Wireshark es una herramienta de analisis de protocolos de red (network protocol analyzer) que permite capturar y examinar los paquetes de datos que circulan en una red. Es indispensable para administradores de redes y expertos en seguridad.

a. Instalacion en Windows

1. Descarga Wireshark desde wireshark.org
2. Ejecuta el archivo .exe descargado
3. Durante la instalacion, marca la opcion para instalar Npcap — permite captura de paquetes en Windows
4. Completa la instalacion siguiendo el asistente
5. Abre Wireshark

b. Instalacion en Linux (Debian/Ubuntu)

sudo apt update
sudo apt install wireshark
# Durante la instalacion: responder "Si" para permitir captura sin root

sudo usermod -aG wireshark $USER
# Cerrar sesion y volver a iniciar para aplicar cambios

c. Instalacion en macOS

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
# Instalar Homebrew si no esta instalado

brew install wireshark

a. Interfaz de red

Al iniciar Wireshark veras una lista de interfaces de red disponibles. Selecciona la interfaz correcta — solo capturars trafico de esa red.

• Red WiFi → wlan0 (Linux) o Wi-Fi (Windows)
• Red cableada → eth0 (Linux) o Ethernet (Windows)

b. Filtros de Captura

Los filtros de captura se aplican antes de iniciar la captura — limitan que paquetes se capturan desde el inicio. Se escriben en el campo junto al boton de inicio.

c. Inicio y Detención de la Captura

• Iniciar: Selecciona interfaz → clic en icono de tiburon verde → o presiona Ctrl + E
• Detener: Clic en icono de cuadro rojo → o presiona Ctrl + E nuevamente

Vamos a capturar paquetes ICMP (ping) entre tu maquina y otro dispositivo en la red.

1. Inicia la captura en la interfaz correcta (p.ej. Wi-Fi)
2. Abre una terminal y envia un ping:

ping 192.168.1.1
# Envia paquetes ICMP Echo Request a 192.168.1.1

3. En Wireshark aplica un filtro de visualizacion para ver solo paquetes ICMP:

icmp

4. Detén la captura despues de unos segundos

Los filtros de visualizacion se escriben en la barra de filtros debajo de la barra de herramientas. No afectan la captura — solo muestran/ocultan paquetes ya capturados.

Filtrar por protocolo

http
icmp
tcp
dns
arp
ssl
telnet

Filtrar por direccion IP

ip.src == 192.168.1.10
ip.dst == 192.168.1.100
ip.addr == 192.168.1.10    # origen O destino

Filtrar por puerto

tcp.port == 80     # Puerto 80 (HTTP)
udp.port == 53     # Puerto 53 (DNS)
tcp.port == 443    # Puerto 443 (HTTPS)
tcp.port == 22     # Puerto 22 (SSH)
tcp.port == 25     # Puerto 25 (SMTP)

Filtrar por direcciones MAC

eth.src == 00:1A:2B:3C:4D:5E
eth.dst == 00:1F:2C:3B:4A:5D

Filtros combinados con operadores logicos

http and ip.src == 192.168.1.10
tcp and not arp
icmp or dns
tcp.flags.syn == 1 and tcp.flags.ack == 0    # Solo SYN (sin ACK)
http and tcp.port == 80 and ip.dst == 10.0.0.1

A diferencia de los filtros de visualizacion, los filtros de captura limitan los paquetes desde el inicio. Se aplican en el campo "Capture Filter" antes de hacer clic en Start.

Wireshark organiza la informacion en tres paneles:

a. Lista de Paquetes (panel superior)

• No.: Numero del paquete capturado
• Time: Marca de tiempo de captura
• Source: IP o MAC de origen
• Destination: IP o MAC de destino
• Protocol: Protocolo (TCP, UDP, ICMP, HTTP...)
• Length: Longitud del paquete en bytes
• Info: Informacion adicional del paquete

b. Detalles del Paquete (panel medio)

Representacion jerarquica por capas del modelo OSI:

• Ethernet Header: MACs de origen y destino (capa 2)
• IP Header: IPs de origen/destino, TTL (capa 3)
• Protocolo: TCP/UDP/ICMP/HTTP... (capa 4/7)

c. Datos en bruto — Hexadecimal (panel inferior)

El paquete en formato hexadecimal y ASCII, tal como fue transmitido. Util para analisis forense y depuracion avanzada de protocolos.

a. Analisis de Paquetes ICMP (Ping)

Al capturar trafico ICMP veras dos tipos de mensajes:

• Echo Request: Tipo 8 — mensaje enviado por el comando ping
• Echo Reply: Tipo 0 — respuesta del host destino

icmp
# Filtrar solo ICMP en visualizacion

b. Analisis de Trafico HTTP

En paquetes HTTP encontraras:

• HTTP Request: Metodo (GET, POST), URL, cabeceras HTTP (Host, User-Agent...)
• HTTP Response: Codigo de estado (200 OK, 404 Not Found), Content-Type, cuerpo

http
http.request.method == "GET"
http.response.code == 200

c. Analisis del TCP 3-Way Handshake

El proceso de establecimiento de conexion TCP de tres vias:

tcp.flags.syn == 1 and tcp.flags.ack == 0    # Solo paquetes SYN (inicio de conexion)
tcp.flags.syn == 1 and tcp.flags.ack == 1    # Solo SYN-ACK
tcp.flags.fin == 1                            # Cierre de conexion

a. Guardar captura completa (.pcap)

1. Ve a File > Save As
2. Selecciona el formato .pcap (estandar de capturas de red)
3. Haz clic en Guardar

b. Exportar paquetes especificos

1. Aplica un filtro de visualizacion para aislar los paquetes de interes
2. Ve a File > Export Specified Packets
3. Elige exportar todos los mostrados o solo los seleccionados
4. Guarda en formato .pcap

c. Exportar como Texto o CSV

1. Ve a File > Export Packet Dissections > As Plain Text o As CSV
2. Elige los detalles a incluir y guarda el archivo

1. Inicia la captura en Wireshark
2. Abre el navegador y visita http://example.com
3. Detén la captura
4. Aplica el filtro:

http

5. Selecciona un paquete GET para ver los detalles:

El analisis de flujos TCP permite ver todo el intercambio de paquetes entre dos endpoints durante el tiempo que dura una conexion. Util para identificar retrasos, retransmisiones o perdida de paquetes.

Como seguir un flujo TCP

1. Captura trafico TCP con el filtro tcp
2. Identifica un paquete de la conexion que deseas analizar (ej: un HTTP GET)
3. Clic derecho en el paquete → Follow > TCP Stream

Identificar retransmisiones y perdida de paquetes

En la columna "Info" busca:

• [TCP Retransmission] — paquete TCP retransmitido, indica congestion o problemas de red
• [TCP Dup ACK] — ACK duplicado, puede indicar perdida de paquetes

tcp.analysis.retransmission
tcp.analysis.duplicate_ack
tcp.analysis.lost_segment

a. Graficos de tiempo — IO Graph

Visualiza el volumen de trafico a lo largo del tiempo. Identifica picos o anomalias.

• Ve a Statistics > IO Graph
• Ajusta el intervalo de tiempo y aplica filtros para tipos especificos
• Ejemplo: filtro http para ver solo el trafico HTTP

b. Jerarquia de protocolos

• Ve a Statistics > Protocol Hierarchy
• Muestra todos los protocolos capturados de forma jerarquica (capa enlace → red → transporte)
• Para cada protocolo: numero de paquetes y porcentaje del trafico total

c. Conversaciones y Endpoints

• Statistics > Conversations — muestra todas las comunicaciones entre pares de IPs para Ethernet, IP, TCP, UDP
• Statistics > Endpoints — todas las IPs capturadas con estadisticas de paquetes enviados y recibidos

d. Diagrama de flujo

• Ve a Statistics > Flow Graph — secuencia visual del intercambio de paquetes

a. Deteccion de escaneos de puertos

Los escaneos de puertos generan muchos SYN sin ACK desde una misma IP hacia diferentes puertos.

tcp.flags.syn == 1 and tcp.flags.ack == 0
# Si ves muchos SYN desde la misma IP a puertos diferentes -> posible port scan

1. Si ves multiples SYN desde la misma IP a puertos distintos → indicio de escaneo
2. Selecciona un SYN → Statistics > Conversations para ver todas las IPs y puertos involucrados

b. Deteccion de ataques DoS

1. Ve a Statistics > IO Graphs y observa picos de trafico inusuales
2. Identifica las IPs responsables en Statistics > Endpoints

c. Trafico sensible no cifrado

1. Captura trafico en una sesion con transacciones sensibles (login, transferencias)
2. Filtra por http — si hay trafico HTTP (no HTTPS), las credenciales van en claro
3. Examina los detalles del paquete — podras ver usuario/contrasena en texto claro

http
# Si hay logins por HTTP (no HTTPS) -> credenciales visibles en claro

a. Configuracion en Linux

sudo iwconfig wlan0 mode monitor
# o con airmon-ng:
sudo airmon-ng start wlan0

En Windows, Wireshark usa el controlador Npcap para habilitar el modo monitor en ciertas tarjetas de red.

b. Filtros para redes inalambricas

wlan.fc.type_subtype == 0x00 or wlan.fc.type_subtype == 0x01
# Trafico de gestion de Wi-Fi (asociacion, desasociacion)
 
wlan.fc.type == 0x02
# Trafico de datos entre dispositivos Wi-Fi

a. Lua Scripts

Wireshark soporta scripts Lua para crear analizadores de protocolo personalizados o filtros. Cargalos desde Edit > Preferences > Protocols > Lua.

