De release van de nieuwe stabiele versie van de netwerk analyser Wireshark 4.0 is gepubliceerd. Ter herinnering, het project werd oorspronkelijk ontwikkeld onder de naam Ethereal, maar vanwege een conflict met de eigenaar van het merk Ethereal in 2006, moesten de ontwikkelaars het project hernoemen naar Wireshark. De code van het project wordt verspreid onder de GPLv2-licentie.
Belangrijkste vernieuwingen in Wireshark 4.0.0:
- De lay-out van de elementen in het hoofdvenster is gewijzigd. De panelen "Extra Informatie over het pakket" en "Bytes van het pakket" zijn naast elkaar geplaatst onder het panel "Lijst van Pakketten".
- De opmaak van de dialoogvensters "Dialoog" (Conversation) en "Eindpunt" (Endpoint) is gewijzigd.
- Er zijn opties toegevoegd aan de contextmenu's om de grootte van alle kolommen te wijzigen en elementen te kopiëren.
- Er is een mogelijkheid toegevoegd om tabbladen los te koppelen en weer vast te maken.
- Ondersteuning voor export in JSON-formaat is toegevoegd.
- Bij het toepassen van filters worden de kolommen weergegeven die de verschillen tussen pakketten die onder de filters vallen en die niet onder de filters vallen weergeven.
- De sortering van verschillende soorten gegevens is gewijzigd.
- Identificatoren zijn gekoppeld aan TCP- en UDP-stromen en er is een mogelijkheid om daarop te filteren.
- Het verbergen van dialoogvensters vanuit het contextmenu is toegestaan.
- De import van hexadecimale dumps vanuit de Wireshark-interface en via de text2pcap-opdracht is verbeterd.
- In text2pcap is de mogelijkheid toegevoegd om dumps op te slaan in alle formaten die door de wiretap-bibliotheek worden ondersteund.
- In text2pcap is pcapng als standaardformaat ingesteld, vergelijkbaar met de hulpprogramma's editcap, mergecap en tshark.
- Ondersteuning is toegevoegd voor het selecteren van het type encapsulatie voor het uitvoerformaat.
- Er zijn nieuwe opties toegevoegd voor logboeken.
- Er is een mogelijkheid toegevoegd om fictieve IP-, TCP-, UDP- en SCTP-koppen in dumps op te slaan bij het gebruik van Raw IP-, Raw IPv4- en Raw IPv6-encapsulatie.
- Ondersteuning is toegevoegd voor het scannen van invoerbestanden met behulp van reguliere expressies.
- Er is pariteit bereikt in functionaliteit tussen het hulpprogramma text2pcap en de interface "Importeren vanuit Hex Dump" in Wireshark.
- De prestaties van locatiebepaling met behulp van MaxMind-databases zijn aanzienlijk verbeterd.
- Er zijn wijzigingen aangebracht in de syntaxis van verkeersfilterregels:
- Er is een mogelijkheid toegevoegd om een specifieke laag van de protocolstack te kiezen, bijvoorbeeld bij IP-over-IP-encapsulatie om adressen uit externe en geneste pakketten te extraheren, kunnen "ip.addr#1 == 1.1.1.1" en "ip.addr#2 == 1.1.1.2" worden opgegeven.
- In de voorwaardelijke operatoren is ondersteuning voor de kwantoren 'any' en 'all' geïmplementeerd, zoals 'all tcp.port > 1024' om alle tcp.port-velden te controleren.
- Er is een ingebouwde syntaxis voor het verwijzen naar velden — ${some.field}, geïmplementeerd zonder gebruik van macro's.
- De mogelijkheid toegevoegd om rekenkundige bewerkingen ('+', '-', '*', '/', '%') met numerieke velden uit te voeren, waarbij de expressie tussen accolades staat.
- De functies max(), min() en abs() zijn toegevoegd.
- Het is toegestaan om expressies en het aanroepen van andere functies als argumenten voor functies aan te geven.
- Er is een nieuwe syntaxis toegevoegd om literalen van identificatoren te scheiden — een waarde die met een punt begint, wordt behandeld als een protocol of een protocolveld, en een waarde in hoekige haakjes wordt behandeld als een literale.
- De bitoperator '&' is toegevoegd, bijvoorbeeld voor het wijzigen van individuele bits kan 'frame[0] & 0x0F == 3' worden opgegeven.
- De prioriteit van de logische operator AND is nu hoger dan die van de OR-operator.
