Als kostenloser und quelloffener Paketanalysator bietet Wireshark viele praktische Funktionen. Eine davon ist das Auffinden von MAC-Adressen (Media Access Control), die Ihnen mehr Informationen über verschiedene Pakete in einem Netzwerk liefern können.
Wenn Sie neu bei Wireshark sind und nicht wissen, wie Sie MAC-Adressen finden, sind Sie hier genau richtig. Hier erzählen wir Ihnen mehr über MAC-Adressen, erklären, warum sie nützlich sind, und stellen Schritte bereit, um sie zu finden.
Was ist eine MAC-Adresse?
Eine MAC-Adresse ist eine eindeutige Kennung, die Netzwerkgeräten wie Computern, Switches und Routern zugewiesen wird. Diese Adressen werden normalerweise vom Hersteller vergeben und als sechs Gruppen von zwei Hexadezimalziffern dargestellt.
Wofür wird eine MAC-Adresse in Wireshark verwendet?
Die Hauptaufgabe einer MAC-Adresse besteht darin, die Quelle und das Ziel eines Pakets zu markieren. Sie können sie auch verwenden, um den Weg eines bestimmten Pakets durch ein Netzwerk zu verfolgen, den Webverkehr zu überwachen, böswillige Aktivitäten zu identifizieren und Netzwerkprotokolle zu analysieren.
Wireshark So finden Sie die MAC-Adresse
Das Auffinden der MAC-Adresse in Wireshark ist relativ einfach. Hier zeigen wir Ihnen, wie Sie in Wireshark eine Quell-MAC-Adresse und eine Ziel-MAC-Adresse finden.
So finden Sie eine Quell-MAC-Adresse in Wireshark
Eine Quell-MAC-Adresse ist die Adresse des Geräts, das das Paket sendet, und Sie können sie normalerweise im Ethernet-Header des Pakets sehen. Mit der Quell-MAC-Adresse können Sie den Pfad eines Pakets durch das Netzwerk verfolgen und die Quelle jedes Pakets identifizieren.
Die Quell-MAC-Adresse eines Pakets finden Sie auf der Registerkarte Ethernet. So gelangen Sie dorthin:
- Öffnen Sie Wireshark und erfassen Sie Pakete.
- Wählen Sie das Paket aus, an dem Sie interessiert sind, und zeigen Sie seine Details an.
- Wählen und erweitern Sie „Frame“, um weitere Informationen über das Paket zu erhalten.
- Gehen Sie zur Kopfzeile „Ethernet“, um Ethernet-Details anzuzeigen.
- Wählen Sie das Feld „Quelle“ aus. Hier sehen Sie die Quell-MAC-Adresse.
So finden Sie eine Ziel-MAC-Adresse in Wireshark
Eine Ziel-MAC-Adresse stellt die Adresse des Geräts dar, das ein Paket empfängt. Die Ziel-MAC-Adresse befindet sich wie die Quelladresse im Ethernet-Header. Führen Sie die folgenden Schritte aus, um eine Ziel-MAC-Adresse in Wireshark zu finden:
- Öffnen Sie Wireshark und beginnen Sie mit der Paketerfassung.
- Suchen Sie das Paket, das Sie analysieren möchten, und beobachten Sie seine Details im Detailbereich.
- Wählen Sie „Rahmen“, um weitere Daten darüber zu erhalten.
- Gehen Sie zu „Ethernet“. Sie sehen „Quelle“, „Ziel“ und „Typ“.
- Wählen Sie das Feld „Ziel“ und sehen Sie sich die Ziel-MAC-Adresse an.
So bestätigen Sie eine MAC-Adresse im Ethernet-Verkehr
Wenn Sie Netzwerkprobleme beheben oder schädlichen Datenverkehr identifizieren möchten, sollten Sie überprüfen, ob ein bestimmtes Paket von der richtigen Quelle gesendet und an das richtige Ziel weitergeleitet wird. Befolgen Sie die nachstehenden Anweisungen, um eine MAC-Adresse im Ethernet-Datenverkehr zu bestätigen:
- Zeigen Sie die physische Adresse Ihres Computers mit ipconfig/all oder Getmac an.
- Sehen Sie sich die Quell- und Zielfelder in dem von Ihnen erfassten Datenverkehr an und vergleichen Sie die physische Adresse Ihres Computers damit. Verwenden Sie diese Daten, um zu überprüfen, welche Frames von Ihrem Computer gesendet oder empfangen wurden, je nachdem, was Sie interessiert.
- Verwenden Sie arp-a, um den Address Resolution Protocol (ARP)-Cache anzuzeigen.
