babyshark

Wireshark को आपके टर्मिनल में आसान बनाया गया।

Babyshark एक PCAP TUI है जो आपको इन प्रश्नों के उत्तर देने में मदद करता है:

• नेटवर्क का उपयोग कौन कर रहा है?
• क्या टूटा/अजीब लग रहा है?
• मुझे आगे क्या चुनना चाहिए?

स्थिति: v0.3.0 (alpha).

• ऑफ़लाइन .pcap / .pcapng देखना Wireshark के बिना काम करता है
• लाइव कैप्चर के लिए tshark (Wireshark CLI) आवश्यक है

Overview

Overview 'यहाँ से शुरू करें' डैशबोर्ड है। यह कैप्चर का सारांश देता है और सुझाव देता है कि आगे क्या करना है।

• त्वरित कुल (पैकेट/फ्लो), ट्रैफ़िक मिश्रण, और 'शीर्ष' तालिकाएँ (पोर्ट/होस्ट/फ्लो) दिखाता है।
• लाइव मोड में यह कैप्चर स्थिति (pps + tshark से अंतिम स्थिति/त्रुटि पंक्ति) दिखाता है।

इसका उपयोग कैसे करें:

• डोमेन पर जाने के लिए D दबाएँ (होस्टनेम पहले)।
• क्या अजीब है? पर जाने के लिए W दबाएँ (क्यूरेटेड डिटेक्टर)।
• फ्लो (रॉ) पर जाने के लिए F (या f) दबाएँ।
• कई पंक्तियाँ ड्रिल-डाउन प्रवेश बिंदु हैं: एक पंक्ति चुनें और Enter दबाएँ।

Domains

डोमेन ट्रैफ़िक को होस्टनेम द्वारा समूहित करता है ताकि आप 5-टुपल के बजाय नामों से शुरू कर सकें।

• प्रति-डोमेन रोलअप (कनेक्शन/बाइट्स + क्वेरी/प्रतिक्रिया/विफलता-शैली काउंटर) दिखाता है।
• विवरण फलक 'IP संकेत' दिखाता है। जब DNS उत्तर दिखाई नहीं देते (DoH/DoT/कैशिंग), तब भी यह TLS SNI/HTTP होस्ट संकेतों का उपयोग करके प्रेक्षित IP (फ्लो से) दिखा सकता है।

इसका उपयोग कैसे करें:

• एक डोमेन चुनें और संबंधित फ्लो में जाने के लिए Enter दबाएँ।
• सॉर्ट मोड बदलने के लिए s दबाएँ।
• सक्रिय उपसमुच्चय फ़िल्टर साफ़ करने के लिए c दबाएँ।

What's weird?

क्या अजीब है? डिटेक्टरों का एक क्यूरेटेड सेट है जो गहन Wireshark ज्ञान के बिना 'क्या टूटा/धीमा लगता है?' का उत्तर देने के लिए है।

• प्रत्येक डिटेक्टर में एक संक्षिप्त 'यह क्यों मायने रखता है' शामिल है।
• डिटेक्टर पर Enter दबाने से प्रभावित फ्लो पर फ़िल्टर हो जाता है ताकि आप पैकेट/स्ट्रीम में जा सकें।

इसका उपयोग कैसे करें:

• एक डिटेक्टर चुनें (आप 1–9 दबाकर भी चुन सकते हैं) और Enter दबाएँ।
• सक्रिय उपसमुच्चय फ़िल्टर साफ़ करने के लिए c दबाएँ।

Expand

Expand / Explain (?) आप जो देख रहे हैं उसके लिए सरल अंग्रेजी संदर्भ देता है।

• फ्लो से, पैकेट खोलने के लिए Enter दबाएँ, फिर Explain खोलने के लिए ? दबाएँ।
• Explain सर्वोत्तम प्रयास है: यह फ्लो को वर्गीकृत करने का प्रयास करता है और 'मुझे ऐसा क्यों लगता है' + 'अगले कदम' दिखाता है।

टिप: सहायता के लिए h और शब्दावली के लिए g दबाएँ।

Quickstart

Download a release (recommended)

GitHub Releases से बाइनरी लें:

• https://github.com/vignesh07/babyshark/releases

Or build from source

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Features

• Offline: open .pcap / .pcapng and browse:
  • flows list → packets list → follow stream
  • stream search with highlighting + n / N navigation
• Live: capture and inspect traffic in the TUI:
  • list capture interfaces
  • live capture with optional display filter
  • optional write-to-file while capturing
• Per-flow analysis:
  • Health badges — colored dot (green/yellow/red) on each flow based on RST, incomplete handshakes, retransmissions
  • Asymmetry labels — DL/UL suffix in flow list + download-heavy/upload-heavy/balanced in details (falls back to A>B/B>A when local side is ambiguous)
  • TCP timing — handshake RTT, server think time, data transfer duration in the details pane
  • TLS version display — shows negotiated version from ServerHello when visible, flags deprecated versions (<= TLS 1.1)
• Weird detectors:
  • TCP resets, handshake-not-completed, DNS failures, retransmit/OOO hints, high-latency flows
  • Deprecated TLS — flags flows using TLS 1.0 or 1.1
  • Chatty hosts — flags ≥10 flows to the same destination within 60 seconds
• Timeline view (T):

