babyshark

Wireshark leicht gemacht (in Ihrem Terminal).

Babyshark ist eine PCAP-TUI, die Ihnen hilft, Folgendes zu beantworten:

• Was nutzt das Netzwerk?
• Was sieht defekt/komisch aus?
• Was sollte ich als Nächstes auswählen?

Status: v0.3.0 (Alpha).

• Offline-Ansicht von .pcap / .pcapng funktioniert ohne Wireshark
• Live-Mitschnitt erfordert tshark (Wireshark CLI)

Übersicht

Übersicht ist das „Start here“-Dashboard. Es fasst den Mitschnitt zusammen und schlägt vor, was als Nächstes zu tun ist.

• Zeigt schnelle Summen (Pakete/Flows), eine Verkehrsmischung und „Top“-Tabellen (Ports/Hosts/Flows).
• Im Live-Modus zeigt es den Mitschnittstatus (pps + eine letzte Status-/Fehlerzeile von tshark).

So verwenden Sie es:

• Drücken Sie D, um zu Domains (hostname-zuerst) zu springen.
• Drücken Sie W, um zu Was ist seltsam? (kuratierte Detektoren) zu springen.
• Drücken Sie F (oder f), um zu Flows (roh) zu springen.
• Viele Zeilen sind Einstiegspunkte für Drill-down: Wählen Sie eine Zeile aus und drücken Sie Enter.

Domains

Domains gruppiert Verkehr nach Hostname, sodass Sie von Namen statt 5‑Tupeln starten können.

• Zeigt Domain-Zusammenfassungen (Verbindungen/Bytes + Zähler für Anfrage/Antwort/Fehler).
• Der Detailbereich zeigt „IP-Hinweise“. Wenn DNS-Antworten nicht sichtbar sind (DoH/DoT/Caching), kann es dennoch Beobachtete IPs (aus Flows) mithilfe von TLS-SNI/HTTP-Host-Hinweisen anzeigen.

So verwenden Sie es:

• Wählen Sie eine Domain aus und drücken Sie Enter, um in die relevanten Flows zu bohren.
• Drücken Sie s, um die Sortierung zu ändern.
• Drücken Sie c, um einen aktiven Teilmengenfilter zu löschen.

Was ist seltsam?

Was ist seltsam? ist eine kuratierte Sammlung von Detektoren, die die Frage „Was sieht defekt/langsam aus?“ beantworten soll, ohne tiefgehende Wireshark-Kenntnisse zu erfordern.

• Jeder Detektor enthält eine kurze Erklärung, „warum es wichtig ist“.
• Drücken Sie Enter auf einem Detektor, um auf die betroffenen Flows zu filtern, sodass Sie in Pakete/Streams bohren können.

So verwenden Sie es:

• Wählen Sie einen Detektor aus (Sie können auch 1–9 drücken, um per Sprung auszuwählen) und drücken Sie Enter.
• Drücken Sie c, um einen aktiven Teilmengenfilter zu löschen.

Erweitern

Erweitern / Erklären (?) bietet einfache englische Erklärungen für das, was Sie gerade betrachten.

• Öffnen Sie von Flows aus mit Enter Packets, drücken Sie dann ?, um Explain zu öffnen.
• Explain ist best-effort: Es versucht, den Flow zu klassifizieren und zu zeigen, „warum ich das denke“ + „nächste Schritte“.

Tipp: Drücken Sie h für Hilfe und g für Glossar.

---

Schnellstart

Version herunterladen (empfohlen)

Holen Sie sich eine Binärdatei von GitHub Releases:

• https://github.com/vignesh07/babyshark/releases

Oder aus dem Quellcode bauen

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

Funktionen

• Offline: Öffnen Sie .pcap / .pcapng und durchsuchen Sie:
  • Flow-Liste → Paketliste → Stream folgen
  • Stream-Suche mit Hervorhebung + Navigation mit n / N
• Live: Mitschnitt und Inspektion von Verkehr in der TUI:
  • Mitschnittsschnittstellen auflisten
  • Live-Mitschnitt mit optionalem Anzeigefilter
  • Optionales Schreiben in eine Datei während des Mitschnitts
• Pro-Flow-Analyse:
  • Health-Badges — farbiger Punkt (grün/gelb/rot) auf jedem Flow basierend auf RST, unvollständigen Handshakes, Wiederholungen
  • Asymmetrie-Label — DL/UL-Suffix in der Flow-Liste + download-heavy/upload-heavy/balanced in den Details (fällt auf A>B/B>A zurück, wenn die lokale Seite mehrdeutig ist)
  • TCP-Timing — Handshake-RTT, Server-Denkzeit, Datenübertragungsdauer im Detailbereich
  • TLS-Versionsanzeige — zeigt die ausgehandelte Version aus ServerHello, wenn sichtbar, und kennzeichnet veraltete Versionen (≤ TLS 1.1)
• Seltsame Detektoren:
  • TCP-Reset, Handshake nicht abgeschlossen, DNS-Fehler, Hinweise auf Wiederholungen/OOO, Hochlatenz-Flows
  • Veraltetes TLS — kennzeichnet Flows, die TLS 1.0 oder 1.1 verwenden
  • Redselige Hosts — kennzeichnet ≥10 Flows zum selben Ziel innerhalb von 60 Sekunden
• Zeitachsenansicht (T):
  • Gantt — phasenfarbige horizontale Balken (Handshake / TLS / Daten / Schließen) mit Hostname-Labels
  • Scatter — paketweises Richtungs-/Wiederholungs-Punktdiagramm
  • Farblegenden, Musterhinweise und einfache englische Erzählung in den Details
• Notizen/Export:
  • Lesezeichen für Flows
  • Markdown-Bericht exportieren (neueste + zeitgestempelte Kopien)

---

Installation

Option A: GitHub Release (empfohlen)

Laden Sie eine vorgebaute Binärdatei herunter:

• https://github.com/vignesh07/babyshark/releases

Option B: Aus dem Quellcode bauen

Voraussetzungen:

• Rust-Toolchain (stable)
• (Nur Live-Modus) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Option C: cargo install (entwicklerfreundlich)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

tshark installieren (erforderlich für --live)

tshark ist die offizielle Wireshark CLI.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

Überprüfen:

tshark --version
tshark -D

Hinweis zu Berechtigungen: Live-Mitschnitt kann erhöhte Berechtigungen erfordern (sudo, dumpcap-Caps oder Mitglied der wireshark-Gruppe). Wenn babyshark eine Berechtigungsfehlermeldung ausgibt, befolgen Sie die ausgegebenen Hinweise.

---

Fehlerbehebung

babyshark in git aktualisiert, aber mein Befehl führt noch das alte Verhalten aus

Wenn Sie mit cargo install installiert haben, müssen Sie nach dem Pull neu installieren:

cd babyshark/rust
cargo install --path . --force

Live-Mitschnitt schlägt fehl (Berechtigungen)

Versuchen Sie es mit sudo auszuführen:

sudo babyshark --live en0

Wenn das funktioniert, müssen Sie wahrscheinlich die Mitschnittsberechtigungen (dumpcap, wireshark-Gruppe usw.) auf Ihrem Betriebssystem konfigurieren.

Domains zeigt ips=0 für alles

Dies passiert oft, wenn DNS-Antworten nicht sichtbar sind (DoH/DoT oder zwischengespeichert). Babyshark zeigt dennoch Beobachtete IPs (aus Flows) mithilfe von TLS-SNI/HTTP-Host-Hinweisen, wenn verfügbar.

---

Verwendung

Offline-PCAP

babyshark --pcap ./capture.pcap

Live-Schnittstellen auflisten

babyshark --list-ifaces

Live-Mitschnitt

babyshark --live en0

Live-Mitschnitt mit Wireshark-Anzeigefilter

babyshark --live en0 --dfilter "tcp.port==443"

Live-Mitschnitt und in Datei schreiben

babyshark --live en0 --write-pcap /tmp/live.pcapng

---

Beispielbildschirme (unkenntlich)

Dies sind reine Textbeispiele dessen, was Sie in der TUI sehen werden. IPs/Domains sind anonymisiert.