Wireshark למיונים טכנולוגיים - ניתוח תעבורת רשת לגאמא סייבר 2026

19 באפריל 2026

4 דקות קריאה

מדריך Wireshark למיוני גאמא סייבר: ממשק, פילטרים, פרוטוקולים, וטיפים לבלאקבוקס. כל מה שצריך כדי לנתח תעבורת רשת במיונים.

Wireshark למיונים טכנולוגיים - ניתוח תעבורת רשת לגאמא סייבר

אם אתם מתכוננים לסדנת גאמא סייבר, יש כלי אחד שאתם חייבים להכיר: Wireshark. הוא צץ באופן קבוע בחלק הבלאקבוקס של הסדנה, וידע בסיסי בו יכול לעשות את ההבדל בין מי שתקוע לבין מי שמתקדם.

מה זה Wireshark?

Wireshark הוא כלי חינמי לניתוח תעבורת רשת (packet analyzer). הוא מאפשר לראות את כל הנתונים שעוברים ברשת, חבילה אחרי חבילה. חשבו על זה כמו מיקרוסקופ לאינטרנט.

בעולם האבטחה והסייבר, Wireshark הוא כלי יומיומי. אנשי אבטחה משתמשים בו כדי לזהות תעבורה חשודה, לנתח מתקפות, ולהבין איך פרוטוקולים עובדים.

למה Wireshark רלוונטי למיונים?

בסדנת גאמא סייבר יש חלק שנקרא בלאקבוקס. זה אתגר בסגנון חדר בריחה דיגיטלי, בלי הסברים ובלי חוקים מפורשים. אתם צריכים לגלות מה לעשות תוך כדי.

Wireshark הוא אחד הכלים שעולים בבלאקבוקס. יכול להיות שתצטרכו לפתוח קובץ PCAP (קובץ שמכיל תעבורת רשת מוקלטת), לנתח אותו, ולמצוא מידע חבוי בתוכו.

ממשק Wireshark - מה רואים

כשפותחים Wireshark, יש שלושה אזורים עיקריים:

רשימת חבילות (Packet List) למעלה: כל חבילה בשורה נפרדת עם זמן, כתובות מקור ויעד, פרוטוקול, וסיכום
פירוט חבילה (Packet Details) באמצע: פירוק שכבתי של החבילה הנבחרת
נתונים גולמיים (Packet Bytes) למטה: הבינארי/הקס של החבילה

פילטרים - הכלי הכי חשוב

ברשת פעילה עוברות אלפי חבילות בשנייה. בלי פילטר, אי אפשר למצוא כלום. הפילטרים הבסיסיים:

ip.addr == 192.168.1.1 כל התעבורה מ/אל כתובת מסוימת
tcp.port == 80 רק תעבורת HTTP
tcp.port == 443 רק תעבורת HTTPS
dns רק שאילתות DNS
http רק תעבורת HTTP
tcp.flags.syn == 1 רק חבילות SYN (התחלת חיבור)
frame contains "password" חיפוש מילה בתוך החבילות

אפשר לשלב פילטרים עם && (וגם) ו-|| (או).

Follow TCP Stream

אחת הפונקציות הכי שימושיות. לוחצים קליק ימני על חבילה ובוחרים Follow > TCP Stream. זה מציג את כל השיחה בין שני צדדים בפורמט קריא. מושלם למציאת מידע חבוי בתקשורת.

פרוטוקולים שכדאי להכיר

TCP: פרוטוקול העברה אמין, עם חיבור (3-way handshake: SYN, SYN-ACK, ACK)
UDP: פרוטוקול מהיר בלי חיבור, בלי אישור קבלה
HTTP: פרוטוקול אתרי אינטרנט (port 80)
HTTPS: HTTP מוצפן (port 443)
DNS: תרגום שמות דומיין לכתובות IP (port 53)
ARP: מיפוי כתובות IP לכתובות MAC ברשת מקומית

תרגילים מעשיים

תרגיל 1: ניתוח HTTP

פתחו Wireshark, גלשו לאתר HTTP (לא HTTPS), ומצאו את הבקשה בפילטר http. חפשו את ה-GET request ובדקו מה ה-User-Agent.

תרגיל 2: ניתוח DNS

שימו פילטר dns, וגלשו לאתר חדש. תראו שאילתת DNS query ותשובת DNS response. מה הכתובת IP שחזרה?

תרגיל 3: חיפוש מילה

פתחו קובץ PCAP (אפשר להוריד דוגמאות מ-wiki.wireshark.org) ושימו פילטר frame contains עם מילה שאתם מחפשים.

טיפים לבלאקבוקס

אם נתקלתם בקובץ .pcap, פתחו אותו ב-Wireshark מיד
תשתמשו ב-Follow TCP Stream כדי לראות שיחות מלאות
חפשו מילות מפתח: password, flag, key, secret
תסתכלו על פרוטוקולים לא רגילים, הם בדרך כלל מכילים רמזים
תבדקו את ה-DNS queries, לפעמים הרמז מוסתר בשם הדומיין
תעדו הכל בקובץ וורד, כמו שמבקשים

Wireshark הוא חלק מהכנה רחבה לסדנת גאמא סייבר. ב-8200 אקדמי מתרגלים בלאקבוקס עם כלים אמיתיים, כולל Wireshark, בדיוק כמו בסדנה האמיתית.

רוצים לתרגל עוד? כנסו לאתגרי ה-CTF שלנו ותתחילו להתנסות בניתוח תעבורת רשת.