Veröffentlichung des Netzwerkprotokollanalysators Wireshark 4.0

Die neue stabile Version des Netzwerk-Analysetools Wireshark 4.0 wurde veröffentlicht. Ursprünglich wurde das Projekt unter dem Namen Ethereal entwickelt, aber im Jahr 2006 musste es aufgrund eines Konflikts mit dem Inhaber der Marke Ethereal in Wireshark umbenannt werden. Der Code des Projekts wird unter der GPLv2-Lizenz vertrieben.

Wichtige Neuerungen in Wireshark 4.0.0:

• Die Anordnung der Elemente im Hauptfenster wurde geändert. Die Panels 'Zusätzliche Paketinformationen' und 'Paketbytes' befinden sich nun nebeneinander unter dem Panel 'Paketliste'.
• Das Design der Dialogfenster 'Gespräch' (Conversation) und 'Endpunkt' (Endpoint) wurde geändert.
  • Im Kontextmenü wurden Optionen zum Ändern der Größen aller Spalten und zum Kopieren von Elementen hinzugefügt.
  • Die Möglichkeit, Tabs abzukoppeln und wieder anzupinnen, wurde bereitgestellt.
  • Die Unterstützung für den Export im JSON-Format wurde hinzugefügt.
  • Bei der Anwendung von Filtern werden Spalten angezeigt, die die Unterschiede zwischen gefilterten und nicht gefilterten Paketen darstellen.
  • Die Sortierung verschiedener Datentypen wurde geändert.
  • Identifikatoren wurden an TCP- und UDP-Ströme gebunden, und die Möglichkeit zur Filterung anhand dieser wurde bereitgestellt.
  • Das Verstecken von Dialogen aus dem Kontextmenü wurde erlaubt.
• Der Import von hexadezimalen Dumps über die Wireshark-Schnittstelle und mit dem Befehl text2pcap wurde verbessert.
  • In text2pcap wurde die Möglichkeit hinzugefügt, Dumps in allen von der Wiretap-Bibliothek unterstützten Formaten zu speichern.
  • In text2pcap ist das Standardformat nun pcapng, analog zu den Werkzeugen editcap, mergecap und tshark.
  • Die Unterstützung zur Auswahl des Encapsulation-Typs für das Ausgabeformat wurde hinzugefügt.
  • Neue Optionen für die Protokollierung wurden hinzugefügt.
  • Die Möglichkeit, in Dumps gefälschte Header von IP, TCP, UDP und SCTP bei Verwendung der Encapsulation Raw IP, Raw IPv4 und Raw IPv6 zu speichern, wurde bereitgestellt.
  • Die Unterstützung für das Scannen von Eingabedateien unter Verwendung von regulären Ausdrücken wurde hinzugefügt.
  • Die Funktionalität des Tools text2pcap und der Schnittstelle 'Import from Hex Dump' in Wireshark wurde auf Parität gebracht.
• Die Leistung bei der Standortbestimmung mithilfe der MaxMind-Datenbanken wurde erheblich verbessert.
• Änderungen im Syntax der Traffic-Filterregeln:
  • Die Möglichkeit, eine bestimmte Schicht des Protokollstapels auszuwählen, wurde hinzugefügt. Zum Beispiel kann bei IP-over-IP-Encapsulation zur Extraktion von Adressen aus externen und verschachtelten Paketen 'ip.addr#1 == 1.1.1.1' und 'ip.addr#2 == 1.1.1.2' angegeben werden.
  • In den Bedingungsoperatoren wurde die Unterstützung für die Quantoren „any“ und „all“ implementiert, zum Beispiel „all tcp.port > 1024“ zur Überprüfung aller tcp.port-Felder.
  • Es gibt eine eingebaute Syntax zur Angabe von Verweisen auf Felder — ${some.field}, die ohne Verwendung von Makros realisiert wurde.
  • Die Möglichkeit zur Verwendung arithmetischer Operationen („+“, „-“, „*“, „/“, „%“) mit numerischen Feldern wurde hinzugefügt, indem der Ausdruck in geschweifte Klammern gesetzt wird.
  • Die Funktionen max(), min() und abs() wurden hinzugefügt.
  • Es ist erlaubt, Ausdrücke und den Aufruf anderer Funktionen als Argumente von Funktionen anzugeben.
  • Eine neue Syntax zum Trennen von Literalwerten von Bezeichnern wurde hinzugefügt — ein Wert, der mit einem Punkt beginnt, wird als Protokoll oder Protokollfeld behandelt, während ein Wert in spitzen Klammern als Literal betrachtet wird.
  • Der bitweise Operator „&“ wurde hinzugefügt, z.B. kann für die Änderung einzelner Bits „frame[0] & 0x0F == 3“ angegeben werden.
