Veröffentlichung des Netzwerk-Analysetools Wireshark 4.0

Die stabile Version 4.0 des Netzwerk-Analysetools Wireshark wurde veröffentlicht. Ursprünglich wurde das Projekt unter dem Namen Ethereal entwickelt, musste jedoch 2006 aufgrund eines Konflikts mit dem Markeninhaber den Namen in Wireshark ändern. Der Code des Projekts wird unter der GPLv2-Lizenz verbreitet.

Wesentliche Neuerungen in Wireshark 4.0.0:

• Die Anordnung der Elemente im Hauptfenster wurde geändert. Die Panels „Zusätzliche Informationen über das Paket“ und „Paketbytes“ befinden sich jetzt nebeneinander unter dem Panel „Paketliste“.
• Das Design der Dialogfenster „Konversation“ und „Endpunkt“ wurde überarbeitet.
  • Kontextmenüs bieten jetzt Optionen zum Ändern der Größe aller Spalten und zum Kopieren von Elementen.
  • Möglichkeit zum Abtrennen und Wiederanheften von Tabs wurde hinzugefügt.
  • Unterstützung für den Export im JSON-Format wurde hinzugefügt.
  • Bei der Anwendung von Filtern werden Spalten angezeigt, die die Unterschiede zwischen gefilterten und nicht gefilterten Paketen darstellen.
  • Die Sortierung verschiedener Datenarten wurde geändert.
  • TCP- und UDP-Ströme sind jetzt mit Identifikatoren verknüpft, die eine Filterung ermöglichen.
  • Es ist möglich, Dialoge aus dem Kontextmenü auszublenden.
• Der Import von hexadezimalen Dumps aus der Wireshark-Oberfläche und über den Befehl text2pcap wurde verbessert.
  • In text2pcap besteht die Möglichkeit, Dumps in allen von der wiretap-Bibliothek unterstützten Formaten zu speichern.
  • Der Standardformat in text2pcap wurde auf pcapng gesetzt, analog zu den Werkzeugen editcap, mergecap und tshark.
  • Unterstützung für die Auswahl des Encapsulation-Typs des Ausgabeformats wurde hinzugefügt.
  • Neue Optionen für das Logging wurden hinzugefügt.
  • Es wurde die Möglichkeit hinzugefügt, gefälschte Header für IP, TCP, UDP und SCTP in Dumps zu speichern, wenn die Encapsulation Raw IP, Raw IPv4 und Raw IPv6 verwendet wird.
  • Unterstützung für das Scannen von Eingabedateien mit regulären Ausdrücken wurde hinzugefügt.
  • Die Funktionalität des Dienstprogramms text2pcap und der „Import from Hex Dump“-Schnittstelle in Wireshark wurde paritätsgerecht gestaltet.
• Die Leistung der Standortbestimmung unter Verwendung von MaxMind-Datenbanken wurde erheblich verbessert.
• Änderungen an der Syntax der Traffic-Filtrierungsregeln wurden vorgenommen:
  • Die Möglichkeit wurde hinzugefügt, eine bestimmte Schicht des Protokollstacks auszuwählen. Zum Beispiel bei der Kapselung von IP-over-IP kann man zur Extraktion von Adressen aus externen und verschachtelten Paketen "ip.addr#1 == 1.1.1.1" und "ip.addr#2 == 1.1.1.2" angeben.
  • Die bedingten Anweisungen unterstützen jetzt die Quantoren „any“ und „all“, zum Beispiel „all tcp.port > 1024“, um alle tcp.port-Felder zu überprüfen.
  • Eine integrierte Syntax zur Angabe von Verweisen auf Felder wurde eingeführt — ${some.field}, realisiert ohne die Verwendung von Makros.
  • Es wurde die Möglichkeit hinzugefügt, arithmetische Operationen („+“, „-“, „*“, „/“, „%“) mit numerischen Feldern zu verwenden, wobei der Ausdruck in geschweifte Klammern gesetzt wird.
  • Die Funktionen max(), min() und abs() wurden hinzugefügt.
  • Es ist jetzt erlaubt, Ausdrücke und Aufrufe anderer Funktionen als Argumente für Funktionen anzugeben.
  • Eine neue Syntax zur Trennung von Literalen von Identifikatoren wurde eingeführt — ein mit einem Punkt beginnender Wert wird als Protokoll oder Protokollfeld behandelt, während ein Wert in spitzen Klammern als Literal gilt.
  • Der bitweise Operator „&“ wurde hinzugefügt, um beispielsweise einzelne Bits zu ändern, kann man "frame[0] & 0x0F == 3" verwenden.
