Wireshark: ما هو، تحليل حركة المرور والتقاط الحزم

ما هو Wireshark وكيف يعمل

Wireshark هو برنامج مفتوح المصدر (GPLv2) يلتقط حزم البيانات التي تمر عبر واجهة شبكة الكمبيوتر. يعتمد على مكتبة libpcap (Unix) أو Npcap (Windows) للالتقاط على مستوى طبقة الارتباط لنموذج OSI.

مبدأ التقاط الحزم

في الوضع العادي تستقبل بطاقة الشبكة الإطارات الموجهة إلى عنوان MAC الخاص بها فقط. يقوم Wireshark بتحويل الواجهة إلى وضع promiscuous (غير المميّز)، حيث يعالج النظام جميع الإطارات المارة بغض النظر عن المرسل إليه. تُنقل البيانات الملتقطة إلى النواة عبر raw socket، ثم تنسخها مكتبة libpcap إلى مساحة المستخدم للتحليل.

بنية المعالجة

يستخدم Wireshark بنية معيارية: كل بروتوكول يُنفَّذ كمحلل dissector مستقل — إضافة plugin تقوم بتحليل البيانات الثنائية وعرضها بشكل منظم. اعتبارًا من عام 2026، تم تنفيذ محللات لنحو 2 874 بروتوكولًا، بما في ذلك HTTP/2 وQUIC وgRPC وMQTT. تعمل المحللات عبر نظام شجرة البروتوكولات — يتم تحليل كل حزمة طبقة بطبقة: من إطار Ethernet حتى طبقة التطبيق.

// مثال على محلل بسيط لبروتوكول مخصص
static int dissect_custom(tvbuff_t *tvb, packet_info *pinfo,
        proto_tree *tree, void *data) {
    proto_item *ti = proto_tree_add_item(tree, hf_custom_field,
            tvb, 0, tvb_captured_length(tvb), ENC_NA);
    return 0;
}

الإمكانيات الرئيسية لـ Wireshark

تنقسم الواجهة الرسومية لـ Wireshark إلى ثلاث لوحات: قائمة الحزم (packet list)، وتفاصيل البروتوكولات (packet details)، وتمثيل hex السداسي (packet bytes). تتحدث كل لوحة في الوقت الفعلي وتدعم التنقل التفاعلي — النقر على سطر حزمة يفتح بنيتها الكاملة.

الصيغ والبروتوكولات المدعومة

تقرأ الأداة ملفات الالتقاط بصيغ pcap وpcapng وsnoop وNetMon. يمكن التصدير إلى JSON وXML وCSV ونص عادي. من بين البروتوكولات الرئيسية لطبقة التطبيق — HTTP/HTTPS وDNS وDHCP وTCP وUDP وTLS وQUIC وWebSocket وMQTT وAMQP وProtobuf. لتطوير الجوال، من المهم بشكل خاص دعم gRPC وHTTP/2 مع تعدد إرسال التدفقات.

أدوات التحليل

تشمل الأدوات المدمجة Follow Stream (إعادة بناء الحوار الكامل TCP/UDP/TLS)، وIO Graph (مخطط الإنتاجية)، وإحصائيات المحادثات (Conversations)، والتسلسل الهرمي للبروتوكولات (Protocol Hierarchy). تعمل وظيفة Flow Graph على تصور تسلسل الحزم بين العقد، مما يسهل العثور على أسباب التأخير عند تصحيح أخطاء التفاعل بين العميل والخادم.

كيف تلتقط حركة المرور عبر Wireshark

يبدأ تشغيل الالتقاط باختيار واجهة الشبكة — Ethernet أو Wi-Fi أو Bluetooth PAN أو Loopback. على Windows قد يلزم تثبيت Npcap في وضع WinPcap API Compatible Mode. للالتقاط على أجهزة الجوال يُستخدم Remote Packet Capture عبر نفق SSH.