- Suchen Sie die IP-Adresse des Standard-Gateways, die in der Eingabeaufforderung verwendet wird, und zeigen Sie seine physische Adresse an. Überprüfen Sie, ob die physische Adresse des Gateways mit einigen der Felder „Quelle“ und „Ziel“ im erfassten Datenverkehr übereinstimmt.
- Schließen Sie die Aktivität ab, indem Sie Wireshark schließen. Wenn Sie den erfassten Datenverkehr verwerfen möchten, drücken Sie „Quit Without Saving“.
So filtern Sie eine MAC-Adresse in Wireshark
Mit Wireshark können Sie Filter verwenden und große Informationsmengen schnell durchgehen. Dies ist besonders nützlich, wenn es ein Problem mit einem bestimmten Gerät gibt. In Wireshark können Sie nach der Quell-MAC-Adresse oder der Ziel-MAC-Adresse filtern.
So filtern Sie nach Quell-MAC-Adresse in Wireshark
Wenn Sie in Wireshark nach der Quell-MAC-Adresse filtern möchten, müssen Sie Folgendes tun:
- Gehen Sie zu Wireshark und suchen Sie das Filterfeld oben.
- Geben Sie diese Syntax ein: „ether.src == MAC-Adresse“. Ersetzen Sie „macaddress“ durch die gewünschte Quelladresse. Denken Sie daran, beim Anwenden des Filters keine Anführungszeichen zu verwenden.
So filtern Sie in Wireshark nach der Ziel-MAC-Adresse
Mit Wireshark können Sie nach Ziel-MAC-Adresse filtern. So geht's:
- Starten Sie Wireshark und suchen Sie das Filterfeld oben im Fenster.
- Geben Sie diese Syntax ein: „ether.dst == MAC-Adresse“. Achten Sie darauf, „macaddress“ durch die Zieladresse zu ersetzen, und denken Sie daran, beim Anwenden des Filters keine Anführungszeichen zu verwenden.
Weitere wichtige Filter in Wireshark
Anstatt Stunden damit zu verschwenden, große Informationsmengen zu durchsuchen, können Sie mit Wireshark eine Abkürzung mit Filtern nehmen.
ip.addr == x.x.x.x
Dies ist einer der am häufigsten verwendeten Filter in Wireshark. Mit diesem Filter zeigen Sie nur erfasste Pakete an, die die gewählte IP-Adresse enthalten.
So erstellen Sie einen LAN-Server auf unturned
Der Filter ist besonders praktisch für diejenigen, die sich auf eine Art von Verkehr konzentrieren möchten.
Sie können nach Quell- oder Ziel-IP-Adresse filtern.
Wenn Sie nach Quell-IP-Adresse filtern möchten, verwenden Sie diese Syntax: „ip.src == x.x.x.x“. Ersetzen Sie „x.x.x.x“ durch die gewünschte IP-Adresse und entfernen Sie Anführungszeichen, wenn Sie die Syntax in das Feld eingeben.
Wer nach Quell-IP-Adresse filtern möchte, sollte diese Syntax in das Feld Filter eingeben: „ip.dst == x.x.x.x“. Verwenden Sie statt „x.x.x.x“ die gewünschte IP-Adresse und entfernen Sie die Anführungszeichen.
Wenn Sie mehrere IP-Adressen filtern möchten, verwenden Sie diese Syntax: „ip.addr == x.x.x.x and ip.addr == y.y.y.y“.
wie lange archiviert twitch videos
ip.addr == x.x.x.x && ip.addr == x.x.x.x
Wenn Sie Daten zwischen zwei bestimmten Hosts oder Netzwerken identifizieren und analysieren möchten, kann dieser Filter unglaublich hilfreich sein. Es entfernt unnötige Daten und zeigt die gewünschten Ergebnisse in nur wenigen Sekunden an.
http
Wenn Sie nur den HTTP-Verkehr analysieren möchten, geben Sie „http“ in das Feld „Filter“ ein. Denken Sie daran, beim Anwenden des Filters keine Anführungszeichen zu verwenden.
DNS
Mit Wireshark können Sie erfasste Pakete nach DNS filtern. Alles, was Sie tun müssen, um nur den DNS-Verkehr anzuzeigen, ist, „dns“ in das Feld „Filter“ einzugeben.
Wenn Sie spezifischere Ergebnisse wünschen und nur DNS-Abfragen anzeigen möchten, verwenden Sie diese Syntax: „dns.flags.response == 0“. Achten Sie darauf, bei der Eingabe des Filters keine Anführungszeichen zu verwenden.
Wenn Sie DNS-Antworten filtern möchten, verwenden Sie diese Syntax: „dns.flags.response == 1“.
