Wireshark ve konsol sürümü tshark ile kendi bilgisayarınızın ağ trafiğini yakalayıp DNS, HTTP ve TLS el sıkışması gibi katmanları inceleyerek bağlantı sorunlarını teşhis edebilirsiniz. Temel akış şudur: kendi arayüzünüzü seçin, yalnızca kendi isteklerinizi üreten kısa bir yakalama yapın, kaydı pcap ya da pcapng dosyasına yazın ve görüntüleme filtreleriyle ilgilendiğiniz paketleri ayıklayın.

Bu rehber yalnızca size ait makinedeki ve size ait sunucudaki trafiği konu alır. Başka kişilerin trafiğini dinlemek, yönlendirmek veya ele geçirmek bu yazının kapsamı dışındadır ve hukuken suç oluşturabilir. Kali Linux'u yeni tanıyorsanız Kali Linux rehberinden başlayabilirsiniz.

Wireshark, tshark ve tcpdump nedir?

Wireshark, tshark ve tcpdump nedir? wireshark, tshark, tcpdump

Kali araç sayfasına göre Wireshark, kablodan geçen paketleri yakalayan ve analiz eden bir ağ trafiği analizcisidir ve sayılamayacak kadar çok protokolü çözümleyebilir. tshark aynı motorun konsol sürümüdür; wireshark-common paketi ikisinin ortak dosyalarını içerir. Kali araç sayfasındaki sürüm Wireshark 4.6.6'dır. tcpdump ise ağ arayüzündeki paket başlıklarını yazdıran ve bir ifadeye uyan paketleri filtreleyen komut satırı aracıdır; araç sayfası onu ağ sorunlarını izlemek ve ağ etkinliğini takip etmek için de kullanılabilen bir araç olarak tanımlar.

PaketArayüzKurulum komutu
wiresharkGrafiksudo apt install wireshark
tsharkKonsolsudo apt install tshark
tcpdumpKonsolsudo apt install tcpdump

Araç sayfalarına göre wireshark ve tcpdump, kali-linux-default metapackage'ının parçasıdır; yani standart masaüstü kurulumunda genellikle hazır gelir. Kali 2021.2 sürüm notlarına göre yeni bir Kali kurulumunda wireshark yetkisiz (root olmayan) kullanıcılar tarafından da çalıştırılabilir.

Başlamadan önce: hukuki ve gizlilik sınırları

  • Yalnızca size ait cihazlarda, size ait ağ arayüzünde yakalama yapın. Paylaşılan bir ağda başkalarının paketleri de arayüze ulaşabilir.
  • Yakalama dosyaları; ziyaret ettiğiniz alan adlarını, IP adreslerini ve şifrelenmemiş içerikleri barındırabilir. Bu dosyaları kişisel veri gibi koruyun, paylaşmadan önce gözden geçirin.
  • İş yerinde ya da okulda, ağ sahibinin yazılı izni olmadan yakalama yapmayın.
  • Türk Ceza Kanunu m.243/4, bilişim sistemleri arasındaki veri nakillerini teknik araçlarla hukuka aykırı olarak izlemeyi ayrıca suç olarak düzenler. Ayrıntı için yasal çerçeve yazısına bakın.

Adım 1: Kendi arayüzünüzü bulun

Adım 1: Kendi arayüzünüzü bulun

Önce makinenizdeki arayüzleri ve IP adreslerini görün. Kali'deki temel kullanım rehberinde geçen komut:

bash
ip a

Ardından tshark'ın yakalayabileceği arayüzleri listeleyin. -D seçeneği arayüz listesini yazdırıp çıkar:

bash
tshark -D

Çıktıda genellikle eth0 gibi kablolu arayüzünüz ve lo (loopback) görünür. Yardım çıktısına göre -i verilmezse varsayılan, loopback olmayan ilk arayüzdür. Bu yazıda örnek arayüz adı eth0; kendi çıktınızdaki adı kullanın.

Adım 2: Kısa ve sınırlı bir yakalama yapın

Yakalamayı süre ile sınırlamak hem dosyayı küçük tutar hem de gereksiz veri toplamanızı önler. -a duration:NUM belirtilen saniye sonunda yakalamayı durdurur, -w paketleri dosyaya yazar:

bash
sudo tshark -i eth0 -p -a duration:30 -w ~/kendi-trafigim.pcapng

Bu 30 saniye içinde, ikinci bir terminalde kendi isteklerinizi üretin. Kali temel kullanım rehberindeki komutlar bunun için uygundur:

bash
dig kali.org +short
curl -I https://www.kali.org

Yardım çıktısına göre -w varsayılan olarak pcapng biçiminde yazar. Klasik pcap biçimine ihtiyacınız varsa -F ile dosya türünü seçebilirsiniz; boş bir -F desteklenen türleri listeler:

bash
sudo tshark -i eth0 -p -a duration:30 -F pcap -w ~/kendi-trafigim.pcap

Grafik arayüzü tercih ederseniz wireshark -k -i eth0 komutu, yardım çıktısındaki -k seçeneği sayesinde yakalamayı hemen başlatır. Durdurduktan sonra dosyayı menüden kaydedebilirsiniz.

