babyshark

Wireshark simplificado (no seu terminal).

Babyshark é uma TUI de PCAP que ajuda a responder:

• O que está usando a rede?
• O que parece quebrado/estranho?
• O que devo selecionar a seguir?

Status: v0.3.0 (alpha).

• Visualização offline de .pcap / .pcapng funciona sem Wireshark
• Captura ao vivo requer tshark (CLI do Wireshark)

Visão Geral

Visão Geral é o painel "comece aqui". Ela resume a captura e sugere o que fazer a seguir.

• Mostra totais rápidos (pacotes/fluxos), uma mistura de tráfego e tabelas "top" (portas/hosts/fluxos).
• No modo ao vivo, mostra o status da captura (pps + última linha de status/erro do tshark).

Como usar:

• Pressione D para pular para Domínios (nomes de host primeiro).
• Pressione W para pular para O que é estranho? (detectores selecionados).
• Pressione F (ou f) para pular para Fluxos (bruto).
• Muitas linhas são pontos de entrada para detalhamento: selecione uma linha e pressione Enter.

Domínios

Domínios agrupa tráfego por nome de host para que você possa começar a partir de nomes em vez de 5‑uplas.

• Mostra resumos por domínio (conexões/bytes + contadores de consulta/resposta/falha).
• O painel de detalhes mostra "dicas de IP". Quando as respostas DNS não estão visíveis (DoH/DoT/cache), ainda pode mostrar IPs Observados (dos fluxos) usando dicas SNI TLS / Host HTTP.

Como usar:

• Selecione um domínio e pressione Enter para detalhar nos Fluxos relevantes.
• Pressione s para alterar o modo de ordenação.
• Pressione c para limpar um filtro de subconjunto ativo.

O que é estranho?

O que é estranho? é um conjunto selecionado de detectores criado para responder "o que parece quebrado/lento?" sem precisar de conhecimento profundo de Wireshark.

• Cada detector inclui uma breve explicação "por que isso importa".
• Pressionar Enter em um detector filtra para os fluxos afetados, permitindo que você detalhe em pacotes/streams.

Como usar:

• Selecione um detector (você também pode pressionar 1–9 para selecionar rapidamente) e pressione Enter.
• Pressione c para limpar um filtro de subconjunto ativo.

Expandir

Expandir/Explicar (?) fornece contexto em português claro para o que você está vendo.

• De Fluxos, pressione Enter para abrir Pacotes, depois pressione ? para abrir Explicar.
• Explicar é baseado em melhor esforço: tenta classificar o fluxo e mostrar "por que acho isso" + "próximos passos".

Dica: pressione h para ajuda e g para glossário.

---

Início Rápido

Baixar uma versão (recomendado)

Pegue um binário dos GitHub Releases:

• https://github.com/vignesh07/babyshark/releases

Ou compilar a partir do código-fonte

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

Funcionalidades

• Offline: abra .pcap / .pcapng e navegue:
  • lista de fluxos → lista de pacotes → seguir stream
  • busca em stream com destaque + navegação n / N
• Ao vivo: capture e inspecione tráfego na TUI:
  • liste interfaces de captura
  • captura ao vivo com filtro de exibição opcional
  • gravação opcional em arquivo durante a captura
• Análise por fluxo:
  • Ícones de saúde — ponto colorido (verde/amarelo/vermelho) em cada fluxo baseado em RST, handshakes incompletos, retransmissões
  • Rótulos de assimetria — sufixo DL/UL na lista de fluxos + download-heavy/upload-heavy/balanced nos detalhes (usa A>B/B>A quando o lado local é ambíguo)
  • Timing TCP — RTT do handshake, tempo de pensamento do servidor, duração da transferência de dados no painel de detalhes
  • Exibição da versão TLS — mostra a versão negociada do ServerHello quando visível, sinaliza versões obsoletas (<= TLS 1.1)
• Detectores de estranheza:
  • Resets TCP, handshake não concluído, falhas DNS, dicas de retransmissão/OOO, fluxos de alta latência
  • TLS obsoleto — sinaliza fluxos usando TLS 1.0 ou 1.1
  • Hosts falantes — sinaliza ≥10 fluxos para o mesmo destino dentro de 60 segundos
• Visão de Linha do Tempo (T):
  • Gantt — barras horizontais coloridas por fase (handshake / TLS / dados / fechamento) com rótulos de nome de host
  • Scatter — gráfico de pontos por pacote com direção/retransmissão
  • Legendas de cores, anotações de padrões e narrativa em português claro nos detalhes
• Anotações/exportação:
  • marque fluxos como favoritos
  • exporte relatório em markdown (mais recente + cópias com carimbo de data/hora)

---

Instalação

Opção A: GitHub Release (recomendado)

Baixe um binário pré-compilado:

• https://github.com/vignesh07/babyshark/releases

Opção B: compilar a partir do código-fonte

Pré-requisitos:

• Rust toolchain (estável)
• (Modo ao vivo apenas) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Opção C: cargo install (amigável para desenvolvedores)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

Instalar tshark (necessário para --live)

tshark é a CLI oficial do Wireshark.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

Verifique:

tshark --version
tshark -D

Nota sobre permissões: a captura ao vivo pode exigir permissões elevadas (sudo, capacidades do dumpcap, ou estar no grupo wireshark). Se o babyshark exibir um erro de permissão, siga a orientação que ele mostrar.

---

Solução de Problemas

babyshark atualizado no git, mas meu comando ainda executa o comportamento antigo

Se você instalou com cargo install, precisa reinstalar após puxar as alterações:

cd babyshark/rust
cargo install --path . --force

Captura ao vivo falha (permissões)

Tente executar com sudo:

sudo babyshark --live en0

Se funcionar, provavelmente você precisa configurar permissões de captura (dumpcap, grupo wireshark, etc.) no seu sistema operacional.

Domínios mostra ips=0 para tudo

Isso acontece frequentemente quando as respostas DNS não estão visíveis (DoH/DoT ou cache). Babyshark ainda mostrará IPs Observados (dos fluxos) usando dicas SNI TLS / Host HTTP quando disponíveis.

---

Uso

PCAP Offline

babyshark --pcap ./capture.pcap

Listar interfaces ao vivo

babyshark --list-ifaces

Captura ao vivo

babyshark --live en0

Captura ao vivo com filtro de exibição do Wireshark

babyshark --live en0 --dfilter "tcp.port==443"

Captura ao vivo e gravação em arquivo

babyshark --live en0 --write-pcap /tmp/live.pcapng

---

Exemplos de telas (anônimos)

Estes são exemplos apenas de texto do que você verá na TUI. IPs/domínios estão anônimos.

Visão Geral (ao vivo)

PCAP Viewer
babyshark   Overview  flows:114 packets:4227  tcp:on udp:on q=—