Rahmen enthält Verkehr
Mit diesem praktischen Filter können Sie Pakete filtern, die das Wort „Verkehr“ enthalten. Es ist besonders wertvoll für diejenigen, die nach einer bestimmten Benutzer-ID oder Zeichenfolge suchen möchten.
tcp.port == XXX
Sie können diesen Filter verwenden, wenn Sie den Datenverkehr analysieren möchten, der an einem bestimmten Port ein- oder ausgeht.
ip.addr >= x.x.x.x und ip.addr <= y.y.y.y
Mit diesem Wireshark-Filter können Sie nur Pakete mit einem bestimmten IP-Bereich anzeigen. Es lautet wie folgt: „IP-Adressen filtern, die größer oder gleich x.x.x.x und kleiner oder gleich y.y.y.y sind.“ Ersetzen Sie „x.x.x.x“ und „y.y.y.y“ durch die gewünschten IP-Adressen. Sie können auch „&&“ anstelle von „and“ verwenden.
frame.time >= 12. August 2017 09:53:18 und frame.time <= 12. August 2017 17:53:18
Wenn Sie eingehenden Verkehr mit einer bestimmten Ankunftszeit analysieren möchten, können Sie diesen Filter verwenden, um die relevanten Informationen zu erhalten. Denken Sie daran, dass dies nur Beispieldaten sind. Sie sollten sie durch die gewünschten Daten ersetzen, je nachdem, was Sie analysieren möchten.
!(Filtersyntax)
Wenn Sie vor eine Filtersyntax ein Ausrufezeichen setzen, schließen Sie diese aus den Ergebnissen aus. Wenn Sie beispielsweise „!(ip.addr == 10.1.1.1)“ eingeben, sehen Sie alle Pakete, die diese IP-Adresse nicht enthalten. Denken Sie daran, dass Sie beim Anwenden des Filters keine Anführungszeichen verwenden sollten.
So speichern Sie Wireshark-Filter
Wenn Sie einen bestimmten Filter in Wireshark nicht oft verwenden, werden Sie ihn wahrscheinlich mit der Zeit vergessen. Es kann sehr frustrierend sein, sich an die korrekte Syntax zu erinnern und Zeit damit zu verschwenden, online danach zu suchen. Glücklicherweise kann Wireshark Ihnen mit zwei wertvollen Optionen helfen, solche Szenarien zu verhindern.
Die erste Option ist die automatische Vervollständigung und kann für diejenigen nützlich sein, die sich an den Anfang des Filters erinnern. Sie können beispielsweise „tcp“ eingeben, und Wireshark zeigt eine Liste von Filtern an, die mit dieser Sequenz beginnen.
Die zweite Option sind Lesezeichenfilter. Dies ist eine unschätzbare Option für diejenigen, die häufig komplexe Filter mit langer Syntax verwenden. So können Sie Ihren Filter mit einem Lesezeichen versehen:
- Öffnen Sie Wireshark und drücken Sie auf das Lesezeichen-Symbol. Sie finden es auf der linken Seite des Filterfelds.
- Wählen Sie „Anzeigefilter verwalten“.
- Suchen Sie den gewünschten Filter in der Liste und drücken Sie das Pluszeichen, um ihn hinzuzufügen.
Wenn Sie diesen Filter das nächste Mal benötigen, drücken Sie auf das Lesezeichensymbol und suchen Sie Ihren Filter in der Liste.
FAQ
Kann ich Wireshark in einem öffentlichen Netzwerk ausführen?
Wenn Sie sich fragen, ob das Ausführen von Wireshark in einem öffentlichen Netzwerk legal ist, lautet die Antwort ja. Das bedeutet jedoch nicht, dass Sie Wireshark in jedem Netzwerk ausführen sollten. Stellen Sie sicher, dass Sie die Geschäftsbedingungen des Netzwerks lesen, das Sie verwenden möchten. Wenn das Netzwerk die Verwendung von Wireshark verbietet und Sie es trotzdem ausführen, könnten Sie vom Netzwerk ausgeschlossen oder sogar verklagt werden.
Wireshark beißt nicht
Von der Fehlerbehebung in Netzwerken über die Verfolgung von Verbindungen bis hin zur Analyse des Datenverkehrs hat Wireshark viele Verwendungsmöglichkeiten. Mit dieser Plattform können Sie mit nur wenigen Klicks eine bestimmte MAC-Adresse finden. Da die Plattform kostenlos und auf mehreren Betriebssystemen verfügbar ist, genießen Millionen von Menschen weltweit ihre praktischen Optionen.
Wofür verwenden Sie Wireshark? Was ist Ihre Lieblingsoption? Sagen Sie es uns im Kommentarbereich unten.
