babyshark

Wireshark hecho fácil (en tu terminal).

Babyshark es una TUI de PCAP que te ayuda a responder:

• ¿Qué está usando la red?
• ¿Qué se ve roto/extraño?
• ¿Qué debería seleccionar a continuación?

Estado: v0.3.0 (alfa).

• Visualización offline de .pcap / .pcapng funciona sin Wireshark
• Captura en vivo requiere tshark (CLI de Wireshark)

Resumen

El resumen es el panel "empieza aquí". Resume la captura y sugiere qué hacer a continuación.

• Muestra totales rápidos (paquetes/flujos), una mezcla de tráfico y tablas "top" (puertos/hosts/flujos).
• En modo en vivo muestra el estado de la captura (pps + una última línea de estado/error de tshark).

Cómo usarlo:

• Presiona D para saltar a Dominios (primero nombres de host).
• Presiona W para saltar a ¿Qué es extraño? (detectores seleccionados).
• Presiona F (o f) para saltar a Flujos (en bruto).
• Muchas filas son puntos de entrada para profundizar: selecciona una fila y presiona Enter.

Dominios

Dominios agrupa el tráfico por nombre de host para que puedas empezar desde los nombres en lugar de 5‑tuplas.

• Muestra resúmenes por dominio (conexiones/bytes + contadores de consulta/respuesta/fallo).
• El panel de detalles muestra "pistas de IP". Cuando las respuestas DNS no son visibles (DoH/DoT/caché), aún puede mostrar IPs observadas (desde flujos) usando pistas de TLS SNI / HTTP Host.

Cómo usarlo:

• Selecciona un dominio y presiona Enter para profundizar en los Flujos relevantes.
• Presiona s para cambiar el modo de ordenación.
• Presiona c para limpiar un filtro de subconjunto activo.

¿Qué es extraño?

¿Qué es extraño? es un conjunto seleccionado de detectores diseñado para responder "¿qué se ve roto/lento?" sin necesidad de conocimientos profundos de Wireshark.

• Cada detector incluye un breve "por qué es importante".
• Al presionar Enter en un detector se filtran los flujos afectados para que puedas profundizar en paquetes/flujos.

Cómo usarlo:

• Selecciona un detector (también puedes presionar 1–9 para saltar-seleccionar) y presiona Enter.
• Presiona c para limpiar un filtro de subconjunto activo.

Expandir

Expandir / Explicar (?) proporciona contexto en lenguaje sencillo para lo que estás viendo.

• Desde Flujos, presiona Enter para abrir Paquetes, luego presiona ? para abrir Explicar.
• Explicar es un esfuerzo por hacerlo lo mejor posible: intenta clasificar el flujo y mostrar "por qué pienso eso" + "próximos pasos".

Consejo: presiona h para ayuda y g para glosario.

---

Inicio rápido

Descargar un lanzamiento (recomendado)

Obtén un binario de los lanzamientos de GitHub:

• https://github.com/vignesh07/babyshark/releases

O compilar desde el código fuente

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

Características

• Offline: abre .pcap / .pcapng y navega:
  • lista de flujos → lista de paquetes → seguir flujo
  • búsqueda en flujo con resaltado + navegación n / N
• En vivo: captura e inspecciona tráfico en la TUI:
  • lista de interfaces de captura
  • captura en vivo con filtro de visualización opcional
  • opcional escribir a archivo mientras se captura
• Análisis por flujo:
  • Insignias de salud — punto de color (verde/amarillo/rojo) en cada flujo basado en RST, handshakes incompletos, retransmisiones
  • Etiquetas de asimetría — sufijo DL/UL en la lista de flujos + descarga-pesada/subida-pesada/equilibrado en detalles (se usa A>B/B>A cuando el lado local es ambiguo)
  • Tiempos TCP — RTT del handshake, tiempo de pensamiento del servidor, duración de transferencia de datos en el panel de detalles
  • Visualización de versión TLS — muestra la versión negociada desde ServerHello cuando es visible, marca versiones obsoletas (<= TLS 1.1)
• Detectores extraños:
  • Resets TCP, handshake no completado, fallos DNS, pistas de retransmisión/OOO, flujos de alta latencia
  • TLS obsoleto — marca flujos que usan TLS 1.0 o 1.1
  • Hosts charlatanes — marca ≥10 flujos al mismo destino en 60 segundos
• Vista de línea de tiempo (T):
  • Gantt — barras horizontales coloreadas por fase (handshake / TLS / datos / cierre) con etiquetas de nombre de host
  • Dispersión — gráfico de puntos por paquete con dirección/retransmisión
  • Leyendas de color, anotaciones de patrones y narrativa en lenguaje sencillo en los detalles
• Notas/exportación:
  • marcar flujos como favoritos
  • exportar informe en markdown (última copia + copias con marca de tiempo)

---

Instalación

Opción A: Lanzamiento de GitHub (recomendado)

Descarga un binario precompilado:

• https://github.com/vignesh07/babyshark/releases

Opción B: compilar desde el código fuente

Requisitos previos:

• Rust toolchain (estable)
• (Solo modo en vivo) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Opción C: cargo install (amigable para desarrolladores)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

Instalar tshark (requerido para --live)

tshark es la CLI oficial de Wireshark.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

Verifica:

tshark --version
tshark -D

Nota sobre permisos: la captura en vivo puede requerir permisos elevados (sudo, capacidades de dumpcap, o estar en el grupo wireshark). Si babyshark imprime un error de permisos, sigue la guía que muestra.

---

Solución de problemas

babyshark se actualizó en git pero mi comando sigue ejecutando el comportamiento antiguo

Si instalaste con cargo install, necesitas reinstalar después de hacer pull:

cd babyshark/rust
cargo install --path . --force

La captura en vivo falla (permisos)

Intenta ejecutar con sudo:

sudo babyshark --live en0

Si eso funciona, probablemente necesitas configurar los permisos de captura (dumpcap, grupo wireshark, etc.) en tu sistema operativo.

Dominios muestra ips=0 para todo

Esto sucede a menudo cuando las respuestas DNS no son visibles (DoH/DoT o en caché). Babyshark aún mostrará IPs observadas (desde flujos) usando pistas de TLS SNI / HTTP Host cuando estén disponibles.

---

Uso

PCAP offline

babyshark --pcap ./capture.pcap

Listar interfaces en vivo

babyshark --list-ifaces

Captura en vivo

babyshark --live en0

Captura en vivo con filtro de visualización de Wireshark

babyshark --live en0 --dfilter "tcp.port==443"

Captura en vivo y escribir a archivo

babyshark --live en0 --write-pcap /tmp/live.pcapng

---

Ejemplos de pantalla (anonimizados)

Estos son ejemplos solo texto de lo que verás en la TUI. Las IPs/dominios están anonimizados.

Resumen (en vivo)

PCAP Viewer
babyshark   Resumen  flujos:114 paquetes:4227  tcp:on udp:on q=—