  • Die Priorität des logischen Operators AND ist jetzt höher als die des Operators OR.
  • Unterstützung für die Definition von Konstanten im Binärformat mittels des Präfixes „0b“ hinzugefügt.
  • Die Verwendung negativer Indexwerte für den Bericht von hinten ist jetzt möglich, z.B. um die letzten zwei Bytes im TCP-Header zu überprüfen, kann „tcp[-2:] == AA:BB“ angegeben werden.
  • Die Trennung von Mengen-Elementen durch Leerzeichen ist untersagt; die Verwendung von Leerzeichen anstelle von Kommas führt nun zu einem Fehler statt einer Warnung.
  • Zusätzliche Escape-Sequenzen hinzugefügt: \a, \b, \f, \n, \r, \t, \v.
  • Die Möglichkeit zur Angabe von Unicode-Zeichen im Format \uNNNN und \UNNNNNNNN wurde hinzugefügt.
  • Ein neuer Vergleichsoperator „===“ („all_eq“) wurde hinzugefügt, der nur aktiviert wird, wenn in dem Ausdruck „a === b“ alle Werte von „a“ mit „b“ übereinstimmen. Zudem wurde der Gegenoperator „!==“ („any_ne“) hinzugefügt.
  • Der Operator „~=“ wurde als veraltet erklärt; stattdessen sollte „!==“ verwendet werden.
  • Die Verwendung von Zahlen mit einem offenen Dezimalpunkt, d.h. die Werte „.7“ und „7.“ sind jetzt unzulässig; stattdessen sind „0.7“ und „7.0“ anzugeben.
  • Der reguläre Ausdrucks-Handler im Display-Filter-Engine wurde auf die PCRE2-Bibliothek anstelle von GRegex umgestellt.
  • In den Zeilen und Vorlagen von regulären Ausdrücken erfolgt eine korrekte Verarbeitung von Null-Bytes ('\0' wird als Null-Byte interpretiert).
  • Neben 1 und 0 können boolesche Werte jetzt auch als True/TRUE und False/FALSE gespeichert werden.
• Im HTTP2-Dissektor wurde die Unterstützung für die Verwendung von Dummy-Headern hinzugefügt, um Daten zu parsen, die ohne vorherige Header-Pakete abgefangen wurden (zum Beispiel beim Analysieren von Nachrichten in bereits etablierten gRPC-Verbindungen).
• Im IEEE 802.11-Dissektor wurde die Unterstützung für Mesh Connex (MCX) hinzugefügt.
• Es wird eine temporäre Speicherung (ohne Speicherung auf der Festplatte) des Passworts im Extcap-Dialog ermöglicht, um die Eingabe bei wiederholten Starts zu vermeiden. Die Möglichkeit, ein Passwort für extcap über Befehlszeilen-Utilities wie tshark festzulegen, wurde hinzugefügt.
• Im ciscodump-Utility wurde die Möglichkeit der entfernten Erfassung von Geräten auf Basis von IOS, IOS-XE und ASA implementiert.
• Unterstützung für Protokolle hinzugefügt:
  • Allied Telesis Loop Detection (AT LDF),
  • AUTOSAR I-PDU Multiplexer (AUTOSAR I-PduM),
  • DTN Bundle Protocol Security (BPSec),
  • DTN Bundle Protocol Version 7 (BPv7),
  • DTN TCP Convergence Layer Protocol (TCPCL),
  • DVB Selection Information Table (DVB SIT),
  • Enhanced Cash Trading Interface 10.0 (XTI),
  • Enhanced Order Book Interface 10.0 (EOBI),
  • Enhanced Trading Interface 10.0 (ETI),
  • Das Legacy Register Access Protocol von FiveCo (5co-legacy),
  • Generisches Datenübertragungsprotokoll (GDT),
  • gRPC Web (gRPC-Web),
  • Host IP Configuration Protocol (HICP),
  • Huawei GRE-Bonding (GREbond),
  • Locamation Interface Module (IDENT, KALIBRIERUNG, PROBEN — IM1, PROBEN — IM2R0),
  • Mesh Connex (MCX),
  • Microsoft Cluster Remote Control Protocol (RCP),
  • Open Control Protocol für OCA/AES70 (OCP.1),
  • Protected Extensible Authentication Protocol (PEAP),
  • REdis Serialization Protocol v2 (RESP),
  • Roon Discovery (RoonDisco),
  • Secure File Transfer Protocol (sftp),
  • Secure Host IP Configuration Protocol (SHICP),
  • SSH File Transfer Protocol (SFTP),
  • USB Attached SCSI (UASP),
  • ZBOSS Network Coprocessor (ZB NCP).
• Die Anforderungen an die Entwicklungsumgebung (CMake 3.10) und die Abhängigkeiten (GLib 2.50.0, Libgcrypt 1.8.0, Python 3.6.0, GnuTLS 3.5.8) wurden erhöht.

Quelle: opennet.ru