Introdução
A equipe de eventos Grove precisa de um exemplo confiável de um visitante abrindo os detalhes de Night Garden Walk. Você usará tráfego HTTP realmente gravado para encontrar a visita correta, associar solicitações às respostas e preparar uma captura que outro analista possa reabrir.
Você deve saber abrir arquivos, digitar comandos simples no terminal e aplicar um filtro de exibição básico do Wireshark. Não é necessário programar. Use Desktop durante todo o laboratório; terminal, Wireshark e editor de texto compartilham este contêiner de treinamento. São gravações controladas, não tráfego de visitantes ao vivo. Este laboratório começa de forma independente, e o tempo estimado inclui leitura e erros comuns.
Isole uma visita completa
Nesta etapa, você encontrará a visita normal de Cedar e exportará sua conversa completa. Comece em Desktop. Abra Applications → Terminal Emulator pelo menu no canto inferior esquerdo. A captura preparada é um arquivo de entrada; mantenha-o intacto. Execute o comando a seguir para iniciar o Wireshark e abri-lo. O terminal continuará ocupado enquanto o Wireshark estiver em execução; prossiga na janela do Wireshark.
wireshark /home/labex/project/event-page/input/casebook.pcapng
Maximize a janela pelo botão na barra de título. O painel superior lista os pacotes, o central explica o pacote selecionado e o inferior mostra seus bytes. Este arquivo registra três visitas distintas a um serviço local de eventos. O endereço do serviço é 127.0.0.1; os endereços dos clientes são identidades locais de teste diferentes, não máquinas físicas.
| Visita | Cliente | Uso neste laboratório |
|---|---|---|
| cedar | 127.0.0.2 | Visita normal a entregar |
| willow | 127.0.0.3 | Outro visitante, fora desta entrega |
| birch | 127.0.0.4 | Outro visitante, fora desta entrega |
Clique na barra de filtro acima da lista, digite a expressão abaixo e pressione Enter. ip.addr corresponde a qualquer uma das extremidades, preservando os dois sentidos. == significa igualdade. Um filtro de exibição muda a visualização; não remove pacotes do arquivo de entrada.
ip.addr == 127.0.0.2
Abra Statistics → Conversations, selecione a aba TCP e ative Limit to display filter, se necessário. Uma conversa TCP inclui os dois endereços e as duas portas. Sua Duration inclui tempo ocioso, portanto não mede uma única resposta HTTP. Confirme que a conversa selecionada liga Cedar ao serviço de eventos e feche o diálogo.
Selecione uma solicitação cujo Info começa com GET. HTTP é o protocolo de solicitação e resposta da aplicação. Um URI identifica o recurso solicitado: aqui, o valor view seleciona list, details ou programme. Clique com o botão direito na solicitação e escolha Follow → TCP Stream. Leia os dois sentidos da conversa, rolando se necessário. Cedar solicita detalhes duas vezes na mesma conexão. Assim, o mesmo URI e fluxo não identificam uma solicitação de forma única.
Feche a janela Follow com Close. O Wireshark deixa um filtro de fluxo ativo. Mantenha-o: essa visualização inclui os segmentos TCP da conexão, não apenas os pacotes rotulados como HTTP. Se você escolheu outra visita por engano, substitua o filtro pela expressão de endereço de Cedar e repita Follow em uma solicitação de Cedar.
Escolha File → Export Specified Packets. Salve como /home/labex/project/event-page/output/evidence.pcapng, formato pcapng, intervalo Displayed e All packets dentro do conjunto exibido. Mantenha a entrada separada. Se usou um nome de saída incorreto, repita a exportação com o nome exigido. Não use Export Packet Dissections: essa opção produz resumos, não uma captura reutilizável.
Antes de salvar, confira a coluna Displayed e a opção All packets. O exemplo mostra 30 pacotes de Cedar.
Escolha File → Open e abra o novo evidence.pcapng. Aplique http na barra de filtro. Espere quatro solicitações GET e quatro respostas HTTP; examine o conteúdo além da quantidade. Uma resposta pode ocupar vários segmentos TCP. Exportar apenas as linhas rotuladas HTTP pode descartar segmentos anteriores, mesmo que a janela original mostrasse a resposta completa. Reabrir o arquivo exportado revela esse erro.
