Wireshark : ce que c'est, analyse du trafic et capture de paquets

Qu'est-ce que Wireshark et comment il fonctionne

Wireshark est un programme open source (GPLv2) qui capture les paquets de données passant par l'interface réseau de l'ordinateur. Il repose sur la bibliothèque libpcap (Unix) ou Npcap (Windows) pour la capture au niveau de la couche de liaison du modèle OSI.

Principe de capture des paquets

En mode normal, une carte réseau ne reçoit que les trames adressées à son adresse MAC. Wireshark bascule l'interface en mode promiscuous (indiscriminé), dans lequel le système traite toutes les trames qui passent, quel que soit le destinataire. Les données capturées sont transmises au noyau via un raw socket, après quoi la bibliothèque libpcap les copie dans l'espace utilisateur pour analyse.

Architecture de traitement

Wireshark utilise une architecture modulaire : chaque protocole est implémenté comme un dissector distinct — un plugin qui analyse les données binaires et les affiche de manière structurée. En 2026, le programme implémente des dissectors pour 2 874 protocoles, dont HTTP/2, QUIC, gRPC et MQTT. Les dissectors fonctionnent via le système d'arborescence de protocoles — chaque paquet est analysé couche par couche : de la trame Ethernet au niveau application.

// Exemple d'un dissector simple pour un protocole personnalisé
static int dissect_custom(tvbuff_t *tvb, packet_info *pinfo,
        proto_tree *tree, void *data) {
    proto_item *ti = proto_tree_add_item(tree, hf_custom_field,
            tvb, 0, tvb_captured_length(tvb), ENC_NA);
    return 0;
}

Principales fonctionnalités de Wireshark

L'interface graphique de Wireshark est divisée en trois panneaux : liste des paquets (packet list), détails des protocoles (packet details) et dump hexadécimal (packet bytes). Chaque panneau est mis à jour en temps réel et prend en charge la navigation interactive — un clic sur une ligne de paquet ouvre sa structure complète.

Formats et protocoles pris en charge

L'outil lit les fichiers de capture aux formats pcap, pcapng, snoop et NetMon. L'export est possible vers JSON, XML, CSV et texte brut. Parmi les principaux protocoles de la couche application figurent HTTP/HTTPS, DNS, DHCP, TCP, UDP, TLS, QUIC, WebSocket, MQTT, AMQP et Protobuf. Pour le développement mobile, la prise en charge de gRPC et de HTTP/2 avec multiplexage des flux est particulièrement importante.

Outils d'analyse

Les utilitaires intégrés incluent Follow Stream (reconstruction du dialogue complet TCP/UDP/TLS), IO Graph (graphique de débit), statistiques des conversations (Conversations) et hiérarchie des protocoles (Protocol Hierarchy). La fonction Flow Graph visualise la séquence des paquets entre les nœuds, ce qui facilite la recherche des causes de latence lors du débogage de l'interaction client-serveur.

Comment capturer le trafic avec Wireshark

Le lancement de la capture commence par la sélection d'une interface réseau — Ethernet, Wi-Fi, Bluetooth PAN ou Loopback. Sur Windows, l'installation de Npcap en mode WinPcap API Compatible Mode peut être nécessaire. Pour la capture sur les appareils mobiles, on utilise Remote Packet Capture via un tunnel SSH.

Capture sur un appareil distant

Sur un appareil Android, le trafic est capturé avec tcpdump ou PCAPdroid, puis le fichier est transféré vers l'ordinateur de travail. La commande de capture à distance via ADB :

# Capture du trafic sur Android via ADB shell
adb shell tcpdump -i wlan0 -s 0 -w /sdcard/capture.pcap
# Copie sur l'ordinateur
adb pull /sdcard/capture.pcap .

Capture du trafic Loopback

Sur Windows, le trafic localhost (127.0.0.1) ne passe pas par une interface physique, donc Wireshark ne le voit pas directement. La solution consiste à installer Npcap avec l'option Loopback Support ou à rediriger le trafic via RawCap. Sous Linux et macOS, l'interface loopback (lo) est capturée sans configuration supplémentaire.

Filtrage des paquets dans Wireshark

Wireshark propose deux types de filtres : les capture filters (appliqués avant la capture, au niveau de libpcap) et les display filters (appliqués aux données déjà capturées). Les capture filters utilisent la syntaxe BPF (Berkeley Packet Filter), les display filters — le langage propre de Wireshark avec autocomplétion.

Capture Filters (BPF)

Les filtres BPF sont écrits au format tcpdump et exécutés dans le noyau, ce qui minimise la perte de paquets en cas de charge élevée. Exemples de filtres :

Display Filters

Les display filters sont appliqués après coup et prennent en charge des conditions complexes avec les opérateurs logiques and, or, not. Exemple : http.request.method == "POST" and ip.src == 192.168.0.100 filtrera uniquement les requêtes POST d'une IP spécifique. Les filtres peuvent être enregistrés comme favoris pour une réutilisation.

Analyse du trafic HTTP et HTTPS

Le trafic HTTP est affiché dans Wireshark sous une forme lisible : méthode de requête, URI, en-têtes et corps de la réponse. La fonction Follow TCP Stream rassemble le dialogue complet entre le client et le serveur dans une seule fenêtre. Pour HTTPS, le déchiffrement des sessions TLS est nécessaire, car le contenu est chiffré.

