Se ha publicado el lanzamiento de la nueva rama estable del analizador de red Wireshark 4.0. Recordamos que originalmente el proyecto se desarrolló bajo el nombre de Ethereal, pero en 2006, debido a un conflicto con el propietario de la marca registrada Ethereal, los desarrolladores se vieron obligados a renombrar el proyecto como Wireshark. El código del proyecto se distribuye bajo la licencia GPLv2.
Novedades clave de Wireshark 4.0.0:
- Se ha cambiado la disposición de los elementos en la ventana principal. Los paneles 'Información adicional sobre el paquete' y 'Bytes del paquete' están ahora uno al lado del otro debajo del panel 'Lista de paquetes'.
- Se ha modificado el diseño de los diálogos 'Conversación' (Conversation) y 'Punto final' (Endpoint).
- Se han añadido opciones a los menús contextuales para cambiar el tamaño de todas las columnas y copiar elementos.
- Se ha habilitado la posibilidad de desacoplar y acoplar pestañas.
- Se ha añadido soporte para exportar en formato JSON.
- Al aplicar filtros, se muestran las columnas que indican las diferencias entre los paquetes que cumplen y los que no cumplen con los filtros.
- Se ha cambiado la ordenación de varios tipos de datos.
- Se han vinculado identificadores a los flujos de TCP y UDP y se ha proporcionado la opción de filtrarlos.
- Se ha permitido ocultar diálogos desde el menú contextual.
- Se ha mejorado la importación de volcad mediante la interfaz de Wireshark y utilizando el comando text2pcap.
- En text2pcap se ha añadido la opción de registrar volcad en todos los formatos soportados por la biblioteca wiretap.
- En text2pcap se ha establecido pcapng como formato por defecto, similar a las utilidades editcap, mergecap y tshark.
- Se ha añadido soporte para seleccionar el tipo de encapsulamiento de formato de salida.
- Se han añadido nuevas opciones para llevar registros.
- Se ha habilitado la posibilidad de guardar en los volcad encabezados ficticios de IP, TCP, UDP y SCTP al utilizar encapsulamiento Raw IP, Raw IPv4 y Raw IPv6.
- Se ha añadido soporte para escanear archivos de entrada utilizando expresiones regulares.
- Se ha asegurado la paridad funcional de la herramienta text2pcap y la interfaz 'Importar desde volcado hexadecimal' en Wireshark.
- Se ha aumentado significativamente el rendimiento de la localización utilizando bases de datos de MaxMind.
- Se han realizado cambios en la sintaxis de las reglas de filtrado de tráfico:
- Se ha añadido la posibilidad de seleccionar una capa específica de la pila de protocolos; por ejemplo, al encapsular IP sobre IP para extraer direcciones de paquetes externos e incrustados, se puede especificar 'ip.addr#1 == 1.1.1.1' y 'ip.addr#2 == 1.1.1.2'.
- Los operadores condicionales han implementado el soporte para cuantificadores «any» y «all», por ejemplo, «all tcp.port > 1024» para verificar todos los campos tcp.port.
- Se ha incorporado una sintaxis para referenciar campos — ${some.field}, implementada sin el uso de macros.
- Se ha añadido la posibilidad de utilizar operaciones aritméticas («+», «-«, «*», «/», «%») con campos numéricos, separando la expresión con llaves.
- Se han añadido las funciones max(), min() y abs().
- Se permite la especificación de expresiones y la llamada a otras funciones como argumentos de funciones.
- Se ha añadido una nueva sintaxis para separar literales de identificadores — un valor que comience con punto se procesa como un protocolo o un campo de protocolo, y un valor entre corchetes se trata como un literal.
- Se ha añadido el operador bit a bit «&», por ejemplo, para modificar bits individuales se puede especificar «frame[0] & 0x0F == 3».
- La prioridad del operador lógico AND ahora es mayor que la del operador OR.
- Se ha añadido el soporte para especificar constantes en forma binaria, utilizando el prefijo «0b».