الالتقاط على جهاز بعيد

على جهاز Android يتم التقاط حركة المرور عبر tcpdump أو PCAPdroid مع نقل الملف لاحقًا إلى كمبيوتر العمل. الأمر للالتقاط عن بُعد عبر ADB:

# التقاط حركة المرور على Android عبر ADB shell
adb shell tcpdump -i wlan0 -s 0 -w /sdcard/capture.pcap
# النسخ إلى الكمبيوتر
adb pull /sdcard/capture.pcap .

التقاط حركة Loopback

على Windows لا تمر حركة localhost (127.0.0.1) عبر الواجهة المادية، لذلك لا يراها Wireshark مباشرة. الحل هو تثبيت Npcap مع خيار Loopback Support أو إعادة توجيه الحركة عبر RawCap. على Linux وmacOS يتم التقاط واجهة loopback (lo) دون إعدادات إضافية.

تصفية الحزم في Wireshark

يوفر Wireshark نوعين من الفلاتر: capture filters (تُطبق قبل الالتقاط، على مستوى libpcap) وdisplay filters (تُطبق على البيانات الملتقطة بالفعل). تستخدم capture filters صيغة BPF (Berkeley Packet Filter)، بينما تستخدم display filters لغة Wireshark الخاصة مع إكمال تلقائي.

Capture Filters (BPF)

تُكتب فلاتر BPF بصيغة tcpdump وتُعمل في النواة، مما يقلل فقدان الحزم تحت الحمل العالي. أمثلة على الفلاتر:

Display Filters

تُطبق display filters بعد الالتقاط وتدعم شروطًا معقدة مع العوامل المنطقية and وor وnot. مثال: http.request.method == "POST" and ip.src == 192.168.0.100 سيفلتر فقط طلبات POST من عنوان IP محدد. يمكن حفظ الفلاتر كقائمة مفضلة لإعادة استخدامها.

تحليل حركة HTTP وHTTPS

تُعرض حركة HTTP في Wireshark بشكل قابل للقراءة: طريقة الطلب وعنوان URI والرؤوس وجسم الاستجابة. تجمع وظيفة Follow TCP Stream الحوار الكامل بين العميل والخادم في نافذة واحدة. بالنسبة لـ HTTPS يلزم فك تشفير جلسات TLS، لأن المحتوى مشفر.

فك تشفير HTTPS عبر SSLKEYLOGFILE

يدعم متصفحا Chrome وFirefox متغير البيئة SSLKEYLOGFILE الذي يكتب مفاتيح جلسة TLS في ملف نصي. يستخدم Wireshark هذا الملف لفك تشفير السجلات. يتم الإعداد عبر Preferences → Protocols → TLS → (Pre)-Master-Secret log filename.

# تشغيل Chrome مع تسجيل مفاتيح TLS
export SSLKEYLOGFILE=/tmp/sslkeys.log
google-chrome .

# بعد الالتقاط حدد المسار في Wireshark
# Edit → Preferences → Protocols → TLS → Log Filename

تحليل gRPC وProtobuf

يستخدم gRPC HTTP/2 كنقل وProtobuf لتسلسل البيانات. يقوم Wireshark بفك تشفير رسائل gRPC إذا تم توفير ملف .proto مع تعريفات البنى. يربط محلل Protobuf الحقول الثنائية بالأسماء من ملف proto، وهو أمر بالغ الأهمية عند تصحيح أخطاء بنية الخدمات المصغرة.

تصحيح أخطاء تطبيقات الجوال باستخدام Wireshark

يتطلب تصحيح أخطاء الجوال عبر Wireshark توجيه حركة الجهاز إلى الكمبيوتر. الطريقة الأكثر موثوقية هي إنشاء نقطة وصول Wi-Fi على اللابتوب وإعادة توجيه الحركة عبر NAT. على Android يتوفر أيضًا أسلوب VPN مع تطبيق PCAPdroid دون صلاحيات root.

