Обзор CommView — утилиты для анализа сетевого трафика

Основные сведения

К основным функциям утилиты можно отнести:

Нахождение и анализ важных программ;
Исправление проблем при функционировании сети;
Проведение оперативных ремонтных работ программного обеспечения;
Сохранение перехваченных пакетов с виде специального файла для проведения дальнейших исследований.

Обратите внимание! Использовать данную программу обычным пользователям нецелесообразно — она предназначена для работы специалистов, отвечающих за безопасность в сети Интернет.

Что будем делать?

Для начала нужно определиться, в каких целях мы будем использовать эту чудесную программу. Ну действительно – что там у вас на уме прямо сейчас, я не могу угадать. Но общие моменты по работе с программой покажу без проблем.

Пользование CommView Wi-Fi

Как быстро взломать чужой Wi-Fi на телефоне и компьютере

Первым пунктом, стоящим в очереди последовательных действий по пользованию приложения, является проверка совместимости сетевого адаптера и программы. В тех случаях, когда система выдает запрос по обновлению карты Вай-Фай, следует провести обновление драйвера.

Чтобы осуществлять работу на CommView for Wi-Fi в комфортном режиме, необходимо иметь в наличии следующие программы:

Aircrack-ng;
BEACON.

Aircrack-ng относится к числу востребованных сниферов, но не уникальных. При работе на Виндовс возникает ряд неполадок:

Платформа не может осуществлять работу на стандартных инструментах;
Платформа не может осуществлять перевод вай-фай карточки в режим снифера.

Наиболее удачным способом считается связывание снифера CommView for WiFi с Aircrack с целью осуществления взлома WEP-ключа. Использование такого варианта позволяет уйти от того, чтобы установить драйвера, переводящие карту в снифер-режим.

При решении обновить драйверы необходимо:

Осуществить переход на пункт DATA;
Провести активацию пункта захвата DATA;
Запустить пропуск BEACON;
Снять выделение с других мест.

Взламываем пароль с вашего смартфона

WPS Connect – главная цель этой программы определить, насколько роутер, который использует установленный Pin код по умолчанию, уязвим от взлома вай фая. Для использования этой утилиты необходимо чтобы устройство было рутованным.

WIBR+ — отлично подходит для телефонов на Андроиде. Программа умеет одновременно выполнять несколько действий по подбору пароля к двум сетям сразу.

Скачиваем и устанавливаем.
Нажимаем на пункт «Add Network» и добавляем сеть, с самым хорошим сигналом.
Расставляем галочки в настройках, которые нужны.
Жмем на Add to Queue. Готово, утилита начнет свою работу.

Есть небольшой минус у этого приложения, после генерации каждого ключа ему необходимо заново подключаться к сети.

WiHack mobile – это приложение подходит как для Виндовса, так и для Андроида. Чтобы взломать пароль вай фай она использует два варианта которые пользователь может выбирать: брутфорс (простой перебор) или значительно эффективнее вариант анализа пакетов. Устанавливать лучше полную версию.

Утилита взломщик для iPhone

Для iPhone есть утилита под названием Aircrack, работает она методом перехвата. Сложностей в работе с ней не будет, простая и автоматизированная.

Скачиваем, устанавливаем и запускаем.
Сканируем, выбираем из списка сеть которую будете взламывать.
Ожидаем немного, готово.

Настройка

Для выполнения настройки программы comm view for сети Wi-Fi необходимо пользоваться инструкцией:

Провести преобразование номеров портов в служебные имена на android;
Осуществить преобразование МАС-адреса в его псевдоним;
Изменить IP-адрес на псевдоним;
Заменить IP-адреса имен хостов в пакетах;
Указать на осуществление показа названий производителей в МАС-адресах;
Провести принудительную дешифровку CommView for Wi-Fi;
Осуществить игнорирование поврежденных пакетов в сканере;
Активно обнаруживать узлы.