- Se ha añadido la posibilidad de usar valores negativos como índices para contar desde el final, por ejemplo, para verificar los últimos dos bytes en el encabezado TCP se puede especificar «tcp[-2:] == AA:BB».
- Está prohibido separar elementos de un conjunto con espacios, usar espacios en lugar de comas ahora llevará a un error en vez de una advertencia.
- Se han añadido secuencias de escape adicionales: \a, \b, \f, \n, \r, \t, \v.
- Se ha añadido la posibilidad de especificar caracteres Unicode en el formato \uNNNN y \UNNNNNNNN.
- Se ha añadido un nuevo operador de comparación «===» («all_eq»), que se activa solo si en la expresión «a === b» todos los valores de «a» coinciden con «b». También se ha añadido el operador inverso «!==» («any_ne»).
- Se ha declarado obsoleto el operador «~=», en su lugar se debe usar «!==».
- Está prohibido usar números con un punto sin cerrar, es decir, los valores «.7» y «7.» ahora son inválidos y en su lugar se deben usar «0.7» y «7.0».
- El manejador de expresiones regulares en el motor de filtros de visualización ha sido trasladado a la biblioteca PCRE2 en lugar de GRegex.
- En cadenas y patrones de expresiones regulares, se ha implementado un manejo correcto de bytes nulos (‘\0’ en la cadena se reconoce como un byte nulo).
- Además de 1 y 0, los valores booleanos ahora también se pueden escribir como True/TRUE y False/FALSE.
- Se ha añadido soporte en el módulo de análisis (dissector) HTTP2 para el uso de encabezados ficticios para el análisis de datos interceptados sin paquetes anteriores con encabezados (por ejemplo, al analizar mensajes en conexiones gRPC ya establecidas).
- Se ha añadido soporte para Mesh Connex (MCX) en el módulo de análisis IEEE 802.11.
- Se ha implementado un recordatorio temporal (sin almacenamiento en disco) de la contraseña en el diálogo de Extcap, para evitar tener que introducirla en ejecuciones posteriores. Se ha añadido la posibilidad de establecer la contraseña para extcap a través de utilidades de línea de comandos, como tshark.
- Se ha implementado en la utilidad ciscodump la capacidad de captura remota desde dispositivos basados en IOS, IOS-XE y ASA.
- Se ha añadido soporte para los siguientes protocolos:
- Allied Telesis Loop Detection (AT LDF),
- AUTOSAR I-PDU Multiplexer (AUTOSAR I-PduM),
- DTN Bundle Protocol Security (BPSec),
- DTN Bundle Protocol Version 7 (BPv7),
- DTN TCP Convergence Layer Protocol (TCPCL),
- DVB Selection Information Table (DVB SIT),
- Enhanced Cash Trading Interface 10.0 (XTI),
- Enhanced Order Book Interface 10.0 (EOBI),
- Enhanced Trading Interface 10.0 (ETI),
- FiveCo’s Legacy Register Access Protocol (5co-legacy),
- Generic Data Transfer Protocol (GDT),
- gRPC Web (gRPC-Web),
- Host IP Configuration Protocol (HICP),
- Huawei GRE bonding (GREbond),
- Locamation Interface Module (IDENT, CALIBRATION, SAMPLES — IM1, SAMPLES — IM2R0),
- Mesh Connex (MCX),
- Microsoft Cluster Remote Control Protocol (RCP),
- Open Control Protocol for OCA/AES70 (OCP.1),
- Protected Extensible Authentication Protocol (PEAP),
- REdis Serialization Protocol v2 (RESP),
- Roon Discovery (RoonDisco),
- Secure File Transfer Protocol (sftp),
- Secure Host IP Configuration Protocol (SHICP),
- SSH File Transfer Protocol (SFTP),
- USB Attached SCSI (UASP),
- ZBOSS Network Coprocessor (ZB NCP).
- Se han incrementado los requisitos para el entorno de compilación (CMake 3.10) y las dependencias (GLib 2.50.0, Libgcrypt 1.8.0, Python 3.6.0, GnuTLS 3.5.8).
Fuente: opennet.ru
