PCAP विश्लेषक

एक पैकेट कैप्चर — .pcap या .pcapng — डालें और पहले दस मिनट वाला दृश्य पाएँ: वे वार्तालाप जिन्होंने बाइट्स को स्थानांतरित किया, हर DNS प्रश्न और उत्तर, सादे पाठ वाले HTTP अनुरोध, TLS सर्वर नाम और JA3 फ़िंगरप्रिंट, और उन क्रेडेंशियल की एक छोटी सूची जो बिना एन्क्रिप्शन के तार से गुज़रे। फ़ाइल आपके डिवाइस को कभी नहीं छोड़ती: यह इसी पृष्ठ में पार्स होती है, अपलोड नहीं होती, क्योंकि कैप्चर एक सबूत है और सबूत अजनबियों के सर्वर पर पोस्ट नहीं किए जाते।

या फ़ाइल को इस बॉक्स में कहीं भी डालें। पार्सिंग प्रगति दिखाते हुए टुकड़ों में होती है, ताकि कई-मेगाबाइट वाला कैप्चर टैब को जमा न दे।

पहले दस मिनट किस लिए होते हैं

कैप्चर आमतौर पर जल्दबाज़ी में लिया जाता है — कुछ धीमा है, कुछ ग़लत जगह से बात कर रहा है, कुछ संदिग्ध है — और दबाव में खोला जाता है। प्रश्नों का क्रम किसी भी एक उत्तर से ज़्यादा मायने रखता है। वार्तालापों से शुरू करें: बाइट्स के क्रम में, वे बताते हैं कि उस समय-सीमा में नेटवर्क का असल में उपयोग किसने किया, और आश्चर्य आमतौर पर तुरंत दिखता है — एक वर्कस्टेशन जो किसी ऐसे पते से लंबी बातचीत कर रहा है जिसे कोई नहीं पहचानता, एक सर्वर जो डाउनलोड से कहीं ज़्यादा अपलोड कर रहा है, एक प्रोटोकॉल जो वहाँ होना ही नहीं चाहिए था। फिर DNS, क्योंकि नाम ही इरादा होते हैं: किसी होस्ट ने जो प्रश्न किए, वे कैप्चर के पास उस चीज़ का सबसे निकटतम ब्राउज़िंग इतिहास हैं जिस तक वह पहुँचने की कोशिश कर रहा था, और उत्तर उन नामों को कैप्चर के क्षण के पतों से जोड़ देते हैं, न कि उस रूप से जैसा DNS आज उन्हें हल करता है। फिर TLS मेटाडेटा: एन्क्रिप्शन सामग्री को छिपाता है, अस्तित्व को नहीं — SNI नाम और JA3 फ़िंगरप्रिंट अब भी बताते हैं कि किन सेवाओं से संपर्क किया गया और किस तरह के क्लाइंट सॉफ़्टवेयर ने कनेक्शन बनाया। अंत में सादे पाठ वाले आश्चर्य: HTTP अनुरोध और क्रेडेंशियल चेतावनियाँ, क्योंकि 2026 में कोई भी पासवर्ड जो किसी निष्क्रिय पर्यवेक्षक के पढ़ सकने योग्य रूप में नेटवर्क को पार करे, अपने आप में एक घटना है, चाहे मूल प्रश्न कुछ भी रहा हो। साथी मार्गदर्शिका, पैकेट कैप्चर के साथ पहले दस मिनट, उस क्रम को एक कार्यप्रवाह के रूप में चलती है, जिसमें यह भी शामिल है कि छँटाई कब रोकें और उसकी जगह Wireshark कब खोलें।

तीन ईमानदार सीमाएँ इस पृष्ठ के दावे को आकार देती हैं। यह TCP स्ट्रीम को फिर से नहीं जोड़ता — यह पैकेटों को एक-एक करके पढ़ता है और उन्हें प्रवाहों में समूहित करता है, इसलिए कोई HTTP अनुरोध या ClientHello जिसे कैप्चर ने खंडों में बाँट दिया हो, छूट सकता है; (टैप के बजाय) किसी होस्ट पर लिए गए कैप्चर में सेगमेंटेशन ऑफ़लोड के आर्टिफ़ैक्ट भी दिखते हैं, एक चेतावनी जिसे मार्गदर्शिका समझाती है। यह कुछ भी डिक्रिप्ट नहीं करता: कुंजी लॉग चिपकाने की कोई जगह जानबूझकर नहीं है, क्योंकि कुंजी लॉग मौजूद सबसे संवेदनशील फ़ाइलों में से हैं और उनका स्थान किसी वेब पृष्ठ में नहीं है। और इसकी क्रेडेंशियल सूची पहचाने गए पैटर्न का एक समूह है, कोई ऑडिट नहीं — चेतावनी का न होना, अनुपस्थिति का सबूत नहीं है। यह जिस चीज़ की गारंटी देता है वह डेटा प्रवाह की दिशा है: आपका कैप्चर आपके ब्राउज़र टैब में चल रहे कोड द्वारा पढ़ा जाता है और कभी अपलोड, लॉग या साझा नहीं होता, इसलिए छँटाई स्वयं रिसाव नहीं बन सकती। किसी लाइव सर्वर पर शुरू होने वाले कैप्चर के लिए, पोर्ट स्कैनर दिखाता है कि होस्ट क्या उजागर करता है और ईमेल हेडर विश्लेषक उस दूसरी फ़ाइल को कवर करता है जो किसी घटना के दौरान आती है — स्वयं संदिग्ध संदेश।

अक्सर पूछे जाने वाले प्रश्न

मेरी कैप्चर फ़ाइल कहाँ जाती है?

