Wireshark es una herramienta gratuita y de código abierto para analizar tráfico de red (como tcpdump, pero con interfaz gráfica).
Permite capturar y examinar paquetes en tiempo real o desde archivos .pcap.
💡 Es una de las herramientas más poderosas para el análisis profundo de protocolos de red.
⚙️ Características Principales
✅ Inspección profunda de cientos de protocolos
✅ Interfaz gráfica (GUI) y modo terminal (TShark)
✅ Compatible con Windows, Linux, macOS y BSD
✅ Captura desde interfaces: Ethernet, WiFi, Bluetooth, USB, PPP, etc.
✅ Capacidad de descifrar tráfico (IPsec, SSL/TLS, WPA2, etc.)
💻 Requisitos del Sistema
🪟 En Windows
Procesador x64 o x86 moderno
500 MB de RAM y 500 MB de disco
Tarjeta de red compatible
Resolución mínima: 1280×1024
Instalar si falta: KB2999226 o KB3118401
Instalación:
Descargar desde https://www.wireshark.org Verificar el hash y ejecutar el instalador
🐧 En Linux
Disponible en la mayoría de distribuciones
Comprobar si está instalado:
which wireshark
Instalar:
sudo apt install wireshark
🧰 TShark vs Wireshark
Herramienta
Entorno
Características
Wireshark
GUI
Ideal para análisis visual, incluye decodificación avanzada
TShark
Terminal
Más ligera, útil en servidores sin entorno gráfico
Ambas usan la misma sintaxis y filtros (BPF).
🧩 Comandos Básicos de TShark
Opción
Descripción
-D
Lista interfaces disponibles
-L
Lista tipos de enlace (Ethernet, etc.)
-i
Selecciona interfaz (ej: -i eth0)
-f
Filtro de captura (BPF syntax)
-c
Captura un número de paquetes y termina
-a
Autostop por tiempo, tamaño o número de paquetes
-r
Leer archivo .pcap
-w
Guardar en archivo .pcapng
-P
Imprimir resumen de paquetes
-x
Mostrar salida en Hex y ASCII
-h
Ver ayuda completa
Ver ayuda:
tshark -h
🔍 Ejemplos de uso TShark
🧠 Listar interfaces:
tshark -D
📡 Capturar tráfico:
sudo tshark -i eth0 -w /tmp/captura.pcap
🎯 Filtrar por host:
sudo tshark -i eth0 -f "host 172.16.146.2"
🧾 Ejemplo de salida:
Captura DNS + TLS entre host local y github.com, mostrando consultas, respuestas y handshake TCP.
🖥️ Termshark (Wireshark en terminal TUI)
Una versión visual en modo texto (TUI) de Wireshark.
🟩 Permite:
Ver paquetes, protocolos y bytes en ASCII/HEX
Usar los mismos filtros que Wireshark/TShark
Navegar con atajos de teclado
Instalación:
https://github.com/gcla/termshark/releases
Ejecución:
termshark -r archivo.pcap
🕵️♂️ La interfaz aparece cuando detecta tráfico.
🧬 Interfaz gráfica de Wireshark
Wireshark tiene tres paneles principales:
Panel
Color
Función
Lista de Paquetes
🟧 Naranja
Muestra resumen (N°, hora, IPs, protocolo, info)
Detalles del Paquete
🔵 Azul
Descompone el paquete por capas OSI (Ethernet, IP, TCP, etc.)
Bytes del Paquete
🟩 Verde
Muestra el contenido en Hex y ASCII
💡 Al seleccionar un campo, se resalta su posición exacta en los bytes.
