guardar la captura, pero si sé que quedó almacenada porque el espacio del disco duro se me redujo (si sé que la captura es pesada). Si alguien sabe recuperar los archivos de Wireshark o saben donde quedan almacenados les agradecería la respuesta.<BR/><BR/>Muchas graciasKurt Vonneguthttp://www.blogger.com/profile/07622827649045213338noreply@blogger.comtag:blogger.com,1999:blog-34493370.post-82993024202088224752009-03-06T20:49:00.000-06:002009-03-06T20:49:00.000-06:00unas preguntas donde puedo localizar con el wireshark las siguientes cosas:<BR/>IP origen,IP destino<BR/>MAC origen,MAC destinoAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-46132984742363074362008-10-09T21:43:00.000-06:002008-10-09T21:43:00.000-06:00Salud amigo tengo la ip de la empresa bloqueada por spam, estoy utilizando el correo de otra empresa (que me bloqueo)porque no tengo servidor de exchange aun,me baje el wireshark 1.0.3 pero me quede como el otro amigo con la duda de como interpretar la información que me arroja donde busco , como se cual estación me está generando spam en mi red.<BR/><BR/>Muchisimas gracias de antemanoDavid Indriagonoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-15142704466867636652008-10-09T05:15:00.000-06:002008-10-09T05:15:00.000-06:00Hola una duda un poco enrevesada: Wireshark cuando captura 1 trama ,cuando marca el tiempo que vemos reflejado?, al inicio de la trama, al final de la trama,... (es decir el tiempo que marca es el del inicio de la captura de esa trama, o el del fin de captura de esa trama o el tiempo de algun punto de referencia).<BR/><BR/>graciasAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-44002044420711461862008-07-02T13:18:00.000-06:002008-07-02T13:18:00.000-06:00JRPRMERLIN: Buenas tardes para detectar quien te consume tu ancho de banda tienes que aplicar el analisis de los resultados o puedes combinar herramientas, por ejemplo un programa de control de contenido sin filtrar esto genera una radiografia de lo que hacen tus usuarios, por otro lado el WireShark te indica que timpo de protocolo tiene mayor actividad, eso te permite combinar el resultado e identificar el problema presente ya que no siempre es un usuario puede ser un virus el del problemaAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-14019811390215142582008-05-18T15:35:00.000-06:002008-05-18T15:35:00.000-06:00saludos a todos en especial a leonel, me ha interesado el wireshark ya que mi necesidad es saber quien hace descargas en una red wireless de musica en mp3 asi como videos, me gustaria saber que filtro se utilizaria para hacer eso y como configurarlo. graciasAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-85268581786549842472008-03-27T14:49:00.000-06:002008-03-27T14:49:00.000-06:00un enlace para ver el funcionamiento del protocolo DQDB es http://www-entel.upc.es/xavierh/dqdb/index116.htm<BR/><BR/>att grupo_unad@yahoo.comAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-34493370.post-31151181579894775482008-03-27T14:47:00.000-06:002008-03-27T14:47:00.000-06:00hola de nuevo, que pena molestrar tanto.<BR/><BR/>quisiera saber como funciona el protocolo DQDB de la IEEE 802.6.<BR/>Entiendo que maneja dos banderas R(Solicitud) y B (ocupado), aparte de tres contadores.<BR/>1) las cabeceras manejan los slots los cuales los va poniendo en cola, ¿Cada cabecera maneja los slots para los dos buses?.<BR/>2) ¿Cuando las cabeceras envian los datos de los slots esto funciona como un token ring o lo maneja dinámicamente?<BR/>3) ¿Si un host hace una petición el algoritmo de cola decide sobre que bus desea enviarlo?<BR/><BR/>Gracias att grupo_unad@yahoo.comAnonymousnoreply@blogger.com