Проверка потери пакетов интернета онлайн или через командную строку

Непосредственно перед пользованием утилиты необходимо выполнить ряд последовательных операций:

Зайти в раздел по использованию памяти;
Задать максимально возможное число пакетов (20 тысяч);
Задать максимально возможное число строк текущих соединений (20);
Перейти в главное око программы CommView for Wi-Fi ;
Провести активацию вкладки «Log-файлы»;
Выставить отметку на разделе по автоматическому сохранению;
Поставить размер файла на 5 Мегабайт;
Указать максимальный размер каталога на 200 Мегабайт;
Выбрать функцию захвата;
В появившейся вкладке кликнуть на начало сканирования;
Осуществить выбор интересующей сети;
Нажать на захват;
Дождаться количества пакетов в интервале 100 тысяч — 2 млн;
Выбрать комбинацию Ctrl+L;
Осуществить переход по вкладке Файл;
Провести активацию пункта загрузки лог-файлов;
Выбрать список всех полученных файлов;
Зайти в главное меню программы;
Перейти в «Правила»;
Провести выгрузку ранее сохраненных пакетов.

Обратите внимание! Скорость процессов прямо пропорциональна числу RAM.

Экспорт пакетов TCPdump

Способы быстрой раздачи Wi-Fi с ноутбука и ПК

TCPdump относится к мощным инструментам по анализу пакета командной строки, используемым для:

осуществления захвата TCP/IP ;
проведения фильтрации пакетов, которые получены или переданы благодаря конкретному интерфейсу через вай-фай сеть.

Tcpdump осуществляет вывод описания материалов пакетов в сети интерфейса, соответствующего некоторому логическому выражению.

Он также может быть запущен:

с флагом -w, заставляющим инструмент анализа сохранять данные пакета в файл для последующего анализа,
с флагом -r, заставляющим инструмент анализа читать из сохраненного файла в пакете, а не из сетевого интерфейса;
с флагом -V, заставляющим инструмент анализа читать список сохраненных файлов пакетов;
с флагом -c, позволяющим продолжать захват пакетов, пока не прервется работоспособность;
С сигналом SIGINT (генерируемым, например, путем ввода символа прерывания, обычно control-C) или
С сигналом SIGTERM (обычно генерируемым с kill (1) команда).

Если Tcpdump запускается с флагом -c , он будет захватывать пакеты до тех пор, пока его не прервет сигнал SIGINT или SIGTERM.

Когда tcpdump заканчивает захват пакетов, он сообщает о количестве:

пакеты «захвачены» (это количество пакетов, которые tcpdump может получить и обработать);
пакеты «полученные фильтром» (значение этого зависит от ОС и, от того, какова конфигурация ОС);
пакеты, «отброшенные ядром» (это количество пакетов, которые были отброшены из-за недостатка места в буфере механизмом захвата пакетов в ОС, в которой работает tcpdump).

На платформах, которые поддерживают сигнал SIGINFO, таких как

большинство BSD (включая macOS)
Digital / Tru64 UNIX

он будет сообщать эти подсчеты при получении сигнала SIGINFO (генерируемого, например, путем ввода вашего символа «status»). На платформах, которые не поддерживают сигнал SIGINFO, того же можно достичь с помощью сигнала SIGUSR1.

Использование сигнала SIGUSR2 вместе с флагом -w принудительно сбрасывает буфер пакетов в выходной файл.

Чтение пакетов с сетевого интерфейса может потребовать наличия у пользователя особых привилегий, в то время чтение сохраненного файла пакета не требует специальных привилегий.

Обзор CommView — утилиты для анализа сетевого трафика

Необходимость анализа сетевого трафика может возникнуть по нескольким причинам. Контроль безопасности компьютера, отладка работы локальной сети, контроль исходящего трафика для оптимизации работы разделяемого подключения к Интернету — все эти задачи часто стоят на повестке дня системных администраторов, и простых пользователей. Для их решения существует множество утилит, называемых снифферами, как специализированных, направленных на решение узкой области задач, так и многофункциональных «комбайнов», предоставляющих пользователю широкий выбор инструментов. С одним из представителей последней группы, а именно утилитой CommView производства компании Tamosoft, и знакомит эта статья. Программа позволяет наглядно видеть полную картину трафика, проходящего через компьютер или сегмент локальной сети; настраиваемая система сигнализации позволяет предупреждать о наличии в трафике подозрительных пакетов, появлении в сети узлов с нештатными адресами или повышении сетевой нагрузки.