  • Die Priorität des logischen Operators AND ist jetzt höher als die des OR-Operators.
  • Die Unterstützung für die Angabe von Konstanten in binärer Form mit dem Präfix „0b“ wurde hinzugefügt.
  • Es ist jetzt möglich, negative Indexwerte zur Berichterstattung vom Ende zu verwenden; zum Beispiel kann zur Überprüfung der letzten zwei Bytes im TCP-Header „tcp[-2:] == AA:BB“ angegeben werden.
  • Das Trennen von Elementen einer Menge durch Leerzeichen ist nicht erlaubt; die Verwendung von Leerzeichen anstelle von Kommas führt jetzt nicht mehr zu einer Warnung, sondern zu einem Fehler.
  • Zusätzliche Escape-Sequenzen wurden hinzugefügt: \a, \b, \f, \n, \r, \t, \v.
  • Die Möglichkeit, Unicode-Zeichen im Format \uNNNN und \UNNNNNNNN anzugeben, wurde hinzugefügt.
  • Ein neuer Vergleichsoperator „===“ („all_eq“) wurde hinzugefügt, der nur auslöst, wenn in der Bedingung „a === b“ alle Werte von „a“ mit „b“ übereinstimmen. Auch der umgekehrte Operator „!==“ („any_ne“) wurde hinzugefügt.
  • Der Operator „~=“ wurde als veraltet erklärt; stattdessen sollte „!==“ verwendet werden.
  • Es ist nicht erlaubt, Zahlen mit einem nicht geschlossenen Punkt zu verwenden; d.h. Werte wie „.7“ und „7.“ sind jetzt unzulässig und stattdessen sollten „0.7“ und „7.0“ angegeben werden.
  • Der RegExp-Handler in der Display-Filter-Engine wurde auf die PCRE2-Bibliothek anstelle von GRegex umgestellt.
  • In Zeichenfolgen und regulären Ausdrucksmustern wurde die richtige Verarbeitung von Nullbytes (‘\0’ in der Zeichenfolge wird als Nullbyte interpretiert) implementiert.
  • Neben 1 und 0 können boolesche Werte jetzt auch als True/TRUE und False/FALSE angegeben werden.
• Im HTTP2-Dissektor wurde die Unterstützung für die Verwendung von erfundenen Kopfzeilen zur Analyse von Daten, die ohne vorherige Pakete mit Kopfzeilen abgefangen wurden (z. B. bei der Analyse von Nachrichten in bereits etablierten gRPC-Verbindungen), hinzugefügt.
• Im IEEE 802.11-Dissektor wurde die Unterstützung für Mesh Connex (MCX) hinzugefügt.
• Es wurde eine temporäre Speicherung (ohne Festplattenspeicherung) des Passworts im Extcap-Dialog implementiert, damit es bei wiederholten Starts nicht erneut eingegeben werden muss. Eine Möglichkeit zur Passwortfestlegung für extcap über Kommandozeilenhilfsprogramme wie tshark wurde hinzugefügt.
• Das ciscodump-Tool hat die Möglichkeit der Remote-Aufzeichnung von Geräten mit IOS-, IOS-XE- und ASA-Betriebssystemen implementiert.
• Die Unterstützung für folgende Protokolle wurde hinzugefügt:
  • Allied Telesis Loop Detection (AT LDF),
  • AUTOSAR I-PDU Multiplexer (AUTOSAR I-PduM),
  • DTN Bundle Protocol Security (BPSec),
  • DTN Bundle Protocol Version 7 (BPv7),
  • DTN TCP Convergence Layer Protocol (TCPCL),
  • DVB Selection Information Table (DVB SIT),
  • Enhanced Cash Trading Interface 10.0 (XTI),
  • Enhanced Order Book Interface 10.0 (EOBI),
  • Enhanced Trading Interface 10.0 (ETI),
  • FiveCo’s Legacy Register Access Protocol (5co-legacy),
  • Generic Data Transfer Protocol (GDT),
  • gRPC Web (gRPC-Web),
  • Host IP Configuration Protocol (HICP),
  • Huawei GRE-Bonding (GREbond),
  • Locamation Interface Module (IDENT, KALIBRIERUNG, STICHE — IM1, STICHE — IM2R0),
  • Mesh Connex (MCX),
  • Microsoft Cluster Remote Control Protocol (RCP),
  • Open Control Protocol für OCA/AES70 (OCP.1),
  • Protected Extensible Authentication Protocol (PEAP),
  • REdis Serialization Protocol v2 (RESP),
  • Roon Discovery (RoonDisco),
  • Secure File Transfer Protocol (sftp),
  • Secure Host IP Configuration Protocol (SHICP),
  • SSH File Transfer Protocol (SFTP),
  • USB Attached SCSI (UASP),
  • ZBOSS Network Coprocessor (ZB NCP).
• Die Anforderungen an die Build-Umgebung (CMake 3.10) und Abhängigkeiten (GLib 2.50.0, Libgcrypt 1.8.0, Python 3.6.0, GnuTLS 3.5.8) wurden erhöht.

Quelle: opennet.ru