babyshark

Wireshark, упрощённый (в вашем терминале).

Babyshark — это TUI для работы с PCAP, который помогает ответить на вопросы:

• Что использует сеть?
• Что выглядит сломанным/странным?
• Что выбрать дальше?

Статус: v0.3.0 (альфа).

• Просмотр offline-файлов .pcap / .pcapng работает без Wireshark
• Захват в реальном времени требует tshark (CLI Wireshark)

Обзор

Обзор — это панель «начните здесь». Он суммирует захват и предлагает, что делать дальше.

• Показывает быстрые итоги (пакеты/потоки), смесь трафика и таблицы «топ» (порты/хосты/потоки).
• В режиме live показывает статус захвата (pps + последняя строка статуса/ошибки от tshark).

Как использовать:

• Нажмите D, чтобы перейти к Доменам (сначала имена хостов).
• Нажмите W, чтобы перейти к Что странного? (кураторские детекторы).
• Нажмите F (или f), чтобы перейти к Потокам (сырые).
• Многие строки являются точками входа для детализации: выберите строку и нажмите Enter.

Домены

Домены группируют трафик по имени хоста, чтобы вы могли начать с имён, а не с 5-кортежей.

• Показывает сводки по доменам (соединения/байты + счётчики запросов/ответов/сбоев).
• Панель деталей показывает «IP-подсказки». Когда ответы DNS не видны (DoH/DoT/кеширование), он всё равно может показать Наблюдаемые IP (из потоков), используя подсказки TLS SNI / HTTP Host.

Как использовать:

• Выберите домен и нажмите Enter, чтобы углубиться в соответствующие Потоки.
• Нажмите s, чтобы изменить режим сортировки.
• Нажмите c, чтобы очистить активный фильтр подмножества.

Что странного?

Что странного? — это кураторский набор детекторов, предназначенный для ответа на вопрос «что выглядит сломанным/медленным?» без глубоких знаний Wireshark.

• Каждый детектор включает краткое описание «почему это важно».
• Нажатие Enter на детекторе фильтрует до затронутых потоков, чтобы вы могли углубиться в пакеты/потоки.

Как использовать:

• Выберите детектор (также можно нажать 1–9 для быстрого перехода) и нажмите Enter.
• Нажмите c, чтобы очистить активный фильтр подмножества.

Развернуть

Развернуть / Объяснить (?) даёт контекст на простом английском относительно того, на что вы смотрите.

• Из Потоков нажмите Enter, чтобы открыть Пакеты, затем нажмите ?, чтобы открыть Объяснение.
• Объяснение работает по принципу «best-effort»: оно пытается классифицировать поток и показать «почему я так считаю» + «следующие шаги».

Совет: нажмите h для справки и g для глоссария.

---

Быстрый старт

Скачать релиз (рекомендуется)

Загрузите бинарник из GitHub Releases:

• https://github.com/vignesh07/babyshark/releases

Или собрать из исходников

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

---

Возможности

• Работа offline: открывайте .pcap / .pcapng и просматривайте:
  • список потоков → список пакетов → просмотр потока
  • поиск по потоку с подсветкой + навигация n / N
• Работа live: захватывайте и просматривайте трафик в TUI:
  • список интерфейсов захвата
  • захват в реальном времени с опциональным фильтром отображения
  • опциональная запись в файл во время захвата
• Анализ каждого потока:
  • Значки состояния — цветные точки (зелёный/жёлтый/красный) на каждом потоке на основе RST, незавершённых рукопожатий, повторных передач
  • Метки асимметрии — суффикс DL/UL в списке потоков + download-heavy/upload-heavy/balanced в деталях (возврат к A>B/B>A, когда локальная сторона неоднозначна)
  • Тайминги TCP — RTT рукопожатия, время размышления сервера, длительность передачи данных на панели деталей
  • Отображение версии TLS — показывает согласованную версию из ServerHello, если видна; помечает устаревшие версии (<= TLS 1.1)
• Детекторы странностей:
  • Сбросы TCP, незавершённые рукопожатия, сбои DNS, подсказки о повторных передачах/выпадении из порядка, потоки с высокой задержкой
  • Устаревший TLS — помечает потоки, использующие TLS 1.0 или 1.1
  • Болтливые хосты — помечает ≥10 потоков к одному и тому же адресату в течение 60 секунд
• Просмотр временной шкалы (T):
  • Гантт — горизонтальные полосы с цветовой кодировкой фаз (рукопожатие / TLS / данные / закрытие) с метками имён хостов
  • Scatter — точечный график по направлениям пакетов/повторным передачам
  • Легенды цветов, заметки о паттернах и описание на простом английском в деталях
• Заметки/экспорт:
  • создание закладок для потоков
  • экспорт отчёта в Markdown (последний + копии с временными метками)

---

Установка

Вариант A: GitHub Release (рекомендуется)

Загрузите предварительно собранный бинарник:

• https://github.com/vignesh07/babyshark/releases

Вариант B: сборка из исходников

Предварительные требования:

• Rust toolchain (stable)
• (Только для режима live) tshark

git clone https://github.com/vignesh07/babyshark
cd babyshark/rust
cargo install --path . --force
babyshark --help

Вариант C: cargo install (для разработчиков)

cargo install --git https://github.com/vignesh07/babyshark --bin babyshark

---

Установка tshark (требуется для --live)

tshark — это официальный CLI Wireshark.

macOS

# macOS (Homebrew)
brew install wireshark

Linux

Debian/Ubuntu:

sudo apt-get update
sudo apt-get install -y tshark

Fedora:

sudo dnf install -y wireshark-cli

Arch:

sudo pacman -S wireshark-cli

Проверка:

tshark --version
tshark -D

Примечание по правам: захват в реальном времени может потребовать повышенных прав (sudo, права dumpcap или членство в группе wireshark). Если babyshark выводит ошибку прав доступа, следуйте выводимым им рекомендациям.

---

Устранение неполадок

babyshark обновлён в git, но команда всё ещё выполняет старое поведение

Если вы устанавливали с помощью cargo install, после pull необходимо переустановить:

cd babyshark/rust
cargo install --path . --force

Захват в реальном времени не работает (права доступа)

Попробуйте запустить с sudo:

sudo babyshark --live en0

Если это сработало, скорее всего, вам нужно настроить права на захват (dumpcap, группа wireshark и т.д.) в вашей ОС.

Домены показывают ips=0 для всего

Это часто происходит, когда ответы DNS не видны (DoH/DoT или кеширование). Babyshark всё равно покажет Наблюдаемые IP (из потоков), используя подсказки TLS SNI / HTTP Host, если они доступны.

---

Использование

Offline PCAP

babyshark --pcap ./capture.pcap

Список live-интерфейсов

babyshark --list-ifaces

Захват в реальном времени

babyshark --live en0

Захват в реальном времени с фильтром отображения Wireshark

babyshark --live en0 --dfilter "tcp.port==443"

Захват в реальном времени и запись в файл

babyshark --live en0 --write-pcap /tmp/live.pcapng

---

Примеры экранов (очищенные)

Это текстовые примеры того, что вы увидите в TUI. IP-адреса/домены анонимизированы.

Обзор (live)

PCAP Viewer
babyshark   Overview  flows:114 packets:4227  tcp:on udp:on q=—