babyshark

Wireshark reso facile (nel tuo terminale).

Babyshark è una TUI PCAP che ti aiuta a rispondere:

• Cosa sta usando la rete?
• Cosa sembra rotto/strano?
• Cosa dovrei selezionare dopo?

Stato: v0.3.0 (alpha).

• La visualizzazione offline di .pcap / .pcapng funziona senza Wireshark
• La cattura live richiede tshark (CLI di Wireshark)

Overview

Overview è la dashboard 'inizia qui'. Riassume la cattura e suggerisce cosa fare dopo.

• Mostra totali rapidi (pacchetti/flussi), un mix di traffico e tabelle 'top' (porte/host/flussi).
• In modalità live mostra lo stato della cattura (pps + un'ultima riga di stato/errore da tshark).

Come usarlo:

• Premi D per saltare a Domini (nomi host prima).
• Premi W per saltare a Cosa c'è di strano? (rivelatori selezionati).
• Premi F (o f) per saltare a Flussi (grezzi).
• Molte righe sono punti di ingresso per approfondire: seleziona una riga e premi Invio.

Domains

Domini raggruppa il traffico per nome host così puoi iniziare dai nomi invece che dalle 5‑tuple.

• Mostra riepiloghi per dominio (connessioni/byte + contatori stile query/risposta/fallimento).
• Il pannello dei dettagli mostra 'Suggerimenti IP'. Quando le risposte DNS non sono visibili (DoH/DoT/caching), può comunque mostrare IP osservati (dai flussi) usando suggerimenti TLS SNI / HTTP Host.

Come usarlo:

• Seleziona un dominio e premi Invio per approfondire nei Flussi pertinenti.
• Premi s per cambiare la modalità di ordinamento.
• Premi c per cancellare un filtro sottoinsieme attivo.

What's weird?

Cosa c'è di strano? è un insieme selezionato di rivelatori pensato per rispondere 'cosa sembra rotto/lento?' senza bisogno di una profonda conoscenza di Wireshark.

• Ogni rivelatore include un breve 'perché è importante'.
• Premere Invio su un rivelatore filtra i flussi interessati così puoi approfondire pacchetti/flussi.

Come usarlo:

• Seleziona un rivelatore (puoi anche premere 1–9 per saltare alla selezione) e premi Invio.
• Premi c per cancellare un filtro sottoinsieme attivo.

Expand

Espandi / Spiega (?) fornisce contesto in lingua chiara per ciò che stai guardando.

• Da Flussi, premi Invio per aprire Pacchetti, poi premi ? per aprire Spiega.
• Spiega è un tentativo: cerca di classificare il flusso e mostrare 'perché penso questo' + 'prossimi passi'.

Suggerimento: premi h per aiuto e g per glossario.

---

Quickstart

Download a release (recommended)

Grab a binary from GitHub Releases:

• https://github.com/vignesh07/babyshark/releases

Or build from source

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

Features

• Offline: apri .pcap / .pcapng e naviga:
  • lista flussi → lista pacchetti → segui stream
  • ricerca nello stream con evidenziazione + navigazione n / N
• Live: cattura e ispeziona il traffico nella TUI:
  • elenca interfacce di cattura
  • cattura live con filtro di visualizzazione opzionale
  • scrittura su file opzionale durante la cattura
• Analisi per flusso:
  • Badge di salute — punto colorato (verde/giallo/rosso) su ogni flusso basato su RST, handshake incompleti, ritrasmissioni
  • Etichette di asimmetria — suffisso DL/UL nella lista dei flussi + download-heavy/upload-heavy/balanced nei dettagli (ricade su A>B/B>A quando il lato locale è ambiguo)
  • Tempi TCP — RTT handshake, tempo di riflessione del server, durata del trasferimento dati nel pannello dei dettagli
  • Visualizzazione versione TLS — mostra la versione negoziata da ServerHello quando visibile, segnala versioni deprecate (<= TLS 1.1)
• Rivelatori di stranezze:
  • Reset TCP, handshake non completato, fallimenti DNS, suggerimenti di ritrasmissione/OOO, flussi ad alta latenza
  • TLS deprecato — segnala flussi che usano TLS 1.0 o 1.1
  • Host chiacchieroni — segnala ≥10 flussi verso la stessa destinazione entro 60 secondi
• Vista timeline (T):
  • Gantt — barre orizzontali colorate per fase (handshake / TLS / dati / chiusura) con etichette dei nomi host
  • Scatter — grafico a punti per pacchetto direzione/ritrasmissione
  • Legende colori, annotazioni di pattern e narrazione in lingua chiara nei dettagli
• Note/esportazione:
  • segnalibro flussi
  • esporta report markdown (ultimo + copie con timestamp)

---

Install

Option A: GitHub Release (recommended)

Scarica un binario precompilato:

• https://github.com/vignesh07/babyshark/releases

Option B: build from source

Prerequisiti:

• Rust toolchain (stable)
• (Live mode only) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Option C: cargo install (dev-friendly)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

Install tshark (required for --live)

tshark è la CLI ufficiale di Wireshark.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

Verify:

tshark --version
tshark -D

Nota sui permessi: la cattura live potrebbe richiedere permessi elevati (sudo, dumpcap caps, o essere nel gruppo wireshark). Se babyshark stampa un errore di permesso, segui le indicazioni che mostra.

---

Troubleshooting

babyshark updated in git but my command still runs old behavior

Se hai installato con cargo install, devi reinstallare dopo il pull:

cd babyshark/rust
cargo install --path . --force

Live capture fails (permissions)

Prova a eseguire con sudo:

sudo babyshark --live en0

Se funziona, probabilmente devi configurare i permessi di cattura (dumpcap, gruppo wireshark, ecc.) sul tuo sistema operativo.

Domains shows ips=0 for everything

Questo accade spesso quando le risposte DNS non sono visibili (DoH/DoT o memorizzate nella cache). Babyshark mostrerà comunque IP osservati (dai flussi) usando suggerimenti TLS SNI / HTTP Host quando disponibili.

---

Usage

Offline PCAP

babyshark --pcap ./capture.pcap

List live interfaces

babyshark --list-ifaces

Live capture

babyshark --live en0

Live capture with Wireshark display filter

babyshark --live en0 --dfilter "tcp.port==443"

Live capture and write to file

babyshark --live en0 --write-pcap /tmp/live.pcapng

---

Example screens (sanitized)

Questi sono esempi solo testo di ciò che vedrai nella TUI. IP/domini sono anonimizzati.

Overview (live)

PCAP Viewer
babyshark   Overview  flows:114 packets:4227  tcp:on udp:on q=—

Overview  (D domains, W weird, F flows)
In plain English
Packets: 4227   Flows: 114   Top talker: 10.0.0.6 (2711.9KB)   Top talker (pkts): 10.0.0.6 (4046 pkts)
Live: 88s   pps~14.6   dropped~0   | last: Capturing on 'Wi‑Fi: en0'

pps: ▁▁▂▂▃▄▅▆▆▇▆▅▄▃▂▂▁  (max 1372/bucket)