الإعداد على Android بدون root

يقوم PCAPdroid بإنشاء خدمة VPN محلية تعيد توجيه حركة التطبيقات إلى Wireshark عبر تدفق UDP. لا يتطلب التطبيق صلاحيات root ويدعم التصفية حسب العمليات الفردية. تُفتح ملفات pcap الناتجة في Wireshark للتحليل الكامل.

# استقبال حركة المرور من PCAPdroid على الكمبيوتر
# PCAPdroid → Settings → PCAP dumper → UDP Exporter
nc -l -u 192.168.0.10 12345 > capture.pcap

مقارنة Wireshark مع البدائل

Wireshark أداة عالمية، لكن بالنسبة لمهام محددة توجد حلول أكثر تخصصًا. tcpdump أكثر فاعلية للالتقاط على الخادم بدون رسوميات، وCharles Proxy أكثر ملاءمة لتحليل حركة HTTPS، أما Fiddler فهو مناسب لفحص حركة الويب مع إمكانية تعديل الطلبات أثناء التنفيذ.

Charles Proxy مقابل Wireshark

يعمل Charles Proxy كخادم بروكسي وسيط مع إمكانية اعتراض HTTPS عبر شهادة SSL خاصة به. على عكس Wireshark، لا يتطلب Charles إعداد SSLKEYLOGFILE ويمكنه ليس فقط عرض الحركة بل تعديلها أيضًا — استبدال الاستجابات ومحاكاة التأخيرات وإعادة الطلبات.

Fiddler Everywhere

Fiddler أداة بروكسي أخرى شائعة في نظام .NET البيئي. يوفر محرر طلبات مدمجًا ودعم AutoResponder للنماذج الوهمية mocks وcomposer لإنشاء طلبات مخصصة. Fiddler أنسب لتحليل حركة ويب المتصفح، بينما Wireshark أنسب للتحليل الشبكي منخفض المستوى.

نصائح عملية للعمل مع Wireshark

يتطلب Wireshark فهم المبادئ الأساسية لالتقاط حركة المرور. أحد السيناريوهات الشائعة هو البحث عن مصدر التأخيرات في تطبيق الجوال عبر فلتر tcp.analysis.ack_rtt. للبحث عن طلبات HTTP البطيئة استخدم الشرط http.time أكبر من 1.

البحث عن الطلبات البطيئة

للبحث عن طلبات HTTP البطيئة قم بتصفية http.time أكبر من 1 — سيُظهر Wireshark الطلبات ذات زمن الاستجابة أكثر من ثانية واحدة. ادمج مع ip.addr لتحليل خادم محدد. سيعرض IO Graph بفاصل زمني ثانية واحدة قمم الحمل بوضوح.

التصدير وإعداد التقارير

يدعم Wireshark التصدير إلى CSV وJSON وXML عبر قائمة File. للتحليل التلقائي استخدم tshark — النسخة النصية التي تعمل في مسارات CI/CD. يدعم Tshark نفس الفلاتر وصيغ الإخراج مثل النسخة الرسومية.

نصائح عملية للعمل مع Wireshark

يتطلب Wireshark فهم المبادئ الأساسية لالتقاط حركة المرور. أحد السيناريوهات الشائعة هو البحث عن مصدر التأخيرات في تطبيق الجوال عبر فلتر tcp.analysis.ack_rtt. للبحث عن طلبات HTTP البطيئة استخدم الشرط http.time أكبر من 1.

البحث عن الطلبات البطيئة

للبحث عن طلبات HTTP البطيئة قم بتصفية http.time أكبر من 1 — سيُظهر Wireshark الطلبات ذات زمن الاستجابة أكثر من ثانية واحدة. ادمج مع ip.addr لتحليل خادم محدد. سيعرض IO Graph بفاصل زمني ثانية واحدة قمم الحمل بوضوح.

التصدير وإعداد التقارير

يدعم Wireshark التصدير إلى CSV وJSON وXML عبر قائمة File. للتحليل التلقائي استخدم tshark — النسخة النصية التي تعمل في مسارات CI/CD. يدعم Tshark نفس الفلاتر وصيغ الإخراج مثل النسخة الرسومية.