babyshark

Wireshark rendu facile (dans votre terminal).

Babyshark est une TUI PCAP qui vous aide à répondre :

• Qu'est-ce qui utilise le réseau ?
• Qu'est-ce qui semble cassé/bizarre ?
• Que devrais-je sélectionner ensuite ?

Statut : v0.3.0 (alpha).

• La visualisation hors ligne .pcap / .pcapng fonctionne sans Wireshark
• La capture en direct nécessite tshark (CLI Wireshark)

Aperçu

L’aperçu est le tableau de bord « commencez ici ». Il résume la capture et suggère quoi faire ensuite.

• Affiche des totaux rapides (paquets/flux), un mix de trafic et des tableaux « top » (ports/hôtes/flux).
• En mode direct, il montre le statut de la capture (pps + une dernière ligne de statut/erreur de tshark).

Comment l'utiliser :

• Appuyez sur D pour accéder à Domaines (noms d’hôtes en premier).
• Appuyez sur W pour accéder à Qu’est-ce qui est bizarre ? (détecteurs organisés).
• Appuyez sur F (ou f) pour accéder à Flux (bruts).
• De nombreuses lignes sont des points d’entrée pour approfondir : sélectionnez une ligne et appuyez sur Entrée.

Domaines

Domaines regroupe le trafic par nom d’hôte pour que vous puissiez commencer par les noms au lieu des 5-uplets.

• Affiche des cumuls par domaine (connexions/octets + compteurs de requêtes/réponses/échecs).
• Le volet de détails montre des « indices IP ». Lorsque les réponses DNS ne sont pas visibles (DoH/DoT/mise en cache), il peut tout de même montrer les IP observées (depuis les flux) grâce aux indices TLS SNI / HTTP Host.

Comment l'utiliser :

• Sélectionnez un domaine et appuyez sur Entrée pour explorer les Flux correspondants.
• Appuyez sur s pour changer le mode de tri.
• Appuyez sur c pour effacer un filtre de sous-ensemble actif.

Qu'est-ce qui est bizarre ?

Qu’est-ce qui est bizarre ? est un ensemble organisé de détecteurs conçu pour répondre à « qu’est-ce qui a l’air cassé/lent ? » sans nécessiter une connaissance approfondie de Wireshark.

• Chaque détecteur inclut un court « pourquoi c’est important ».
• Appuyer sur Entrée sur un détecteur filtre les flux affectés pour que vous puissiez explorer les paquets/flux.

Comment l'utiliser :

• Sélectionnez un détecteur (vous pouvez aussi appuyer sur 1–9 pour sélectionner rapidement) et appuyez sur Entrée.
• Appuyez sur c pour effacer un filtre de sous-ensemble actif.

Développer

Développer/Expliquer (?) donne un contexte en français courant sur ce que vous regardez.

• Depuis Flux, appuyez sur Entrée pour ouvrir Paquets, puis appuyez sur ? pour ouvrir Expliquer.
• Expliquer est au mieux : il essaie de classer le flux et d’afficher « pourquoi je pense cela » + « prochaines étapes ».

Astuce : appuyez sur h pour l’aide et sur g pour le glossaire.

---

Démarrage rapide

Télécharger une version (recommandé)

Téléchargez un binaire depuis les versions GitHub :

• https://github.com/vignesh07/babyshark/releases

Ou compiler depuis les sources

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

Fonctionnalités

• Hors ligne : ouvrez un .pcap / .pcapng et parcourez :
  • liste des flux → liste des paquets → suivi de flux
  • recherche dans le flux avec surbrillance + navigation n / N
• Direct : capturez et inspectez le trafic dans la TUI :
  • liste des interfaces de capture
  • capture en direct avec filtre d'affichage optionnel
  • écriture facultative dans un fichier pendant la capture
• Analyse par flux :
  • Badges de santé — point coloré (vert/jaune/rouge) sur chaque flux basé sur RST, poignées de main incomplètes, retransmissions
  • Étiquettes d’asymétrie — suffixe DL/UL dans la liste des flux + download-heavy/upload-heavy/balanced dans les détails (revient à A>B/B>A lorsque le côté local est ambigu)
  • Timing TCP — RTT de la poignée de main, temps de réflexion du serveur, durée du transfert de données dans le volet de détails
  • Affichage de la version TLS — montre la version négociée depuis ServerHello quand elle est visible, signale les versions obsolètes (<= TLS 1.1)
• Détecteurs bizarres :
  • Réinitialisations TCP, poignée de main non terminée, échecs DNS, indices de retransmission/OOO, flux à haute latence
  • TLS obsolète — signale les flux utilisant TLS 1.0 ou 1.1
  • Hôtes bavards — signale ≥10 flux vers la même destination en 60 secondes
• Vue chronologique (T) :
  • Gantt — barres horizontales colorées par phase (poignée de main / TLS / données / fermeture) avec étiquettes de nom d’hôte
  • Nuage de points — graphique direction/retransmission par paquet
  • Légendes de couleurs, annotations de motifs et récit en français courant dans les détails
• Notes/export :
  • marquer des flux
  • exporter un rapport Markdown (dernier + copies horodatées)

---

Installation

Option A : Version GitHub (recommandée)

Téléchargez un binaire précompilé :

• https://github.com/vignesh07/babyshark/releases

Option B : Compiler depuis les sources

Prérequis :

• Chaîne d’outils Rust (stable)
• (Mode direct uniquement) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Option C : cargo install (pour développeurs)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

Installer tshark (nécessaire pour --live)

tshark est l’interface en ligne de commande officielle de Wireshark.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu :

sudo apt-get update
sudo apt-get install -y tshark

Fedora :

sudo dnf install -y wireshark-cli

Arch :

sudo pacman -S wireshark-cli

Vérification :

tshark --version
tshark -D

Note sur les permissions : la capture en direct peut nécessiter des privilèges élevés (sudo, capacités dumpcap, ou appartenance au groupe wireshark). Si babyshark affiche une erreur de permission, suivez les conseils qu’il affiche.

---

Dépannage

babyshark mis à jour dans git mais ma commande exécute toujours l’ancien comportement

Si vous avez installé avec cargo install, vous devez réinstaller après avoir tiré les modifications :

cd babyshark/rust
cargo install --path . --force

La capture en direct échoue (permissions)

Essayez d’exécuter avec sudo :

sudo babyshark --live en0

Si cela fonctionne, vous devez probablement configurer les permissions de capture (dumpcap, groupe wireshark, etc.) sur votre système d’exploitation.

Domaines affiche ips=0 pour tout

Cela se produit souvent lorsque les réponses DNS ne sont pas visibles (DoH/DoT ou mise en cache). Babyshark affichera tout de même les IP observées (depuis les flux) en utilisant les indices TLS SNI / HTTP Host quand ils sont disponibles.

---

Utilisation

PCAP hors ligne

babyshark --pcap ./capture.pcap

Lister les interfaces en direct

babyshark --list-ifaces

Capture en direct

babyshark --live en0

Capture en direct avec filtre d’affichage Wireshark