Главное окно программы

CommView предоставляет возможность вести статистику по всем IP-соединениям, декодировать IP-пакеты до низкого уровня и анализировать их. Встроенная система фильтров по нескольким параметрам позволяет настроить слежение исключительно за необходимыми пакетами, что позволяет сделать их анализ более эффективным. Программа может распознавать пакеты более чем семи десятков самых распространенных протоколов (в том числе DDNS, DHCP, DIAG, DNS, FTP, HTTP, HTTPS, ICMP, ICQ, IMAP, IPsec, IPv4, IPv6, IPX, LDAP, MS SQL, NCP, NetBIOS, NFS, NLSP, POP3, PPP, PPPoE, SMB, SMTP, SOCKS, SPX, SSH, TCP, TELNET, UDP, WAP и др.), а также сохранять их в файлы для последующего анализа. Множество других инструментов, таких как определение изготовителя сетевого адаптера по MAC-адресу, реконструкция HTML и удаленный перехват пакетов с помощью дополнительной утилиты CommView Remote Agent также могут быть полезны в определенных случаях.

Работа с программой

Для начала нужно выбрать сетевой интерфейс, на котором будет отслеживаться трафик.

Строка выбора сетевого адаптера и кнопки запуска и остановки захвата пакетов

CommView поддерживает практически любой тип адаптеров Ethernet — 10, 100 и 1000 Мбит/с, а также аналоговые модемы, xDSL, Wi-Fi и др. Анализируя трафик адаптера Ethernet, CommView может перехватывать не только входящие и исходящие, но и транзитные пакеты, адресованные любому из компьютеров локального сегмента сети. Стоит отметить, что если стоит задача мониторинга всего трафика сегмента локальной сети, то требуется, чтобы компьютеры в ней были подключены через хаб, а не через свитч. Некоторые современные модели свитчей имеют функцию port mirroring, что позволяет их также сконфигурировать для мониторинга сети с помощью CommView. Подробнее об этом можно прочитать в статье на web-сайте Tamosoft. Выбрав нужное соединение, можно приступать к захвату пакетов. Кнопки запуска и остановки захвата находятся около строки выбора интерфейса. Для работы с контроллером удаленного доступа, VPN и PPPoE при инсталляции программы необходимо установить соответствующий драйвер.

Главное окно программы разделено на несколько вкладок, отвечающих за тот или иной участок работы. Первая из них, «Текущие IP-соединения»

, отображает подробную информацию о действующих IP-соединениях компьютера. Здесь можно увидеть локальный и удаленный IP-адрес, количество переданных и принятых пакетов, направление передачи, число установленных IP-сессий, порты, имя хоста (если в настройках программы не отключена функция распознавания DNS), и имя процесса, принимающего или передающего пакета данной сессии. Последняя информация недоступна для транзитных пакетов, а также на компьютерах, работающих под управлением Windows 9x/ME.

Вкладка «Текущие IP-соединения»

Если по какому-либо соединению щелкнуть правой кнопкой мыши, то откроется контекстное меню, в котором можно найти инструменты, облегчающие анализ соединений. Здесь можно посмотреть объем данных, переданных в рамках соединения, полный список используемых портов, подробную информацию о процессе, принимающем или передающем пакеты данной сессии. CommView позволяет создавать псевдонимы для MAC- и IP-адресов. Например, задав вместо громоздких цифровых адресов машин локальной сети их псевдонимы, можно получить легко читаемые и запоминаемые имена компьютеров и таким образом облегчить анализ соединений.

Окно задания псевдонимов

Чтобы создать псевдоним для IP-адреса, нужно выбрать в контекстном меню последовательно пункты «Создать псевдоним» и «используя локальный IP» или «используя удаленный IP». В появившемся окне поле IP-адреса будет уже заполнено, и останется только ввести подходящее имя. Если новая запись IP-имени создается щелчком правой кнопки мыши по пакету, поле имени автоматически заполняется именем хоста (если оно доступно) и его можно редактировать. Точно так же происходит работа с MAC-псевдонимами.

