Wireshark ile HTTP ve DNS Trafik Analizi: Adım Adım Rehber

**152**Mesaj · (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)

Wireshark ile HTTP ve DNS Trafik Analizi

Merhaba,

Wireshark, paket seviyesinde gören gözünüzdür. Bu rehberde Wireshark 4.6.x (güncel kararlı sürüm ailesi) ile kendi lab trafiğinizde HTTP ve DNS analizi yapmayı adım adım anlatıyoruz.

Konuda Anlatılacaklar

Kurulum ve yakalama arayüzü seçimi
Görüntüleme filtreleri (display filter)
DNS sorgularını okuma
HTTP isteği / yanıtı inceleme
TLS trafiğinde ne görebilirsiniz?
Kaynakça

1) Kurulum

Kod:
# Debian/Ubuntu
sudo apt update && sudo apt install -y wireshark
# Paket kurulumu sırasında non-root yakalama için wireshark grubuna eklenmeyi kabul edin
sudo usermod -aG wireshark $USER
# Oturumu kapatıp açın; ardından:
wireshark --version

2) Yakalama

Wireshark'ı açın, kendi lab arayüzünüzü seçin (ör. eth0, wlan0, veya bir VM bridge).
Mavi köpekbalığı düğmesiyle yakalamayı başlatın.
Labınızda bir tarayıcıdan http://example.com gibi bir HTTP sitesine gidin (HTTPS yerine önce HTTP lab'ı önerilir).
Yakalamayı durdurun ve dosyayı kaydedin: File -> Save As -> lab_http_dns.pcapng

3) Temel Görüntüleme Filtreleri

Kod:
dns
http
tcp.port == 80
ip.addr == 10.10.10.5
dns.qry.name contains "example"
http.request.method == "GET"
tcp.flags.syn == 1 && tcp.flags.ack == 0

Filtreler araç çubuğundaki kutuya yazılır; yeşil = sözdizimi doğru.

4) DNS Analizi

Kod:
dns.flags.response == 0   # sorgu
dns.flags.response == 1   # yanıt
dns.a                     # A kaydı içeren paketler

Bir DNS paketini seçip ortadaki ağaçta görürsünüz:

Queries -> Name: sorulan alan adı
Answers -> Address: dönen IP
Response code: No Error / NXDOMAIN / ServFail

Anormal durumlar: Aynı host'tan saniyede onlarca NXDOMAIN (DGA şüphesi), beklenmeyen uzun alt alan adları, bilinen kötüye kullanım çözümleyicilerine giden trafik.

5) HTTP Analizi

Kod:
http.request
http.response.code == 200
http.host == "hedef.lab"
http.cookie

Bir GET isteğinde bakılacaklar:

Request URI ve Host
User-Agent
Cookie / Authorization başlıkları (lab dışında paylaşmayın)
Yanıtta Set-Cookie, Location, Server başlıkları

Takip için: pakete sağ tık -> Follow -> TCP Stream veya HTTP Stream.

6) TLS'te Ne Görürsünüz?
HTTPS içeriği şifreli olduğu için URI ve gövdeyi göremezsiniz; ama şunları görebilirsiniz:

SNI (Server Name Indication) - hangi host'a bağlanıldığı
Sertifika zinciri
TLS sürümü ve şifre takımı
JA3/JA4 parmak izi (ekstra eklentilerle)

Kod:
tls.handshake.type == 1          # Client Hello
tls.handshake.extensions_server_name

7) Küçük Alıştırma (Kendi Labınız)

HTTP lab sunucunuza 10 istek atın.
Wireshark'ta http.request.method == "GET" filtresiyle sayın.
dns.qry.name filtresiyle hangi alan adlarının çözüldüğünü listeleyin.
Statistics -> Protocol Hierarchy ile protokol dağılımına bakın.

Kaynakça

Görsel: TurkTeam özgün kapak görseli.

Alıntı:Yasal Uyarı: Trafik yakalama yalnızca kendi ağınızda veya açık rızası olan ortamlarda yapılmalıdır. Başkasının trafiğini izinsiz dinlemek TCK 243-245 ve KVKK kapsamında hukuka aykırıdır.

Wireshark ile HTTP ve DNS Trafik Analizi: Adım Adım Rehber

Forum

Topluluk

Yardım