babyshark

Wireshark أصبح سهلاً (في الطرفية الخاصة بك).

Babyshark هي واجهة مستخدم نصية لملفات PCAP تساعدك على الإجابة على:

• ما الذي يستخدم الشبكة؟
• ما الذي يبدو معطلاً/غريباً؟
• ما الذي يجب أن أختاره بعد ذلك؟

الحالة: v0.3.0 (ألفا).

• عرض ملفات .pcap / .pcapng دون اتصال يعمل بدون Wireshark
• الالتقاط المباشر يتطلب tshark (واجهة سطر أوامر Wireshark)

نظرة عامة

نظرة عامة هي لوحة المعلومات "ابدأ من هنا". تلخص الالتقاط وتقترح ما يجب فعله بعد ذلك.

• تعرض الإجماليات السريعة (الحزم/التدفقات)، ومزيج حركة المرور، وجداول "الأعلى" (المنافذ/المضيفين/التدفقات).
• في الوضع المباشر تظهر حالة الالتقاط (حزمة في الثانية + سطر حالة/خطأ أخير من tshark).

كيفية استخدامه:

• اضغط D للانتقال إلى النطاقات (أسماء المضيفين أولاً).
• اضغط W للانتقال إلى ما هو غريب؟ (كاشفات منسقة).
• اضغط F (أو f) للانتقال إلى التدفقات (خام).
• العديد من الصفوف هي نقاط دخول للتعمق: حدد صفاً واضغط Enter.

النطاقات

النطاقات تجمع حركة المرور حسب اسم المضيف بحيث يمكنك البدء من الأسماء بدلاً من الخماسيات (5‑tuples).

• تعرض ملخصات لكل نطاق (اتصالات/بايت + عدادات الاستعلام/الاستجابة/الفشل).
• لوحة التفاصيل تظهر "تلميحات IP". عندما لا تكون إجابات DNS مرئية (DoH/DoT/تخزين مؤقت)، يمكنها عرض عناوين IP المرصودة (من التدفقات) باستخدام تلميحات TLS SNI / HTTP Host.

كيفية استخدامه:

• حدد نطاقاً واضغط Enter للتعمق في التدفقات ذات الصلة.
• اضغط s لتغيير وضع الفرز.
• اضغط c لمسح مرشح مجموعة فرعية نشط.

ما هو غريب؟

ما هو غريب؟ هي مجموعة منظمة من الكاشفات تهدف إلى الإجابة عن "ما الذي يبدو معطلاً/بطيئاً؟" دون الحاجة إلى معرفة عميقة بـ Wireshark.

• يتضمن كل كاشف شرحاً مختصراً "لماذا يهم".
• الضغط على Enter على كاشف يقوم بتصفية التدفقات المتأثرة حتى تتمكن من التعمق في الحزم/الجداول.

كيفية استخدامه:

• حدد كاشفاً (يمكنك أيضاً الضغط على 1–9 للقفز إلى الاختيار) واضغط Enter.
• اضغط c لمسح مرشح مجموعة فرعية نشط.

توسيع

توسيع / شرح (?) يعطي سياقاً باللغة الإنجليزية المبسطة لما تنظر إليه.

• من التدفقات، اضغط Enter لفتح الحزم، ثم اضغط ? لفتح الشرح.
• الشرح بأفضل جهد: يحاول تصنيف التدفق وعرض "لماذا أعتقد ذلك" + "الخطوات التالية".

نصيحة: اضغط h للمساعدة و g للمسرد.

بداية سريعة

تحميل إصدار (موصى به)

احصل على ملف ثنائي من إصدارات GitHub:

• https://github.com/vignesh07/babyshark/releases

أو البناء من المصدر

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

الميزات

• دون اتصال: افتح .pcap / .pcapng وتصفح:
  • قائمة التدفقات ← قائمة الحزم ← تتبع الدفق
  • بحث في الدفق مع تمييز + تنقل باستخدام n / N
• مباشر: التقط وافحص حركة المرور في واجهة TUI:
  • عرض واجهات الالتقاط
  • التقاط مباشر مع مرشح عرض اختياري
  • اختياري: الكتابة إلى ملف أثناء الالتقاط
• تحليل لكل تدفق:
  • شارات الحالة الصحية — نقطة ملونة (أخضر/أصفر/أحمر) على كل تدفق بناءً على RST، والمصافحات غير المكتملة، وإعادة الإرسال
  • تسميات عدم التماثل — لاحقة DL/UL في قائمة التدفقات + تحميل-ثقيل/رفع-ثقيل/متوازن في التفاصيل (تراجع إلى A>B/B>A عندما يكون الجانب المحلي غامضاً)
  • توقيت TCP — زمن الذهاب والإياب للمصافحة، وقت تفكير الخادم، مدة نقل البيانات في لوحة التفاصيل
  • عرض إصدار TLS — يعرض الإصدار المتفاوض عليه من ServerHello عندما يكون مرئياً، ويضع علامة على الإصدارات المهملة (<= TLS 1.1)
• كاشفات الغرابة:
  • إعادة تعيين TCP، مصافحة غير مكتملة، فشل DNS، تلميحات إعادة إرسال/ترتيب خارجي، تدفقات عالية الكمون
  • TLS مهمل — يضع علامة على التدفقات التي تستخدم TLS 1.0 أو 1.1
  • مضيفون ثرثارون — يضع علامة على ≥10 تدفقات لنفس الوجهة خلال 60 ثانية
• عرض الخط الزمني (T):

التثبيت

الخيار أ: إصدار GitHub (موصى به)

تحميل ملف ثنائي مُجهز:

• https://github.com/vignesh07/babyshark/releases

الخيار ب: البناء من المصدر

المتطلبات الأساسية:

• أدوات Rust (مستقر)
• (الوضع المباشر فقط) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

الخيار ج: تثبيت cargo (صديق للمطورين)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

تثبيت tshark (مطلوب للوضع --live)

tshark هو واجهة سطر أوامر Wireshark الرسمية.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

التحقق:

tshark --version
tshark -D

ملاحظة حول الصلاحيات: الالتقاط المباشر قد يتطلب صلاحيات مرتفعة (sudo، صلاحيات dumpcap، أو أن تكون ضمن مجموعة wireshark). إذا طبع babyshark خطأ في الصلاحيات، اتبع الإرشادات التي يخرجها.

استكشاف الأخطاء وإصلاحها

babyshark تم تحديثه في git لكن أمري لا يزال يعمل بالسلوك القديم

إذا قمت بالتثبيت باستخدام cargo install، فأنت بحاجة لإعادة التثبيت بعد السحب:

cd babyshark/rust
cargo install --path . --force

فشل الالتقاط المباشر (صلاحيات)

حاول التشغيل باستخدام sudo:

sudo babyshark --live en0

إذا نجح ذلك، فربما تحتاج إلى تكوين صلاحيات الالتقاط (dumpcap، مجموعة wireshark، إلخ) على نظام التشغيل الخاص بك.

النطاقات تظهر ips=0 لكل شيء

يحدث هذا غالباً عندما لا تكون إجابات DNS مرئية (DoH/DoT أو مخزنة مؤقتاً). سيعرض Babyshark عناوين IP المرصودة (من التدفقات) باستخدام تلميحات TLS SNI / HTTP Host عندما تكون متاحة.

الاستخدام

ملف PCAP دون اتصال

babyshark --pcap ./capture.pcap

عرض الواجهات المباشرة

babyshark --list-ifaces

التقاط مباشر

babyshark --live en0

التقاط مباشر مع مرشح عرض Wireshark

babyshark --live en0 --dfilter "tcp.port==443"

التقاط مباشر والكتابة إلى ملف

babyshark --live en0 --write-pcap /tmp/live.pcapng

لقطات شاشة مثال (منقحة)

هذه أمثلة نصية فقط لما ستراه في واجهة TUI. عناوين IP/النطاقات تم إخفاؤها.

