babyshark

Wireshark أصبح سهلاً (في الطرفية الخاصة بك).

Babyshark هي واجهة مستخدم نصية لملفات PCAP تساعدك على الإجابة على:

• ما الذي يستخدم الشبكة؟
• ما الذي يبدو معطلاً/غريباً؟
• ما الذي يجب أن أختاره بعد ذلك؟

الحالة: v0.3.0 (ألفا).

• عرض ملفات .pcap / .pcapng دون اتصال يعمل بدون Wireshark
• الالتقاط المباشر يتطلب tshark (واجهة سطر أوامر Wireshark)

نظرة عامة

نظرة عامة هي لوحة المعلومات "ابدأ من هنا". تلخص الالتقاط وتقترح ما يجب فعله بعد ذلك.

• تعرض الإجماليات السريعة (الحزم/التدفقات)، ومزيج حركة المرور، وجداول "الأعلى" (المنافذ/المضيفين/التدفقات).
• في الوضع المباشر تظهر حالة الالتقاط (حزمة في الثانية + سطر حالة/خطأ أخير من tshark).

كيفية استخدامه:

• اضغط D للانتقال إلى النطاقات (أسماء المضيفين أولاً).
• اضغط W للانتقال إلى ما هو غريب؟ (كاشفات منسقة).
• اضغط F (أو f) للانتقال إلى التدفقات (خام).
• العديد من الصفوف هي نقاط دخول للتعمق: حدد صفاً واضغط Enter.

النطاقات

النطاقات تجمع حركة المرور حسب اسم المضيف بحيث يمكنك البدء من الأسماء بدلاً من الخماسيات (5‑tuples).

• تعرض ملخصات لكل نطاق (اتصالات/بايت + عدادات الاستعلام/الاستجابة/الفشل).
• لوحة التفاصيل تظهر "تلميحات IP". عندما لا تكون إجابات DNS مرئية (DoH/DoT/تخزين مؤقت)، يمكنها عرض عناوين IP المرصودة (من التدفقات) باستخدام تلميحات TLS SNI / HTTP Host.

كيفية استخدامه:

• حدد نطاقاً واضغط Enter للتعمق في التدفقات ذات الصلة.
• اضغط s لتغيير وضع الفرز.
• اضغط c لمسح مرشح مجموعة فرعية نشط.

ما هو غريب؟

ما هو غريب؟ هي مجموعة منظمة من الكاشفات تهدف إلى الإجابة عن "ما الذي يبدو معطلاً/بطيئاً؟" دون الحاجة إلى معرفة عميقة بـ Wireshark.

• يتضمن كل كاشف شرحاً مختصراً "لماذا يهم".
• الضغط على Enter على كاشف يقوم بتصفية التدفقات المتأثرة حتى تتمكن من التعمق في الحزم/الجداول.

كيفية استخدامه:

• حدد كاشفاً (يمكنك أيضاً الضغط على 1–9 للقفز إلى الاختيار) واضغط Enter.
• اضغط c لمسح مرشح مجموعة فرعية نشط.

توسيع

توسيع / شرح (?) يعطي سياقاً باللغة الإنجليزية المبسطة لما تنظر إليه.

• من التدفقات، اضغط Enter لفتح الحزم، ثم اضغط ? لفتح الشرح.
• الشرح بأفضل جهد: يحاول تصنيف التدفق وعرض "لماذا أعتقد ذلك" + "الخطوات التالية".

نصيحة: اضغط h للمساعدة و g للمسرد.

---

بداية سريعة

تحميل إصدار (موصى به)

احصل على ملف ثنائي من إصدارات GitHub:

• https://github.com/vignesh07/babyshark/releases

أو البناء من المصدر

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

الميزات

• دون اتصال: افتح .pcap / .pcapng وتصفح:
  • قائمة التدفقات ← قائمة الحزم ← تتبع الدفق
  • بحث في الدفق مع تمييز + تنقل باستخدام n / N
• مباشر: التقط وافحص حركة المرور في واجهة TUI:
  • عرض واجهات الالتقاط
  • التقاط مباشر مع مرشح عرض اختياري
  • اختياري: الكتابة إلى ملف أثناء الالتقاط
• تحليل لكل تدفق:
  • شارات الحالة الصحية — نقطة ملونة (أخضر/أصفر/أحمر) على كل تدفق بناءً على RST، والمصافحات غير المكتملة، وإعادة الإرسال
  • تسميات عدم التماثل — لاحقة DL/UL في قائمة التدفقات + تحميل-ثقيل/رفع-ثقيل/متوازن في التفاصيل (تراجع إلى A>B/B>A عندما يكون الجانب المحلي غامضاً)
  • توقيت TCP — زمن الذهاب والإياب للمصافحة، وقت تفكير الخادم، مدة نقل البيانات في لوحة التفاصيل
  • عرض إصدار TLS — يعرض الإصدار المتفاوض عليه من ServerHello عندما يكون مرئياً، ويضع علامة على الإصدارات المهملة (<= TLS 1.1)
• كاشفات الغرابة:
  • إعادة تعيين TCP، مصافحة غير مكتملة، فشل DNS، تلميحات إعادة إرسال/ترتيب خارجي، تدفقات عالية الكمون
  • TLS مهمل — يضع علامة على التدفقات التي تستخدم TLS 1.0 أو 1.1
  • مضيفون ثرثارون — يضع علامة على ≥10 تدفقات لنفس الوجهة خلال 60 ثانية
• عرض الخط الزمني (T):
  • Gantt — أشرطة أفقية ملونة حسب المرحلة (مصافحة / TLS / بيانات / إغلاق) مع تسميات أسماء المضيفين
  • Scatter — مؤامرة نقطية للاتجاه/إعادة الإرسال لكل حزمة
  • وسائل إيضاح الألوان، تنبيهات الأنماط، وسرد باللغة الإنجليزية المبسطة في التفاصيل
• ملاحظات/تصدير:
  • وضع إشارة مرجعية على التدفقات
  • تصدير تقرير Markdown (أحدث نسخة + نسخ مختومة بزمن)