Из этого же меню, выбрав пункт SmartWhois, можно отправить выбранный IP-адрес источника или получателя в программу SmartWhois — автономное приложение компании Tamosoft, которое собирает информацию о любом IP-адресе или имени хоста, например, сетевое имя, домен, страну, штат или провинцию, город, и предоставляет ее пользователю.

Вторая вкладка, «Пакеты»

, отображает все перехваченные на выбранном сетевом интерфейсе пакеты и подробную информацию о них.

Вкладка «Пакеты»

Окно разделено на три области. В первой из них отображается список всех перехваченных пакетов. Если в нем выбрать один из пакетов, щелкнув по нему указателем мыши, то остальные окна покажут информацию о нем. Здесь отображается номер пакета, протокол, Mac- и IP-адреса передающего и принимающего хоста, используемые порты и время появления пакета.

В средней области отображается содержимое пакета — в шестнадцатиричном или текстовом виде. В последнем случае непечатаемые символы заменяются точками. Если в верхней области выбрано одновременно несколько пакетов, то в среднем окне будет показано общее количество выбранных пакетов, их суммарный размер, а также временной интервал между первым и последним пакетом.

В нижнем окне отображается декодированная детальная информация о выбранном пакете.

Нажав на одну из трех кнопок в правой нижней части окна, можно выбрать расположение окна декодирования: в нижней части, или выровнять по левому или правому краю. Две другие кнопки позволяют автоматически переходить к последнему принятому пакету и сохранить выбранный пакет в видимой области списка.

Контекстное меню позволяет скопировать в буфер обмена MAC-, IP-адреса и целые пакеты, присваивать псевдонимы, применять быстрый фильтр для выбора требуемых пакетов, а также воспользоваться инструментами «Реконструкция TCP-сессии» и «Генератор пакетов».

Инструмент «Реконструкция TCP-сессии» позволяет просмотреть процесс обмена между двумя хостами по TCP. Для того чтобы содержимое сессии выглядело более понятно, нужно выбрать соответствующую «логику отображения». Эта функция наиболее полезна для восстановления текстовой информации, например, HTML или ASCII.

Реконструкция TCP-сессии с логикой ASCII

Та же сессия при просмотре с логикой HTML

Полученные данные можно экспортировать в виде текстового, RTF- или двоичного файла.

Вкладка «Log-файлы»

. Здесь можно настроить параметры сохранения перехваченных пакетов в файл. CommView сохраняет log-файлы в собственном формате NCF; для их просмотра используется встроенная утилита, запустить которую можно из меню «Файл».

Программа позволяет сохранить все пакеты, находящиеся на данный момент в буфере, или только часть из них, в заданном диапазоне

Имеется возможность включения автосохранения перехваченных пакетов по мере их поступления, ведения протоколов сессий HTTP в форматах TXT и HTML, сохранения, удаления, объединения и разделения log-файлов. Следует помнить, что пакет не сохраняется сразу по его прибытии, поэтому при просмотре log-файла в реальном времени в нем, скорее всего, не будет самых последних пакетов. Для того чтобы программа немедленно переслала буфер в файл, нужно нажать кнопку «Закончить захват».

Во вкладке «Правила»

можно задать условия перехвата или игнорирования пакетов.

Вкладка Правила

Для облегчения выбора и анализа требуемых пакетов, можно использовать правила фильтрации. Это также поможет значительно сократить количество системных ресурсов, используемых CommView.

Для того чтобы включить какое-нибудь правило, нужно выбрать соответствующий раздел с левой стороны окна. Всего доступно семь типов правил: простые — «Протоколы и направление», «Mac-адреса», «IP-адреса», «Порты», «Текст», «TCP-флаги», «Процесс», а также универсальное правило «Формулы». Для каждого из простых правил предусмотрена возможность выбора индивидуальных параметров, таких как выбор направления или протокола. Универсальное правило «Формула» является мощным и гибким механизмом создания фильтров с помощью булевой логики. Подробный справочник по его синтаксису можно найти на web-сайте компании.