Se uma resposta estiver ausente ou não puder ser remontada, reabra a entrada original, restaure o filtro de endereço de Cedar e exporte a conexão completa novamente. Nunca preencha conteúdo de resposta ausente digitando texto em outro arquivo.
Associe solicitações às respostas reais
Nesta etapa, você distinguirá as duas solicitações de detalhes e registrará os quatro pares corretos. Comece em Desktop, com o Wireshark aberto. Use File → Open para voltar a /home/labex/project/event-page/input/casebook.pcapng. Todos os números de quadro da tabela a seguir se referem a essa entrada original, não à exportação renumerada.
Combine duas condições com &&, que exige correspondência de ambas. http seleciona mensagens HTTP decodificadas.
ip.addr == 127.0.0.2 && http
Selecione o primeiro GET. Expanda Hypertext Transfer Protocol no painel central pelo triângulo, ou selecione a linha e pressione Right Arrow. Leia o URI e o cabeçalho X-Request. Esta aplicação sintética atribui uma referência própria a cada solicitação, como cedar-01.
Encontre Response in frame. Clique com o botão direito nesse campo e escolha Go to Linked Packet. Na seção HTTP da resposta, Request in frame aponta para a solicitação original. Os dois vínculos importam: a última resposta de um fluxo não é automaticamente a resposta da primeira solicitação.
Expanda JavaScript Object Notation → Object → Member: title na resposta, rolando o painel central se necessário, ou use Follow → TCP Stream para ler a conversa completa da aplicação. O título é Night Garden Walk. JSON representa valores de aplicação identificados por rótulos; title é o rótulo e as palavras entre aspas depois dele são o valor. Leia o valor real, não apenas o código 200. Se a seção JSON estiver fora da área visível, role o painel central.
Repita para cada solicitação de Cedar, incluindo as duas de detalhes. Nesta gravação fixa, você encontrará:
| Quadro da solicitação na entrada | Resposta correspondente | Título do evento |
|---|---|---|
| 4 | 10 | Night Garden Walk |
| 12 | 16 | Night Garden Walk |
| 17 | 21 | Night Garden Walk |
| 23 | 27 | Night Garden Walk |
Para facilitar a comparação, clique com o botão direito em Response in frame de uma solicitação e escolha Apply as Column. Células vazias nas linhas de resposta são esperadas: elas têm o campo Request in frame no lugar. Essa coluna é uma ajuda, não uma configuração obrigatória do perfil. Use-a para verificar que as solicitações repetidas de detalhes apontam para respostas diferentes.
Leia o número de quadro original à esquerda e Response in frame ao lado. As duas solicitações de detalhes levam aos quadros 16 e 27.
Crie a pequena tabela de entrega no editor gráfico. Abra Applications → Terminal Emulator novamente para criar outro terminal em Desktop. mousepad abre o editor fornecido; o caminho absoluto indica o arquivo de saída.
mousepad /home/labex/project/event-page/output/pairs.csv
Digite este CSV completo. CSV usa vírgulas entre campos e um registro por linha. O cabeçalho nomeia as colunas. Esses títulos não contêm vírgulas, portanto não precisam de aspas adicionais.
request_frame,response_frame,title
4,10,Night Garden Walk
12,16,Night Garden Walk
17,21,Night Garden Walk
23,27,Night Garden Walk
Salve com Ctrl+S. Se aparecer um diálogo, confirme o diretório exato e o nome pairs.csv. Volte ao Wireshark pela janela ou pelo botão no painel inferior. Compare cada linha CSV com os vínculos reais de solicitação e resposta da entrada. A tabela documenta a investigação; não substitui seu evidence.pcapng completo.
Resumo
Você usou as conversas do Wireshark e Follow TCP Stream para isolar uma visita, reabriu uma captura completa exportada e associou solicitações HTTP repetidas às suas próprias respostas. A entrada original permanece intacta; os pacotes exportados e a pequena tabela de pares podem ser verificados independentemente.