b. Herramientas complementarias

# TShark — equivalente CLI de Wireshark
tshark -i eth0 -w captura.pcap           # Capturar en eth0
tshark -r captura.pcap                    # Leer un .pcap
tshark -r captura.pcap -Y "http"          # Filtrar por protocolo
 
# tcpdump — captura basica
tcpdump -i eth0 -w captura.pcap           # Capturar y guardar
tcpdump -i eth0 port 80                   # Solo puerto 80
tcpdump -i eth0 host 192.168.1.10         # Solo una IP

1. Inicia Wireshark y carga la captura de trafico
2. Aplica el filtro para mostrar solo paquetes SYN sin ACK:

tcp.flags.syn == 1 and tcp.flags.ack == 0

3. Si ves multiples SYN desde la misma IP a puertos diferentes → fuerte indicacion de port scan
4. Selecciona un SYN → Statistics > Conversations para ver todas las IPs y puertos involucrados en el escaneo

SMTP es un protocolo orientado a linea donde se intercambian mensajes entre servidor (rojo) y cliente (azul). Cada comando termina con CRLF (retorno de carro + nueva linea).

Flujo de una transaccion SMTP

Filtros Wireshark para SMTP

smtp
# Ver todo el trafico SMTP
 
smtp.command.verb == "EHLO"
# Ver solo comandos EHLO
 
smtp.response.code == 250
# Ver respuestas 250 OK del servidor
 
# Seguir el flujo completo:
# Clic derecho en paquete SMTP -> Follow -> TCP Stream

Diferencia HELO vs EHLO

• HELO: Saludo basico de SMTP clasico
• EHLO: Extended HELLO — el servidor responde con capacidades adicionales: PIPELINING, SIZE, HELP, ENHANCEDSTATUSCODES

HTTP es un protocolo sin estado orientado a linea. Una peticion HTTP comienza con una Start Line que incluye metodo, URL y version HTTP, y termina con CRLF.

Estructura de una peticion HTTP

Filtros Wireshark para HTTP

http
# Todo el trafico HTTP
 
http.request.method == "GET"
http.request.method == "POST"
 
http.response.code == 200    # OK
http.response.code == 404    # Not Found
http.response.code == 302    # Redirect
 
http.host == "example.com"   # Filtrar por dominio
 
# Ver credenciales en HTTP no cifrado (peligroso):
http.request.method == "POST" and http contains "password"

1. Ejecuta chmod u+s /usr/bin/dumpcap para permisos (laboratorio)
2. Selecciona la interfaz de red en Wireshark
3. Configura la captura para 10 paquetes, sin modo promiscuo
4. Abre una terminal y ejecuta ping

$ ping 192.168.1.1

Una vez capturados los 10 paquetes, detén el ping con Ctrl-C y analiza los paquetes ICMP. Responde:

• Datos del paquete: numero, bytes de longitud, protocolos contenidos
• Ethernet: donde se identifica el protocolo IP encapsulado
• IP: longitud, origen, destino (formato), tipo de protocolo (codigo)
• ICMP: que es, codigo tipo para Echo Request (8) y Echo Reply (0)
• Numero de secuencia: comparar Request vs Reply

1. Activa el modo promiscuo y sin limite de paquetes
2. Inicia captura → ejecuta ping → abre el navegador y visita varias URLs
3. Detén la captura
4. Ve a Statistics > Protocol Hierarchy y anota:

• ARP: ______ paquetes
• IP: ______ paquetes
• TCP: ______ paquetes
• UDP: ______ paquetes

icmp
# Filtrar y ver solo ICMP
 
tcp
# Filtrar y ver solo TCP (incluye paquetes en negro = errores)

$ ping -c 4 www.google.com

dns
# Ver peticiones y respuestas DNS
 
udp.port == 53
# Puerto DNS (UDP 53)

• Localiza el servidor DNS en la primera peticion
• Identifica la Query (resolucion nombre → IP) y la respuesta inversa (IP → nombre)
• Ve a Statistics > Conversations y Statistics > Flow Graph
• Repite el ping con la IP directa — ¿se generan consultas DNS? (No)

host 192.168.1.X and not arp
# Filtrar por IP del host objetivo excluyendo ARP

• Conectate via telnet o ssh a otro equipo de la red
• Analiza los puertos en la capa de transporte (telnet=23, ssh=22)
• Observa el grafico de flujo en Statistics > Flow Graph

port 80
# Filtro predefinido "TCP or UDP port 80 (HTTP)"

• Visita http://www.google.com o similar con el filtro activo
• Localiza el comando GET / HTTP 1.0 en los datos HTTP
• Localiza el texto HTML de la respuesta del servidor
• Sigue el flujo: Analyze > Follow TCP Stream

Tareas — Analisis de Capturas Reales

telnet
# Filtro de visualizacion para ver solo trafico Telnet

Para analizar la sesion: clic derecho en un paquete Telnet → Follow > TCP Stream