Install

Option A: GitHub Release (recommended)

पूर्व-निर्मित बाइनरी डाउनलोड करें:

• https://github.com/vignesh07/babyshark/releases

Option B: build from source

पूर्वापेक्षाएँ:

• Rust टूलचेन (स्टेबल)
• (केवल लाइव मोड) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Option C: cargo install (dev-friendly)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

Install tshark (required for --live)

tshark आधिकारिक Wireshark CLI है।

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

सत्यापित करें:

tshark --version
tshark -D

अनुमति नोट: लाइव कैप्चर के लिए उन्नत अनुमति (sudo, dumpcap कैप, या wireshark समूह में होना) की आवश्यकता हो सकती है। यदि babyshark अनुमति त्रुटि प्रिंट करता है, तो उसके द्वारा आउटपुट किए गए मार्गदर्शन का पालन करें।

Troubleshooting

babyshark updated in git but my command still runs old behavior

यदि आपने cargo install के साथ इंस्टॉल किया है, तो पुल करने के बाद पुनः इंस्टॉल करने की आवश्यकता है:

cd babyshark/rust
cargo install --path . --force

Live capture fails (permissions)

sudo के साथ चलाने का प्रयास करें:

sudo babyshark --live en0

यदि यह काम करता है, तो संभवतः आपको अपने OS पर कैप्चर अनुमतियाँ (dumpcap, wireshark समूह, आदि) कॉन्फ़िगर करने की आवश्यकता है।

Domains shows ips=0 for everything

यह अक्सर तब होता है जब DNS उत्तर दिखाई नहीं देते (DoH/DoT या कैश्ड)। Babyshark उपलब्ध होने पर TLS SNI / HTTP होस्ट संकेतों का उपयोग करके प्रेक्षित IP (फ्लो से) दिखाएगा।

Usage

Offline PCAP

babyshark --pcap ./capture.pcap

List live interfaces

babyshark --list-ifaces

Live capture

babyshark --live en0

Live capture with Wireshark display filter

babyshark --live en0 --dfilter "tcp.port==443"

Live capture and write to file

babyshark --live en0 --write-pcap /tmp/live.pcapng

Example screens (sanitized)

ये केवल-पाठ उदाहरण हैं जो आप TUI में देखेंगे। IP/डोमेन अज्ञात किए गए हैं।

Overview (live)

PCAP Viewer
babyshark   Overview  flows:114 packets:4227  tcp:on udp:on q=—

Overview  (D domains, W weird, F flows)
In plain English
Packets: 4227   Flows: 114   Top talker: 10.0.0.6 (2711.9KB)   Top talker (pkts): 10.0.0.6 (4046 pkts)
Live: 88s   pps~14.6   dropped~0   | last: Capturing on 'Wi‑Fi: en0'

pps: ▁▁▂▂▃▄▅▆▆▇▆▅▄▃▂▂▁  (max 1372/bucket)

Top flow (bytes): UDP 10.0.0.6:57315 ↔ 203.0.113.123:443 (1359.3KB)
Top flow (pkts):  UDP 10.0.0.6:57315 ↔ 203.0.113.123:443 (1284 pkts)

What should I click?
• Domains (human view)  (press D)
• Weird stuff (troubleshoot)  (press W)
• Flows (raw)  (press F)
• Timeline (Gantt + Scatter)  (press T)
  ↳ Detected: High-latency flows (rough) (29 flows)

Domains

Domains  (Enter show flows, s sort (conn/bytes/fail), c clear, Esc back)

  1 wikipedia.com                      conn=9  bytes=21.0KB  q=9  r=6  fail=0  ips=2
❯ 2 chat.openai.com                    conn=5  bytes=28.2KB  q=5  r=3  fail=0  ips=2

Domain details
chat.openai.com

queries=5 responses=3 failures=0

Observed IPs (from flows):
10.0.0.6
198.51.100.42

Tip: Enter applies a subset filter (prefers observed IPs; DNS IPs if available).

Weird stuff

Weird stuff  (Enter show flows, c clear, Esc back)

❯ 1 High-latency flows (rough)                          flows=42
  2 Chatty hosts (burst connections)                    flows=28
  3 TCP reliability hints (retransmits / out-of-order)  flows=16
  4 TCP resets (RST)                                    flows=11
  5 Deprecated TLS versions (≤ 1.1)                     flows=3
  6 Handshake not completed                             flows=0
  7 DNS failures (NXDOMAIN/SERVFAIL)                    flows=0

Why it matters
High-latency flows (rough)

If a flow takes a long time and has lots of packets, it can indicate latency,
congestion, or retries. This is a rough heuristic and depends on correct timestamps.