- Ondersteuning toegevoegd voor het opgeven van constanten in binaire vorm, met het voorvoegsel '0b'.
- De mogelijkheid toegevoegd om negatieve indexwaarden te gebruiken voor rapportage vanaf het einde, bijvoorbeeld om de laatste twee bytes in de TCP-header te controleren kan 'tcp[-2:] == AA:BB' worden opgegeven.
- Het is niet toegestaan om setelementen met spaties te scheiden; het gebruik van spaties in plaats van een komma zal nu leiden tot een fout in plaats van een waarschuwing.
- Extra escape-sequenties zijn toegevoegd: \a, \b, \f, \n, \r, \t, \v.
- De mogelijkheid toegevoegd om Unicode-tekens op te geven in het formaat \uNNNN en \UNNNNNNNN.
- Een nieuwe vergelijkingsoperator '===' ('all_eq') is toegevoegd, die alleen wordt geactiveerd als in de expressie 'a === b' alle waarden van 'a' overeenkomen met 'b'. Ook is de omgekeerde operator '!== ('any_ne') toegevoegd.
- De operator '~=' is verouderd verklaard; gebruik in plaats daarvan '!=='.
- Het is niet toegestaan om getallen met een open punt te gebruiken, dat wil zeggen dat waarden zoals '.7' en '7.' nu ongeldig zijn en in plaats daarvan '0.7' en '7.0' moeten worden opgegeven.
- De regex-handler in de filtermotor is overgeschakeld van GRegex naar de PCRE2-bibliotheek.
- In strings en reguliere expressiepatronen is correcte verwerking van null-bytes geïmplementeerd ('\0' in een string wordt gezien als een null-byte).
- Naast 1 en 0 kunnen boolse waarden nu ook worden weergegeven als True/TRUE en False/FALSE.
- In de HTTP2 dissector module is ondersteuning toegevoegd voor het gebruik van fictieve headers om gegevens te parseren die zijn onderschept zonder voorafgaande pakketten met headers (bijvoorbeeld bij het analyseren van berichten in reeds gevestigde gRPC-verbindingen).
- In de IEEE 802.11 dissector module is ondersteuning voor Mesh Connex (MCX) toegevoegd.
- Tijdelijke opslag (zonder opslag op schijf) van het wachtwoord in de Extcap-dialog is gerealiseerd, zodat het niet opnieuw hoeft te worden ingevoerd bij herhaalde opstarts. Er is een mogelijkheid toegevoegd om een wachtwoord voor extcap in te stellen via commandoregelhulpmiddelen zoals tshark.
- De ciscodump tool heeft de mogelijkheid voor externe captures van apparaten op basis van IOS, IOS-XE en ASA geïmplementeerd.
- Ondersteuning voor protocollen toegevoegd:
- Allied Telesis Loop Detection (AT LDF),
- AUTOSAR I-PDU Multiplexer (AUTOSAR I-PduM),
- DTN Bundle Protocol Security (BPSec),
- DTN Bundle Protocol Versie 7 (BPv7),
- DTN TCP Convergence Layer Protocol (TCPCL),
- DVB Selection Information Table (DVB SIT),
- Enhanced Cash Trading Interface 10.0 (XTI),
- Enhanced Order Book Interface 10.0 (EOBI),
- Enhanced Trading Interface 10.0 (ETI),
- FiveCo's Legacy Register Access Protocol (5co-legacy),
- Generic Data Transfer Protocol (GDT),
- gRPC Web (gRPC-Web),
- Host IP Configuration Protocol (HICP),
- Huawei GRE bonding (GREbond),
- Locamation Interface Module (IDENT, CALIBRATIE, MONSTER — IM1, MONSTER — IM2R0),
- Mesh Connex (MCX),
- Microsoft Cluster Remote Control Protocol (RCP),
- Open Control Protocol voor OCA/AES70 (OCP.1),
- Protected Extensible Authentication Protocol (PEAP),
- REdis Serialization Protocol v2 (RESP),
- Roon Discovery (RoonDisco),
- Secure File Transfer Protocol (sftp),
- Secure Host IP Configuration Protocol (SHICP),
- SSH File Transfer Protocol (SFTP),
- USB Attached SCSI (UASP),
- ZBOSS Network Coprocessor (ZB NCP).
- De eisen voor de bouwomgeving (CMake 3.10) en afhankelijkheden (GLib 2.50.0, Libgcrypt 1.8.0, Python 3.6.0, GnuTLS 3.5.8) zijn verhoogd.
Bron: opennet.ru