نظرة عامة (مباشر)

PCAP Viewer
babyshark   نظرة عامة  تدفقات:114 حزمة:4227  tcp:تشغيل udp:تشغيل q=—

نظرة عامة  (D نطاقات، W غريب، F تدفقات)
بالإنجليزية المبسطة
الحزم: 4227   التدفقات: 114   المتحدث الأعلى: 10.0.0.6 (2711.9KB)   المتحدث الأعلى (حزم): 10.0.0.6 (4046 حزمة)
مباشر: 88ث   ح/ث~14.6   تم إسقاط~0   | الأخير: الالتقاط على 'Wi‑Fi: en0'

ح/ث: ▁▁▂▂▃▄▅▆▆▇▆▅▄▃▂▂▁  (الحد الأقصى 1372/مجموعة)

أعلى تدفق (بايت): UDP 10.0.0.6:57315 ↔ 203.0.113.123:443 (1359.3KB)
أعلى تدفق (حزم):  UDP 10.0.0.6:57315 ↔ 203.0.113.123:443 (1284 حزمة)

ماذا يجب أن تنقر؟
• النطاقات (عرض بشري)  (اضغط D)
• الأشياء الغريبة (استكشاف الأخطاء)  (اضغط W)
• التدفقات (خام)  (اضغط F)
• الخط الزمني (Gantt + Scatter)  (اضغط T)
  ↳ تم الكشف: تدفقات عالية الكمون (تقريبي) (29 تدفق)

النطاقات

النطاقات  (Enter يعرض التدفقات، s فرز (اتصالات/بايت/فشل)، c مسح، Esc رجوع)

  1 wikipedia.com                      اتصالات=9  بايت=21.0KB  استعلام=9  استجابة=6  فشل=0  ips=2
❯ 2 chat.openai.com                    اتصالات=5  بايت=28.2KB  استعلام=5  استجابة=3  فشل=0  ips=2

تفاصيل النطاق
chat.openai.com

الاستعلامات=5 الاستجابات=3 الإخفاقات=0

عناوين IP المرصودة (من التدفقات):
10.0.0.6
198.51.100.42

نصيحة: Enter يطبق مرشح مجموعة فرعية (يفضل عناوين IP المرصودة؛ عناوين IP لـ DNS إذا كانت متاحة).

الأشياء الغريبة

الأشياء الغريبة  (Enter يعرض التدفقات، c مسح، Esc رجوع)

❯ 1 تدفقات عالية الكمون (تقريبي)                          تدفقات=42
  2 مضيفون ثرثارون (اتصالات متدفقة)                    تدفقات=28
  3 تلميحات موثوقية TCP (إعادة إرسال / خارج الترتيب)  تدفقات=16
  4 إعادة تعيين TCP (RST)                                    تدفقات=11
  5 إصدارات TLS مهملة (≤ 1.1)                     تدفقات=3
  6 المصافحة لم تكتمل                             تدفقات=0
  7 فشل DNS (NXDOMAIN/SERVFAIL)                    تدفقات=0

لماذا يهم
تدفقات عالية الكمون (تقريبي)

إذا استغرق التدفق وقتاً طويلاً وكان به الكثير من الحزم، فقد يشير ذلك إلى الكمون،
الازدحام، أو إعادة المحاولة. هذا استدلال تقريبي ويعتمد على الطوابع الزمنية الصحيحة.

الخط الزمني

الخط الزمني: Gantt  (Tab تبديل، ↑/↓ تحريك، Enter حزم، Esc رجوع)
█ مصافحة  █ TLS  █ بيانات  █ إغلاق  █ UDP
09:31:02        09:31:10        09:31:18        09:31:26

  google.com (HTTPS)   ● ██████████████████████████████████
  chat.openai.com (HT… ● ████████████████
  wikipedia.org (HTTPS) ●  ██████████████████████████
  DNS 10.0.0.1:53      ● ██
النمط: 3 اتصالات فتحت في وقت واحد — على الأرجح تحميل صفحة
النمط: بحثين DNS سبقا 3 اتصالات مشفرة بمضيفين متطابقين

التفاصيل
TCP 10.0.0.6:57608 ↔ 198.51.100.42:443

ما حدث

1. الاتصال بـ google.com (استغرقت مصافحة TCP 12.5ms)
2. التفاوض على التشفير (TLS 1.3)
3. نقل 28.2KB في 89ms (40 حزمة)
4. في الغالب تحميل (أرسل الخادم المزيد من البيانات)
5. تم إغلاق الاتصال بشكل نظيف (FIN)

الخط الزمني هو القصة البصرية للالتقاط الخاص بك. يظهر متى بدأ كل اتصال، وما هي المراحل التي مر بها (مصافحة، TLS، نقل البيانات، إغلاق)، وكيف تتداخل.

