انتقل إلى المحتوى الرئيسي

المختبر 1.2: مراقبة حركة المرور الشبكية باستخدام Wireshark

أهداف التعلم​

في نهاية هذا المختبر، ستكون قادرًا على:

  • تثبيت وتكوين Wireshark
  • التقاط حركة المرور الشبكية في الوقت الفعلي
  • تصفية الحزم لعزل ما يهمك
  • فهم البروتوكولات الشبكية الأساسية (TCP، UDP، DNS، HTTP)
  • تحليل اتصال شبكي بسيط

المدة المقدرة​

45 دقيقة

المتطلبات المسبقة​

  • إكمال المختبر 1.1
  • حقوق المسؤول على جهاز الكمبيوتر الخاص بك
  • اتصال إنترنت نشط

السياق المهني​

Wireshark هو الأداة الأكثر استخدامًا في العالم لتحليل حركة المرور الشبكية من قبل محترفي تكنولوجيا المعلومات. يتيح لك:

  • تشخيص مشاكل الشبكة المعقدة
  • تحليل أداء الشبكة
  • فهم سلوك التطبيقات
  • اكتشاف الشذوذات الأمنية
  • التحقق من تكوين الشبكة

الجزء 1: تثبيت Wireshark​

الخطوة 1.1: التنزيل​

  1. قم بزيارة: https://www.wireshark.org/download.html
  2. قم بتنزيل إصدار Windows Installer (64-bit)
  3. قم بتشغيل ملف التثبيت

الخطوة 1.2: التثبيت​

الإعدادات الموصى بها للتثبيت:

  • قبول جميع الخيارات الافتراضية
  • مهم: قم بتثبيت Npcap عند الطلب (ضروري لالتقاط الحزم)
  • حدد الخيار "Install Npcap in WinPcap API-compatible mode" إذا طُلب منك ذلك

الخطوة 1.3: التشغيل الأول​

  1. قم بتشغيل Wireshark (كمسؤول إذا طُلب منك ذلك)
  2. يجب أن ترى قائمة بواجهات الشبكة الخاصة بك
  3. حدد الواجهة التي تحتوي على حركة مرور (رسم بياني مع قمم)

الأسئلة:

  1. كم عدد واجهات الشبكة المدرجة؟
  2. أي منها يظهر نشاطًا؟

الجزء 2: الالتقاط الأول​

الخطوة 2.1: بدء الالتقاط​

  1. انقر نقرًا مزدوجًا على واجهة الشبكة النشطة الخاصة بك (عادةً Ethernet أو Wi-Fi)
  2. يبدأ Wireshark فورًا في التقاط الحزم
  3. سترى الخطوط تمر بسرعة

لاحظ:

  • كل خط = حزمة شبكية
  • ألوان مختلفة = أنواع مختلفة من البروتوكولات
  • الأعمدة تظهر: Time، Source، Destination، Protocol، Info

الخطوة 2.2: توليد حركة مرور بسيطة​

احتفظ بـ Wireshark مفتوحًا وفي موجه الأوامر:

نفذ:

ping google.com -n 4

في Wireshark:

  • يجب أن ترى حزم ICMP تظهر
  • ابحث عن الخطوط التي تحتوي على "Echo (ping) request" و "Echo (ping) reply"

الخطوة 2.3: إيقاف الالتقاط​

انقر على الزر المربع الأحمر (إيقاف) في شريط الأدوات.

الأسئلة: 3. كم عدد الحزم التي قمت بالتقاطها في المجموع؟ 4. هل يمكنك تحديد 4 عمليات ping التي أرسلتها؟

الجزء 3: تصفية الحزم​

ربما قمت بالتقاط مئات أو آلاف الحزم. تسمح لك الفلاتر برؤية ما يهمك فقط.

الخطوة 3.1: فلتر ICMP (Ping)​

في شريط الفلتر (في الأعلى)، اكتب:

icmp

اضغط على Enter. الآن ترى فقط حزم ping!