Yakalama öncesinde libpcap sözdizimiyle bir yakalama filtresi (-f) vermek de mümkündür. Örneğin yalnızca DNS trafiğini kaydetmek için -f "port 53" eklenebilir. Yakalama filtresi dosyaya neyin yazılacağını, görüntüleme filtresi ise kaydedilmiş paketlerden neyin gösterileceğini belirler.

Adım 3: Görüntüleme filtreleriyle analiz

Kayıt dosyasını -r ile okuyup -Y ile Wireshark görüntüleme filtresi uygulayabilirsiniz. Kendi DNS sorgularınızı görmek için:

bash
tshark -r ~/kendi-trafigim.pcapng -Y dns

Şifrelenmemiş HTTP trafiğini görmek için:

bash
tshark -r ~/kendi-trafigim.pcapng -Y http

HTTPS bağlantılarında içerik şifrelidir; görebileceğiniz kısım TLS el sıkışmasıdır. Tüm TLS paketleri ve yalnızca istemcinin gönderdiği Client Hello mesajları için:

bash
tshark -r ~/kendi-trafigim.pcapng -Y tls
tshark -r ~/kendi-trafigim.pcapng -Y "tls.handshake.type == 1"

Belirli alanları sütun olarak yazdırmak için -T fields ve -e birlikte kullanılır; tshark yardım çıktısında örnek alan olarak tcp.port verilir:

bash
tshark -r ~/kendi-trafigim.pcapng -Y tls -T fields -e ip.dst -e tcp.port

Yakalama dosyası hakkında özet bilgi (paket sayısı, süre, biçim) için wireshark-common paketindeki capinfos aracı kullanılabilir:

bash
capinfos ~/kendi-trafigim.pcapng

Kendi sunucunuzda tcpdump ile yakalama

Grafik arayüzü olmayan kendi sunucunuzda bir bağlantı sorununu incelerken tcpdump pratik bir seçenektir. Kali araç haritasındaki temel kalıp, -n ile ad çözümlemeyi kapatıp -w ile dosyaya yazar. Kendi sunucunuzda, yakalamayı paket sayısıyla (-c) ve ilgilendiğiniz porta sınırlayarak kullanın:

bash
sudo tcpdump -i eth0 -n -c 200 -w yakalama.pcap port 443

Dosyayı sunucudan kendi bilgisayarınıza aldıktan sonra tshark veya Wireshark ile açabilirsiniz:

bash
tshark -r yakalama.pcap

Sunucuya güvenli bağlantı ve dosya aktarımı için SSH ile sunucuya bağlanma rehberine, sunucunuzda hangi portların dinlemede olduğunu görmek için bilinen port numaraları yazısına bakabilirsiniz. Kali temel kullanım rehberindeki sudo ss -tulpn komutu dinleyen portları ve süreçleri gösterir.

Sık karşılaşılan sorunlar

Sık karşılaşılan sorunlar: Arayüz listesi boş veya izin hatası, Hiç DNS paketi görünmüyor, HTTPS içeriği okunmuyor, Dosya çok büyüdü
  • Arayüz listesi boş veya izin hatası: yakalama için yetki gerekebilir; örneklerde olduğu gibi sudo ile deneyin. Kali 2022.2 notlarında da sudo wireshark kullanımı örneklenmiştir.
  • Hiç DNS paketi görünmüyor: sorgularınız başka bir arayüzden (ör. VPN veya lo) çıkıyor olabilir; tshark -D çıktısındaki diğer arayüzleri deneyin.
  • HTTPS içeriği okunmuyor: bu beklenen durumdur; TLS içeriği şifrelidir, analizde el sıkışma ve bağlantı bilgisi kullanılır.
  • Dosya çok büyüdü: -a duration:, -a filesize: veya -c ile yakalamayı sınırlayın.

Sık Sorulan Sorular

Wireshark ile tshark arasındaki fark nedir?

İkisi aynı çözümleme motorunu kullanır. Wireshark grafik arayüzlüdür, tshark konsol sürümüdür; sunucularda ve betiklerde tshark daha pratiktir.

Kaydı pcap mi pcapng mi yapmalıyım?

Varsayılan pcapng'dir. Başka bir aracın klasik pcap istemesi durumunda -F pcap ile kaydedebilirsiniz.

HTTPS trafiğinin içeriğini görebilir miyim?

Normal koşullarda hayır; görebildiğiniz şey TLS el sıkışması ve bağlantı bilgileridir. Bu, kendi bağlantı sorunlarınızı teşhis etmek için çoğu zaman yeterlidir.

Aynı Wi-Fi ağındaki başka cihazların trafiğini incelemek yasal mı?

Sahiplerinin açık izni olmadan hayır. İzinsiz izleme TCK m.243/4 kapsamında suç oluşturabilir. Hukuki sorular için bir avukata danışın.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Kali Linux nedir · Nmap ile kendi sunucunuzu denetleme · Test laboratuvarı kurma · IP adresi nedir · IDS ve IPS nedir · Güvenlik duvarı nedir