Timeline

Timeline: Gantt  (Tab switch, ↑/↓ move, Enter packets, Esc back)
█ handshake  █ TLS  █ data  █ close  █ UDP
09:31:02        09:31:10        09:31:18        09:31:26

  google.com (HTTPS)   ● ██████████████████████████████████
  chat.openai.com (HT… ● ████████████████
  wikipedia.org (HTTPS) ●  ██████████████████████████
  DNS 10.0.0.1:53      ● ██
Pattern: 3 connections opened simultaneously — likely a page load
Pattern: 2 DNS lookups preceded 3 encrypted connections to matching hosts

Details
TCP 10.0.0.6:57608 ↔ 198.51.100.42:443

What happened

1. Connected to google.com (TCP handshake took 12.5ms)
2. Negotiated encryption (TLS 1.3)
3. Transferred 28.2KB in 89ms (40 packets)
4. Mostly downloading (server sent more data)
5. Connection closed cleanly (FIN)

टाइमलाइन आपके कैप्चर की दृश्य कहानी है। यह दिखाता है कि प्रत्येक कनेक्शन कब शुरू हुआ, यह किन चरणों से गुज़रा (हैंडशेक, TLS, डेटा ट्रांसफर, क्लोज़), और वे कैसे ओवरलैप होते हैं।

• Gantt — TCP चरण द्वारा रंगीन क्षैतिज पट्टियाँ, होस्टनेम लेबल के साथ
• Scatter — दिशा द्वारा रंगीन प्रति-पैकेट डॉट (आप→सर्वर, सर्वर→आप, रीट्रांसमिट)
• पैटर्न — एक साथ खुलने, DNS→TLS होस्टनेम/समय सहसंबंध, रीट्रांसमिशन चेतावनियों के लिए स्वचालित कॉलआउट
• कथा — विवरण पैनल में सरल अंग्रेजी में 'क्या हुआ' (केवल तब अपलोड/डाउनलोड शब्दावली का उपयोग करता है जब स्थानीय पक्ष अनुमानित हो)

Flows

Flows [LIVE en0] (63.8 pps)  (Enter packets, / filter, t/u toggles, b bookmark, E export, o overview)  subset=domain:chat.openai.com

● 1 UDP  510   10.0.0.6:59175 ↔ 203.0.113.123:443 DL
❯● 2 TCP   32   10.0.0.6:57608 ↔ 198.51.100.42:443 DL

Details
TCP 10.0.0.6:57608 ↔ 198.51.100.42:443

A→B: 14 pkts / 1386 bytes
B→A: 26 pkts / 26307 bytes
Direction: download-heavy

Handshake RTT: 12.450ms
Server think:  3.200ms
Data transfer: 89.100ms

TLS version: TLS 1.2

bookmarks: 1

Keybindings (TUI)

शीर्ष-स्तर:

• o अवलोकन
• D डोमेन
• W अजीब चीज़ें
• F फ्लो
• T टाइमलाइन
• h सहायता
• g शब्दावली
• q बाहर निकलें

दृश्यों में:

• Enter ड्रिल डाउन (डोमेन/अजीब → फ्लो, फ्लो → पैकेट)
• Esc वापस
• c सक्रिय उपसमुच्चय फ़िल्टर साफ़ करें
• ? चयनित फ्लो समझाएँ
• x ऑनबोर्डिंग संकेत खारिज करें (Overview)

फ्लो दृश्य:

• ↑/↓ या j/k घुमाएँ
• / फ़िल्टर
• t / u TCP / UDP टॉगल करें
• b फ्लो बुकमार्क करें
• E रिपोर्ट निर्यात करें

टाइमलाइन दृश्य:

• Tab / Shift-Tab Gantt / Scatter स्विच करें
• ↑/↓ या j/k घुमाएँ
• PgUp/PgDn पृष्ठ
• Enter पैकेट में ड्रिल करें

पैकेट दृश्य:

• f स्ट्रीम फ़ॉलो करें

स्ट्रीम दृश्य:

• / खोज
• n / N अगला / पिछला मिलान
• Tab / Shift-Tab स्ट्रीम दिशा चक्र
• ↑/↓ स्क्रॉल करें

Output files

जब आप बुकमार्क/निर्यात करते हैं, तो babyshark एक छिपी निर्देशिका में PCAP के बगल में लिखता है:

• .babyshark/case.json — बुकमार्क
• .babyshark/report.md — नवीनतम रिपोर्ट (अधिलेखित)
• .babyshark/report-YYYYMMDD-HHMMSS.md — संस्करणित रिपोर्ट

Roadmap

• बेहतर ऑनबोर्डिंग + दस्तावेज़ (स्क्रीनशॉट/gif)
• लाइव मोड के लिए --bpf कैप्चर फ़िल्टर पास-थ्रू
• और भी बेहतर प्रोटोकॉल संकेत + फ्लो वर्गीकरण
• बेहतर TCP पुनर्संयोजन (गैप/रीट्रांसमिट मार्कर)
• पैकेजिंग सुधार (TBD)

License

MIT © 2026 Vignesh Natarajan