لاحظ:

  • الطلبات (request) من جهاز الكمبيوتر الخاص بك إلى google.com
  • الردود (reply) من google.com إليك

الخطوة 3.2: فلتر حسب عنوان IP​

لرؤية كل حركة المرور إلى/من عنوان IP محدد:

ip.addr == 8.8.8.8

(استبدل بعنوان IP الخاص بـ google.com الذي وجدته في الالتقاط الخاص بك)

الخطوة 3.3: مسح فلتر​

انقر على X على يمين شريط الفلتر لرؤية جميع الحزم مرة أخرى.

الجزء 4: التقاط وتحليل DNS​

يقوم DNS بترجمة أسماء النطاقات (google.com) إلى عناوين IP.

الخطوة 4.1: التقاط DNS جديد​

  1. امسح الالتقاط الحالي: ملف → إغلاق
  2. ابدأ التقاطًا جديدًا
  3. قم بتطبيق الفلتر فورًا: dns

الخطوة 4.2: توليد حركة مرور DNS​

في موجه الأوامر:

نفذ:

nslookup facebook.com
nslookup youtube.com
nslookup wikipedia.org

الخطوة 4.3: تحليل الطلبات DNS​

في Wireshark، حدد حزمة DNS "Standard query"

في اللوحة السفلية، قم بتوسيع:

  • Domain Name System (query)
    • Queries
      • انظر إلى "Name" المطلوب

حدد الآن حزمة "Standard query response"

قم بتوسيع:

  • Domain Name System (response)
    • Answers
      • سترى عنوان IP الذي تم إرجاعه!

الأسئلة: 5. ما هو عنوان IP لـ facebook.com؟ 6. ما هو خادم DNS الذي يستعلمه جهاز الكمبيوتر الخاص بك؟ (انظر إلى عمود Destination) 7. كم من الوقت استغرقت طلب DNS؟ (انظر إلى عمود Time)

الجزء 5: التقاط HTTP (حركة مرور الويب)​

الخطوة 5.1: التكوين​

  1. التقاط جديد
  2. فلتر: http

الخطوة 5.2: توليد حركة مرور HTTP​

مهم: يجب عليك زيارة موقع في HTTP (غير آمن) لرؤية المحتوى.

قم بزيارة في متصفحك:

الخطوة 5.3: تحليل طلب HTTP​

حدد خط "GET" (طلب HTTP)

في اللوحة التفصيلية، قم بتوسيع:

  • Hypertext Transfer Protocol
    • سترى الطلب الكامل
    • الرؤوس (User-Agent، Host، إلخ)

الأسئلة: 8. ما هو User-Agent لمتصفحك؟ 9. ما هي المعلومات المرئية بوضوح في طلب HTTP؟ 10. لماذا HTTPS أكثر أمانًا؟ (تلميح: كرر مع https://google.com وانظر إلى الفرق)

الجزء 6: تحليل اتصال كامل​

الخطوة 6.1: Three-Way Handshake TCP​

يقوم بروتوكول TCP بإنشاء اتصال قبل نقل البيانات.

  1. التقاط جديد مع فلتر: tcp
  2. قم بزيارة: http://example.com
  3. أوقف الالتقاط

ابحث عن أول 3 حزم إلى الخادم (المنفذ 80):

  • الحزمة 1: [SYN] - يطلب جهاز الكمبيوتر الخاص بك اتصالًا
  • الحزمة 2: [SYN, ACK] - يقبل الخادم
  • الحزمة 3: [ACK] - يؤكد جهاز الكمبيوتر الخاص بك

الأسئلة: 11. هل تجد three-way handshake في الالتقاط الخاص بك؟ 12. ما هي أرقام التسلسل (Seq) والإقرار (Ack)؟

الخطوة 6.2: Follow TCP Stream​

لرؤية المحادثة كاملة:

  1. انقر بزر الماوس الأيمن على حزمة HTTP
  2. Follow → TCP Stream
  3. تفتح نافذة جديدة مع المحادثة كاملة بوضوح!