• Gantt — أشرطة أفقية ملونة حسب مرحلة TCP، مع تسميات أسماء المضيفين
• Scatter — نقاط لكل حزمة ملونة حسب الاتجاه (أنت←خادم، خادم←أنت، إعادة إرسال)
• الأنماط — تنبيهات تلقائية للفتحات المتزامنة، ارتباطات DNS→TLS اسم المضيف/الوقت، تحذيرات إعادة الإرسال
• السرد — "ما حدث" باللغة الإنجليزية المبسطة في لوحة التفاصيل (يستخدم صياغة تحميل/رفع فقط عندما يمكن استنتاج الجانب المحلي)

التدفقات

التدفقات [مباشر en0] (63.8 ح/ث)  (Enter حزم، / تصفية، t/u تبديل، b إشارة مرجعية، E تصدير، o نظرة عامة)  مجموعة فرعية=نطاق:chat.openai.com

● 1 UDP  510   10.0.0.6:59175 ↔ 203.0.113.123:443 تحميل
❯● 2 TCP   32   10.0.0.6:57608 ↔ 198.51.100.42:443 تحميل

التفاصيل
TCP 10.0.0.6:57608 ↔ 198.51.100.42:443

A→B: 14 حزمة / 1386 بايت
B→A: 26 حزمة / 26307 بايت
الاتجاه: تحميل-ثقيل

زمن الذهاب والإياب للمصافحة: 12.450ms
وقت تفكير الخادم:  3.200ms
مدة نقل البيانات: 89.100ms

إصدار TLS: TLS 1.2

الإشارات المرجعية: 1

اختصارات لوحة المفاتيح (TUI)

المستوى الأعلى:

• o نظرة عامة
• D نطاقات
• W أشياء غريبة
• F تدفقات
• T خط زمني (Gantt + Scatter)
• h مساعدة
• g مسرد
• q خروج

في العروض:

• Enter تعمق (نطاقات/غريب ← تدفقات، تدفقات ← حزم)
• Esc رجوع
• c مسح مرشح مجموعة فرعية نشط
• ? شرح التدفق المحدد
• x تجاهل تلميح الإعداد (نظرة عامة)

عرض التدفقات:

• ↑/↓ أو j/k تحريك
• / تصفية
• t / u تبديل TCP / UDP
• b إشارة مرجعية للتدفق
• E تصدير تقرير

عرض الخط الزمني:

• Tab / Shift-Tab التبديل بين Gantt / Scatter
• ↑/↓ أو j/k تحريك
• PgUp/PgDn صفحة
• Enter تعمق إلى الحزم

عرض الحزم:

• f تتبع الدفق

عرض الدفق:

• / بحث
• n / N التالي / السابق للمطابقة
• Tab / Shift-Tab تدوير اتجاه الدفق
• ↑/↓ تمرير

ملفات الإخراج

عند وضع إشارة مرجعية/تصدير، يكتب babyshark بجوار ملف PCAP في دليل مخفي:

• .babyshark/case.json — الإشارات المرجعية
• .babyshark/report.md — أحدث تقرير (يتم استبداله)
• .babyshark/report-YYYYMMDD-HHMMSS.md — تقارير بإصدارات

خريطة الطريق

• إعداد أجمل + وثائق (لقطات شاشة/gifs)
• تمرير مرشح التقاط --bpf للوضع المباشر
• تلميحات أفضل للبروتوكولات + تصنيف التدفق
• تحسين إعادة تجميع TCP (علامات الفجوات/إعادة الإرسال)
• تحسينات التغليف (سيتم تحديدها لاحقاً)

الترخيص

MIT © 2026 Vignesh Natarajan