Analyser une capture de trames
Décoder une trame couche par couche, lire les trois volets de Wireshark, distinguer filtre de capture et filtre d'affichage, et conclure à partir d'une capture.
- 32 cartes
- 5 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Les étapes
- Mises en situation
Quelques cartes du deck
Capture de paquets : de quoi s'agit-il ?
Voir la réponse
Enregistrement des trames qui passent sur une interface, conservées avec leur heure d'arrivée pour être relues et décodées ensuite.
Elle montre ce qui circule vraiment, pas ce que les programmes croient envoyer. Sur un réseau commuté, on ne voit que son propre trafic, sauf si le commutateur copie un port (miroir).
Voici une trame de 54 octets (hexadécimal). À quel octet (en comptant de 0) commence l'en-tête TCP ?
```text
52 54 00 12 35 02 08 00 27 ab cd ef 08 00 45 00
00 28 1c 46 40 00 40 06 d8 7a 0a 00 00 05 cb 00
71 0a c9 3a 01 bb 3a 7f 1c 20 00 00 00 00 50 02
fa f0 4d 4d 00 00`- 34
- 14
- 20
- 40
Voir la réponse
34
L'EtherType 08 00 annonce IPv4, qui commence à l'octet 14 (
45). Le IHL vaut 5, soit 20 octets : 14 + 20 = 34, là où commence l'en-tête TCP (c9 3aest le port source).Pour décoder une trame, on lit d'abord l'en-tête … (14 octets), dont l'… annonce le protocole suivant : 0x0800 pour IPv4.
Voir la réponse
Pour décoder une trame, on lit d'abord l'en-tête Ethernet (14 octets), dont l'EtherType annonce le protocole suivant : 0x0800 pour IPv4.
Chaque en-tête annonce le suivant : EtherType pour Ethernet, champ protocole (6 pour TCP, 17 pour UDP, 1 pour ICMP) pour IP, puis le port pour reconnaître l'application.
Wireshark : de quoi s'agit-il ?
Voir la réponse
Analyseur graphique de captures, qui décode chaque trame protocole par protocole et l'affiche en trois volets : la liste des paquets, le détail décodé, les octets en hexadécimal.
Cliquer sur un champ du volet de détail surligne ses octets dans le volet hexadécimal : c'est la façon la plus simple de vérifier un décodage fait à la main.
Le décodage d'une trame à la main : quelle étape vient après « Lire l'en-tête Ethernet (14 octets) et son EtherType » ?
- Lire le champ protocole de l'en-tête IP
- Lire les ports de l'en-tête de transport
- Reconnaître l'application d'après le port et lire ses données
- Lire le IHL de l'en-tête IP pour en connaître la longueur
Voir la réponse
Lire le IHL de l'en-tête IP pour en connaître la longueur
Chaque étape fournit ce qu'il faut pour trouver la suivante : l'EtherType dit où commence IP, le IHL dit où finit l'en-tête IP, le protocole dit quel en-tête de transport suit, et le port désigne l'application.