Вкладка «Предупреждения»

поможет настроить параметры извещений о различных событиях, происходящих в исследуемом сегменте сети.

Вкладка «Предупреждения» позволяет создавать, изменять, удалять правила предупреждений, а также просматривать текущие события, соответствующие этим правилам

Для того чтобы задать правило предупреждения, нужно, нажав кнопку «Добавить…», в открывшемся окне выбрать необходимые условия, при появлении которых сработает извещение, а также способ уведомления пользователя об этом.

Настройка правил слежения и уведомлений

CommView позволяет задать следующие типы отслеживаемых событий:

«Обнаружение пакета», соответствующего указанной формуле. Синтаксис формул подробно описан в руководстве пользователя;
«Байты в секунду». Это предупреждение сработает при превышении указанного уровня загрузки сети;
«Пакеты в секунду». Срабатывает при превышении заданного уровня частоты передачи пакетов;
«Бродкасты в секунду». То же, только для широковещательных пакетов;
«Мультикасты в секунду» — то же для многоадресных пакетов.
«Неизвестный MAC-адрес». Это предупреждение можно использовать для обнаружения подключений нового или несанкционированного оборудования в сеть, задав предварительно список известных адресов с помощью опции «Настройка»;
предупреждение «Неизвестный IP-адрес» сработает при перехвате пакетов с неизвестными IP-адресами отправителя либо получателя. Если предварительно задать список известных адресов, то это предупреждение можно использовать для обнаружения несанкционированных подключений через корпоративный брандмауэр.

CommView обладает мощным средством визуализации статистики исследуемого трафика. Для того чтобы открыть окно статистики, нужно выбрать одноименный пункт из меню «Вид».

Окно статистики в режиме «Общее»

В этом окне можно ознакомиться со статистикой трафика сети: здесь можно увидеть количество пакетов в секунду, байтов в секунду, распределение протоколов Ethernet, IP и подпротоколов. Диаграммы можно скопировать в буфер обмена, что поможет в случае необходимости составления отчетов.

Отображение распределения трафика по IP-подпротоколам

Доступность, стоимость, системные требования

Текущая версия программы — CommView 5.1. С web-сайта Tamosoft можно загрузить бесплатную демонстрационную версию программы, которая будет функционировать в течение 30 дней.

Разработчик предлагает покупателям два варианта лицензий:

Home License (домашняя лицензия), стоимостью 2000 рублей, дает право пользоваться программой дома на некоммерческой основе, при этом количество хостов, доступных для наблюдения в вашей домашней сети, ограничивается пятью. В рамках данного типа лицензии не позволяется работать удаленно с помощью Remote Agent.
Enterprise License (корпоративная, стоимость — 10000 рублей) предоставляет право на коммерческое и некоммерческое использование программы одним лицом, которое лично пользуется программой на одной или на нескольких машинах. Программа также может быть установлена на одной рабочей станции и использоваться несколькими людьми, но не одновременно.

Приложение работает в операционных системах Windows 98/Me/NT/2000/XP/2003. Для работы необходим сетевой адаптер Ethernet, Wireless Ethernet, Token Ring с поддержкой стандарта NDIS 3.0 или стандартный контроллер удаленного доступа.

Купить программу можно в нашем он-лайн магазине программного обеспечения.

Плюсы:

локализованный интерфейс;
прекрасная справочная система;
поддержка разных типов сетевых адаптеров;
развитые средства анализа пакетов и определения протоколов;
визуализация статистики;
функциональная система предупреждений.

Минусы:

слишком высокая стоимость;
отсутствие пресетов для правил перехвата и предупреждений;
не очень удобный механизм выбора пакета во вкладке «Пакеты».

Заключение

Благодаря отличной функциональности и удобному интерфейсу CommView может стать незаменимым инструментом администраторов локальных сетей, Интернет-провайдеров и домашних пользователей. Порадовал тщательный подход разработчика к русской локализации пакета: и интерфейс, и справочное руководство выполнены на очень высоком уровне. Несколько омрачает картину высокая стоимость программы, однако тридцатидневная пробная версия поможет потенциальному покупателю определиться с целесообразностью покупки этой утилиты.