Cos'è Wireshark?
Wireshark è il più potente e diffuso analizzatore di protocolli di rete al mondo. Permette di catturare e analizzare in tempo reale tutti i pacchetti che transitano su un'interfaccia di rete, visualizzandoli in modo dettagliato e stratificato per livello OSI.
È uno strumento fondamentale per network administrator, sviluppatori, studenti di reti e ethical hacker. È gratuito, open source e disponibile per Windows, macOS e Linux.
💡 Wireshark vede tutto il traffico che passa per la tua scheda di rete — credenziali in chiaro, cookie, messaggi non cifrati. Usalo solo su reti di cui sei proprietario o per cui hai autorizzazione esplicita.
Come Installare Wireshark
Su Windows
Scarica il programma da wireshark.org/download.html, esegui l'installer e installa anche il componente Npcap quando richiesto (necessario per la cattura dei pacchetti).
Su Kali Linux (già preinstallato)
Kali Linux include Wireshark di default. Se non fosse disponibile:
sudo apt install wireshark
Per eseguirlo senza privilegi root:
# Riavvia la sessione, poi:
wireshark
Come Usare Wireshark — Passo per Passo
All'avvio compare la lista delle interfacce di rete disponibili con un grafico del traffico in tempo reale. Seleziona l'interfaccia attiva (es. eth0 per cablata, wlan0 per Wi-Fi).
Doppio clic sull'interfaccia oppure clicca la pinna blu in alto a sinistra. Wireshark inizia a catturare tutti i pacchetti in transito — li vedrai scorrere in tempo reale.
Clicca il quadrato rosso per fermare. Ora puoi analizzare i pacchetti catturati con calma senza che la lista continui ad aggiornarsi.
La barra in cima all'elenco pacchetti serve per inserire i filtri di visualizzazione. Digita il filtro e premi Invio — Wireshark mostra solo i pacchetti che corrispondono.
Clicca su un pacchetto per vederne i dettagli nei pannelli inferiori: il pannello centrale mostra i layer OSI espandibili, quello in basso mostra i dati grezzi in esadecimale.
I Filtri Essenziali di Wireshark
I filtri di visualizzazione (Display Filters) e di cattura (Capture Filters) di Wireshark sono fondamentali per isolare il traffico rilevante. Consulta la guida rapida qui sotto per tutte le combinazioni per protocollo[cite: 2]:
| Filtro | Cosa mostra |
|---|---|
| http | Solo traffico HTTP[cite: 1] |
| https | Solo traffico HTTPS/TLS[cite: 1] |
| dns | Solo query DNS[cite: 1] |
| tcp | Solo pacchetti TCP[cite: 1] |
| udp | Solo pacchetti UDP[cite: 1] |
| icmp | Solo ping (ICMP)[cite: 1] |
| ip.addr == 192.168.1.1 | Traffico da/verso un IP specifico[cite: 1, 2] |
| ip.src == 192.168.1.1 | Traffico proveniente da un IP[cite: 1, 2] |
| ip.dst == 192.168.1.1 | Traffico diretto a un IP[cite: 1, 2] |
| tcp.port == 80 | Traffico sulla porta 80[cite: 1, 2] |
| tcp.port == 443 | Traffico HTTPS[cite: 1, 2] |
| http.request.method == "POST" | Solo richieste POST (form, login)[cite: 1] |
| !(arp or dns or icmp) | Esclude ARP, DNS e ping[cite: 1] |
| http contains "password" | Pacchetti HTTP che contengono la parola "password"[cite: 1] |
Analisi da Riga di Comando con tcpdump
Quando ci si trova su server headless o ambienti remoti privi di interfaccia grafica, tcpdump è il corrispettivo da riga di comando più potente per acquisire e leggere il traffico di rete. I file registrati con tcpdump in formato .pcap possono poi essere facilmente importati ed analizzati su Wireshark.
Esempi rapidi di comandi tcpdump
Ecco alcuni dei comandi più comuni per l'acquisizione e il filtraggio del traffico[cite: 3]:
- Catturare su un'interfaccia specifica:
sudo tcpdump -i eth0[cite: 3] - Salvare i pacchetti su file .pcap:
sudo tcpdump -i eth0 -w file.pcap[cite: 3] - Leggere un file .pcap salvato:
tcpdump -r file.pcap -nn[cite: 3] - Filtrare per IP sorgente e porta:
sudo tcpdump -i eth0 src host 192.168.1.10 and port 80[cite: 3] - Visualizzare il payload in esadecimale e ASCII:
sudo tcpdump -i eth0 -X[cite: 3]
Caso Pratico: Vedere le Credenziali HTTP in Chiaro
⚠️ Solo a scopo didattico su reti proprie. Intercettare credenziali su reti altrui senza autorizzazione è reato ai sensi dell'art. 617-quater del Codice Penale italiano.
Questo esercizio dimostra perché HTTP (senza S) è pericoloso. Su un server di test locale che usa HTTP:
- Avvia la cattura su Wireshark (o con
tcpdump -i eth0 -w login.pcap)[cite: 3] - Esegui il login su un sito HTTP di test
- Ferma la cattura e applica il filtro:
http.request.method == "POST"[cite: 1] - Cerca il pacchetto di login e segui il flusso TCP
- Username e password appariranno in chiaro nel payload
Questo è il motivo per cui HTTPS è fondamentale — il traffico è cifrato e non leggibile anche se catturato.
Wireshark e i Protocolli di Rete
Wireshark è anche uno strumento di studio eccellente per capire i protocolli di rete nella pratica. Puoi vedere in diretta:
- Three-way handshake TCP — i pacchetti SYN, SYN-ACK, ACK[cite: 2]
- Risoluzione DNS — query e risposta per ogni dominio visitato[cite: 1, 2]
- ARP — come i dispositivi si scoprono nella LAN[cite: 1, 2]
- DHCP — come il router assegna gli indirizzi IP[cite: 1, 2]
- TLS Handshake — il processo di negoziazione HTTPS[cite: 1, 2]
📖 Nel capitolo 10 del libro Ethical Hacker per Tutti trovi un'intera sezione dedicata all'analisi del traffico con Wireshark e tcpdump, con esempi pratici di cattura e analisi di attacchi reali.
FAQ su Wireshark e tcpdump
Wireshark è gratuito?
Sì, completamente gratuito e open source. Si scarica da wireshark.org[cite: 1].
Wireshark funziona su Windows?
Sì, Wireshark è disponibile per Windows, macOS e Linux[cite: 1]. Su Windows richiede l'installazione di Npcap per la cattura dei pacchetti[cite: 1].
Qual è la differenza tra Wireshark e tcpdump?
Wireshark offre un'interfaccia grafica completa ed avanzata per l'analisi dei dettagli dei pacchetti, mentre tcpdump è uno strumento leggero da riga di comando (CLI), ideale per server o macchine remote[cite: 3]. I due strumenti usano lo stesso formato di file (.pcap) e si integrano perfettamente[cite: 3].
Posso vedere il traffico HTTPS con Wireshark?
Puoi catturare i pacchetti TLS ma non decifrarne il contenuto senza la chiave privata del server[cite: 1]. Wireshark mostra il traffico cifrato come dati incomprensibili — è esattamente la funzione della crittografia[cite: 1].
Wireshark può catturare il traffico Wi-Fi?
Sì, selezionando l'interfaccia wireless[cite: 1]. Per catturare il traffico di altri dispositivi sulla stessa rete Wi-Fi servono privilegi di amministratore e, a volte, una scheda Wi-Fi che supporta la modalità monitor[cite: 1].