لاحظ:

  • باللون الأحمر: ما أرسلته
  • باللون الأزرق: ما رد به الخادم
  • كل محتوى HTML مرئي!

الجزء 7: تمارين عملية​

التمرين 7.1: مقارنة HTTP مقابل HTTPS​

المهمة:

  1. التقط حركة المرور إلى http://neverssl.com
  2. التقط حركة المرور إلى https://google.com
  3. حاول القيام بـ "Follow TCP Stream" على الاثنين

السؤال: 13. ماذا يمكنك أن ترى في HTTP لا يمكنك رؤيته في HTTPS؟

التمرين 7.2: تحديد البروتوكولات​

قم بزيارة مواقع مختلفة وحدد البروتوكولات المستخدمة:

المواقع للاختبار:

  • https://youtube.com (ابحث عن البروتوكولات QUIC أو HTTP/2)
  • قم بتشغيل تحديث Windows (بروتوكولات Microsoft)
  • افتح Discord أو Teams (WebRTC)

الأسئلة: 14. ما هي البروتوكولات الجديدة التي اكتشفتها؟ 15. كم عدد اتصالات TCP التي يتم إنشاؤها عندما تزور youtube.com؟

التمرين 7.3: تشخيص مشكلة​

قم بمحاكاة مشكلة شبكية:

  1. ابدأ التقاطًا
  2. Ping عنوان غير موجود: ping 1.2.3.4 -n 2
  3. حلل الالتقاط

الأسئلة: 16. هل ترى حزم ICMP "Destination unreachable"؟ 17. من يرسل هذه الرسائل؟ (انظر إلى عمود Source)

الجزء 8: إحصائيات الشبكة​

يوفر Wireshark أدوات تحليل قوية.

الخطوة 8.1: هرمية البروتوكولات​

القائمة: إحصائيات → هرمية البروتوكولات

هذا يظهر توزيع جميع البروتوكولات التي تم التقاطها.

الأسئلة: 18. ما هو البروتوكول الذي يمثل أكبر نسبة من حركة المرور الخاصة بك؟ 19. كم نسبة حركة المرور المشفرة (TLS)؟

الخطوة 8.2: المحادثات​

القائمة: إحصائيات → المحادثات

علامة التبويب IPv4: تظهر جميع المحادثات بين عناوين IP.

الأسئلة: 20. مع أي عنوان IP تبادلت أكبر كمية من البيانات؟ 21. كم عدد المحادثات المختلفة التي أنشأتها؟

الخطوة 8.3: النقاط النهائية​

القائمة: إحصائيات → النقاط النهائية

تسرد جميع عناوين IP التي تواصلت.

التسليمات​

يجب تسليم:

  1. ملف التقاط Wireshark (.pcapng) يحتوي على:

    • حزم ICMP (ping)
    • طلبات DNS
    • حركة مرور HTTP

  2. وثيقة الإجابات (Word/PDF) مع:

    • إجابات على 21 سؤالًا
    • 3 لقطات شاشة:
      • التقاط مع فلتر ICMP
      • التقاط طلب DNS مع التفاصيل
      • "Follow TCP Stream" لطلب HTTP

  3. تحليل مقارن HTTP مقابل HTTPS (صفحة واحدة):

    • ما يمكنك رؤيته في HTTP
    • ما هو مخفي في HTTPS
    • لماذا هو مهم للأمان

معايير التقييم​

المعيارالنقاط
ملف التقاط يحتوي على جميع أنواع الحركة المطلوبة25%
إجابات على الأسئلة (فهم البروتوكولات)35%
لقطات شاشة ذات صلة ومشروحة20%
تحليل مقارن HTTP/HTTPS15%
جودة الوثائق5%