---

التثبيت

الخيار أ: إصدار GitHub (موصى به)

تحميل ملف ثنائي مُجهز:

• https://github.com/vignesh07/babyshark/releases

الخيار ب: البناء من المصدر

المتطلبات الأساسية:

• أدوات Rust (مستقر)
• (الوضع المباشر فقط) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

الخيار ج: تثبيت cargo (صديق للمطورين)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

تثبيت tshark (مطلوب للوضع --live)

tshark هو واجهة سطر أوامر Wireshark الرسمية.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

التحقق:

tshark --version
tshark -D

ملاحظة حول الصلاحيات: الالتقاط المباشر قد يتطلب صلاحيات مرتفعة (sudo، صلاحيات dumpcap، أو أن تكون ضمن مجموعة wireshark). إذا طبع babyshark خطأ في الصلاحيات، اتبع الإرشادات التي يخرجها.

---

استكشاف الأخطاء وإصلاحها

babyshark تم تحديثه في git لكن أمري لا يزال يعمل بالسلوك القديم

إذا قمت بالتثبيت باستخدام cargo install، فأنت بحاجة لإعادة التثبيت بعد السحب:

cd babyshark/rust
cargo install --path . --force

فشل الالتقاط المباشر (صلاحيات)

حاول التشغيل باستخدام sudo:

sudo babyshark --live en0

إذا نجح ذلك، فربما تحتاج إلى تكوين صلاحيات الالتقاط (dumpcap، مجموعة wireshark، إلخ) على نظام التشغيل الخاص بك.

النطاقات تظهر ips=0 لكل شيء

يحدث هذا غالباً عندما لا تكون إجابات DNS مرئية (DoH/DoT أو مخزنة مؤقتاً). سيعرض Babyshark عناوين IP المرصودة (من التدفقات) باستخدام تلميحات TLS SNI / HTTP Host عندما تكون متاحة.

---

الاستخدام

ملف PCAP دون اتصال

babyshark --pcap ./capture.pcap

عرض الواجهات المباشرة

babyshark --list-ifaces

التقاط مباشر

babyshark --live en0

التقاط مباشر مع مرشح عرض Wireshark

babyshark --live en0 --dfilter "tcp.port==443"

التقاط مباشر والكتابة إلى ملف

babyshark --live en0 --write-pcap /tmp/live.pcapng

---

لقطات شاشة مثال (منقحة)

هذه أمثلة نصية فقط لما ستراه في واجهة TUI. عناوين IP/النطاقات تم إخفاؤها.

نظرة عامة (مباشر)

PCAP Viewer
babyshark   نظرة عامة  تدفقات:114 حزمة:4227  tcp:تشغيل udp:تشغيل q=—

نظرة عامة  (D نطاقات، W غريب، F تدفقات)
بالإنجليزية المبسطة
الحزم: 4227   التدفقات: 114   المتحدث الأعلى: 10.0.0.6 (2711.9KB)   المتحدث الأعلى (حزم): 10.0.0.6 (4046 حزمة)
مباشر: 88ث   ح/ث~14.6   تم إسقاط~0   | الأخير: الالتقاط على 'Wi‑Fi: en0'

ح/ث: ▁▁▂▂▃▄▅▆▆▇▆▅▄▃▂▂▁  (الحد الأقصى 1372/مجموعة)

أعلى تدفق (بايت): UDP 10.0.0.6:57315 ↔ 203.0.113.123:443 (1359.3KB)
أعلى تدفق (حزم):  UDP 10.0.0.6:57315 ↔ 203.0.113.123:443 (1284 حزمة)

ماذا يجب أن تنقر؟
• النطاقات (عرض بشري)  (اضغط D)
• الأشياء الغريبة (استكشاف الأخطاء)  (اضغط W)
• التدفقات (خام)  (اضغط F)
• الخط الزمني (Gantt + Scatter)  (اضغط T)
  ↳ تم الكشف: تدفقات عالية الكمون (تقريبي) (29 تدفق)

النطاقات

النطاقات  (Enter يعرض التدفقات، s فرز (اتصالات/بايت/فشل)، c مسح، Esc رجوع)

  1 wikipedia.com                      اتصالات=9  بايت=21.0KB  استعلام=9  استجابة=6  فشل=0  ips=2
❯ 2 chat.openai.com                    اتصالات=5  بايت=28.2KB  استعلام=5  استجابة=3  فشل=0  ips=2