कहीं नहीं। फ़ाइल इसी पृष्ठ में, आपके डिवाइस पर पढ़ी और पार्स की जाती है, और कुछ भी अपलोड, प्रसारित या संग्रहीत नहीं होता — जब यह किसी फ़ाइल का विश्लेषण करता है तो पृष्ठ कोई नेटवर्क अनुरोध नहीं करता। यह एक जानबूझकर किया गया डिज़ाइन है, क्योंकि पैकेट कैप्चर किसी नेटवर्क की सबसे संवेदनशील फ़ाइलों में से एक होता है: इसमें आंतरिक पते, होस्टनाम और — सादे पाठ वाले प्रोटोकॉल में — शाब्दिक क्रेडेंशियल होते हैं। पृष्ठ लोड हो जाने के बाद यह ऑफ़लाइन भी काम करता है, जो वैसे भी वह जगह है जहाँ कैप्चर आमतौर पर पढ़ा जाता है: उसी मशीन पर जिसने उसे लिया था, अक्सर किसी घटना के दौरान।

कौन से कैप्चर प्रारूप और लिंक प्रकार समर्थित हैं?

माइक्रोसेकंड या नैनोसेकंड टाइमस्टैम्प के साथ, किसी भी एंडियननेस में क्लासिक PCAP, और PCAPNG — सेक्शन, इंटरफ़ेस, एन्हांस्ड और सिंपल पैकेट ब्लॉक, साथ ही नाम-रिज़ॉल्यूशन ब्लॉक, जिनके दर्ज नाम सारांश में दिखाए जाते हैं। लिंक प्रकार: Ethernet (VLAN-टैग वाले फ़्रेम सहित), raw IP, BSD लूपबैक, और Linux cooked SLL और SLL2। IPv4 और IPv6, TCP, UDP और ICMP डिकोड किए जाते हैं। अन्य लिंक प्रकार प्रोटोकॉल मिश्रण में गिने जाते हैं लेकिन डिकोड नहीं किए जाते, और सारांश चुप रहने के बजाय यह कहता है।

यह क्या नहीं कर सकता?

तीन सीमाएँ, साफ़ तौर पर कही गईं। यह TCP स्ट्रीम को फिर से नहीं जोड़ता — विश्लेषण प्रति-पैकेट और प्रति-प्रवाह समूहन है, इसलिए खंडों में बँटा कोई ClientHello या HTTP अनुरोध छूट सकता है। यह कुछ भी डिक्रिप्ट नहीं कर सकता: TLS और अन्य एन्क्रिप्टेड ट्रैफ़िक केवल मेटाडेटा (सर्वर नाम, ALPN, JA3) देता है, सामग्री कभी नहीं। और इसके क्रेडेंशियल निष्कर्ष देखी गई घटनाएँ हैं, अच्छे स्वास्थ्य का प्रमाणपत्र नहीं — यह उन सादे पाठ वाले पैटर्न को चिह्नित करता है जिन्हें यह पहचानता है (HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, telnet), और किसी चिह्न का न होना उन प्रोटोकॉल के बारे में कुछ साबित नहीं करता जिनकी यह जाँच नहीं करता। गहरे काम के लिए — स्ट्रीम का पीछा करना, प्रोटोकॉल डिसेक्टर, कुंजी लॉग के साथ डिक्रिप्शन — Wireshark का उपयोग करें; यह पृष्ठ पहले दस मिनट है, पूरी जाँच नहीं। साथी मार्गदर्शिका, पैकेट कैप्चर के साथ पहले दस मिनट, उस छँटाई क्रम को प्रस्तुत करती है।

TLS कनेक्शन के लिए दिखाया गया JA3 फ़िंगरप्रिंट क्या है?

JA3 किसी TLS क्लाइंट को उसके ClientHello से फ़िंगरप्रिंट करने का एक मानक तरीका है: TLS संस्करण, साइफ़र सुइट, एक्सटेंशन, एलिप्टिक कर्व और पॉइंट प्रारूप, क्रम में दशमलव संख्याओं के रूप में सूचीबद्ध (GREASE मान हटाकर), एक स्ट्रिंग में जोड़े गए और MD5 से हैश किए गए। एक ही लाइब्रेरी और सेटिंग वाले दो क्लाइंट एक ही JA3 बनाते हैं; किसी स्कैनर या मैलवेयर परिवार का अक्सर एक विशिष्ट JA3 होता है। यह क्लाइंट सॉफ़्टवेयर की आदतों को पहचानता है, उपयोगकर्ता को नहीं, और लाइब्रेरी अपडेट होने पर बदल जाता है — इसे पहचान नहीं, एक समूहन संकेत मानें।

मैं कितना बड़ा कैप्चर खोल सकता हूँ?

25 MB तक की फ़ाइलें। यह सीमा जानबूझकर है: पूरी फ़ाइल और विश्लेषण संरचनाएँ आपके टैब की मेमोरी में रहती हैं, और एक डेस्कटॉप ब्राउज़र इसे आराम से संभालता है, जबकि फ़ोन शायद न संभाल पाए। परीक्षण में, लगभग 90,000 पैकेट वाला 10 MB कैप्चर लगभग एक सेकंड में पार्स हो गया। इससे बड़े के लिए, पहले कैप्चर के समय फ़िल्टर करें या अपनी मशीन पर editcap/tcpdump से फ़िल्टर करें — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — और वह टुकड़ा यहाँ लाएँ।