Déchiffrement HTTPS via SSLKEYLOGFILE

Les navigateurs Chrome et Firefox prennent en charge la variable d'environnement SSLKEYLOGFILE, qui écrit les clés de session TLS dans un fichier texte. Wireshark utilise ce fichier pour déchiffrer les enregistrements. La configuration s'effectue via Preferences → Protocols → TLS → (Pre)-Master-Secret log filename.

# Lancer Chrome avec l'enregistrement des clés TLS
export SSLKEYLOGFILE=/tmp/sslkeys.log
google-chrome .

# Après la capture, indiquer le chemin dans Wireshark
# Edit → Preferences → Protocols → TLS → Log Filename

Analyse de gRPC et Protobuf

gRPC utilise HTTP/2 comme transport et Protobuf pour la sérialisation des données. Wireshark déchiffre les messages gRPC si un fichier .proto avec les définitions des structures est fourni. Le dissector Protobuf associe les champs binaires aux noms du fichier proto, ce qui est essentiel lors du débogage d'une architecture de microservices.

Débogage des applications mobiles avec Wireshark

Le débogage mobile avec Wireshark nécessite de faire transiter le trafic de l'appareil vers l'ordinateur. La méthode la plus fiable consiste à créer un point d'accès Wi-Fi sur l'ordinateur portable et à rediriger le trafic via NAT. Sur Android, la méthode VPN avec l'application PCAPdroid est également disponible sans droits root.

Configuration sur Android sans root

PCAPdroid crée un service VPN local qui redirige le trafic des applications vers Wireshark via un flux UDP. L'application ne nécessite pas d'accès root et prend en charge le filtrage par processus individuels. Les fichiers pcap obtenus sont ouverts dans Wireshark pour une analyse complète.

# Réception du trafic de PCAPdroid sur l'ordinateur
# PCAPdroid → Settings → PCAP dumper → UDP Exporter
nc -l -u 192.168.0.10 12345 > capture.pcap

Comparaison de Wireshark avec les alternatives

Wireshark est un outil universel, mais pour des tâches spécifiques, il existe des solutions plus spécialisées. tcpdump est plus efficace pour la capture serveur sans graphisme, Charles Proxy est plus pratique pour analyser le trafic HTTPS, et Fiddler — pour l'inspection du trafic web avec la possibilité de modifier les requêtes à la volée.

Charles Proxy vs Wireshark

Charles Proxy agit comme un serveur proxy intermédiaire capable d'intercepter HTTPS via sa propre certification SSL. Contrairement à Wireshark, Charles ne nécessite pas la configuration de SSLKEYLOGFILE et peut non seulement visualiser, mais aussi modifier le trafic — remplacer les réponses, simuler des latences et rejouer des requêtes.

Fiddler Everywhere

Fiddler est un autre outil proxy populaire dans l'écosystème .NET. Il fournit un éditeur de requêtes intégré, le support d'AutoResponder pour les mocks et un composer pour créer des requêtes personnalisées. Fiddler est mieux adapté à l'analyse du trafic web du navigateur, Wireshark — à l'analyse réseau de bas niveau.

Conseils pratiques pour travailler avec Wireshark

Wireshark exige une compréhension des principes de base de la capture du trafic. L'un des scénarios fréquents consiste à rechercher la source des latences dans une application mobile via le filtre tcp.analysis.ack_rtt. Pour trouver les requêtes HTTP lentes, utilisez la condition http.time supérieur à 1.

Recherche des requêtes lentes

Pour trouver les requêtes HTTP lentes, filtrez http.time supérieur à 1 — Wireshark affichera les requêtes avec un temps de réponse supérieur à 1 seconde. Combinez avec ip.addr pour analyser un serveur spécifique. Un IO Graph avec un intervalle de 1 seconde montrera clairement les pics de charge.

Export et reporting

Wireshark prend en charge l'export vers CSV, JSON et XML via le menu File. Pour l'analyse automatique, utilisez tshark — la version console qui fonctionne dans les pipelines CI/CD. Tshark prend en charge les mêmes filtres et formats de sortie que la version graphique.

Conseils pratiques pour travailler avec Wireshark

Wireshark exige une compréhension des principes de base de la capture du trafic. L'un des scénarios fréquents consiste à rechercher la source des latences dans une application mobile via le filtre tcp.analysis.ack_rtt. Pour trouver les requêtes HTTP lentes, utilisez la condition http.time supérieur à 1.

Recherche des requêtes lentes

Pour trouver les requêtes HTTP lentes, filtrez http.time supérieur à 1 — Wireshark affichera les requêtes avec un temps de réponse supérieur à 1 seconde. Combinez avec ip.addr pour analyser un serveur spécifique. Un IO Graph avec un intervalle de 1 seconde montrera clairement les pics de charge.

Export et reporting

Wireshark prend en charge l'export vers CSV, JSON et XML via le menu File. Pour l'analyse automatique, utilisez tshark — la version console qui fonctionne dans les pipelines CI/CD. Tshark prend en charge les mêmes filtres et formats de sortie que la version graphique.