فلاتر Wireshark المرجعية​

الفلترالوصفالمثال
icmpجميع حزم pingicmp
dnsجميع طلبات DNSdns
httpحركة مرور الويب غير المشفرةhttp
tcpجميع حزم TCPtcp
udpجميع حزم UDPudp
ip.addr == Xحركة المرور إلى/من عنوان IPip.addr == 8.8.8.8
tcp.port == Xحركة المرور على منفذ TCPtcp.port == 80
ip.src == Xحزم من عنوان IPip.src == 192.168.1.1
ip.dst == Xحزم إلى عنوان IPip.dst == 8.8.8.8
http.request.method == "GET"طلبات HTTP GEThttp.request.method == "GET"
dns.qry.name contains "google"طلبات DNS تحتوي على "google"dns.qry.name contains "google"

اختصارات لوحة المفاتيح المفيدة​

الاختصارالإجراء
Ctrl + Eبدء/إيقاف الالتقاط
Ctrl + Kخيارات الالتقاط
Ctrl + Wإغلاق الالتقاط
Ctrl + Fالبحث عن حزمة
Ctrl + Gالانتقال إلى الحزمة N
Ctrl + Rإعادة تحميل الملف

استكشاف الأخطاء وإصلاحها​

المشكلة: "Couldn't run /usr/bin/dumpcap"​

الحل: لا يمتلك Wireshark الأذونات اللازمة.

  • أعد تشغيل Wireshark كمسؤول (انقر بزر الماوس الأيمن → تشغيل كمسؤول)

المشكلة: لا تظهر أي واجهة​

الحل: لم يتم تثبيت Npcap بشكل صحيح.

  • أعد تثبيت Wireshark وتأكد من تثبيت Npcap

المشكلة: "The capture session could not be initiated"​

الحل:

  • قد تكون تطبيقات أخرى تستخدم واجهة الشبكة
  • أغلق VPN والأدوات الشبكية الأخرى
  • أعد تشغيل جهاز الكمبيوتر الخاص بك

المشكلة: الكثير من الحزم، من الصعب رؤية ما يهمني​

الحل:

  • استخدم الفلاتر!
  • أوقف التطبيقات التي تولد حركة مرور (التحديثات، المزامنة السحابية، إلخ)
  • التقط فقط أثناء توليد الحركة المطلوبة

الذهاب أبعد (اختياري)​

التحدي 1: تحديد تطبيق​

افتح تطبيقًا (Discord، Spotify، Steam) وحدد:

  • الخوادم التي يتواصل معها
  • البروتوكولات المستخدمة
  • كمية البيانات المتبادلة

التحدي 2: تحليل الأداء​

قم بقياس الوقت اللازم لـ:

  • حل DNS
  • إنشاء اتصال TCP
  • تحميل صفحة ويب كاملة

التحدي 3: بروتوكولات غريبة​

ابحث ووثق 3 بروتوكولات لم تكن تعرفها قبل هذا المختبر.

الموارد الإضافية​

الخطوات التالية​

في المختبر التالي، ستتعلم:

  • جرد نظام Windows الخاص بك بعمق
  • تحديد العمليات والخدمات الجارية
  • توثيق تكوين الأمان لنظامك

ملاحظات هامة​

الأخلاقيات والشرعية:

Wireshark هو أداة قوية يمكنها التقاط معلومات حساسة. تنطبق القواعد التالية:

  1. التقاط فقط:

    • حركة المرور الخاصة بك
    • على الشبكات التي تمتلكها أو تديرها
    • في بيئة المختبر المقدمة

  2. لا تلتقط أبدًا:

    • حركة مرور الآخرين بدون موافقتهم الصريحة
    • على الشبكات العامة (مقهى، مدرسة، شركة) بدون إذن كتابي
    • بهدف اعتراض كلمات المرور أو المعلومات السرية

  3. المسؤولية المهنية:

    • يتم تدريس هذه المهارات لأغراض التشخيص والتحليل المشروع
    • يمكن أن يؤدي الاستخدام السيئ إلى عواقب قانونية خطيرة
    • احترم الخصوصية والملكية الفكرية للآخرين

في حالة الشك، اطلب دائمًا الإذن قبل التقاط حركة المرور الشبكية.