Analizador de tráfico de red libre y multiplataforma que captura y decodifica paquetes en vivo o desde archivos, ideal para diagnosticar redes, estudiar protocolos y analizar capturas de laboratorio o CTF.
Wireshark es un analizador de tráfico de red (sniffer) mantenido por la Wireshark Foundation, con interfaz gráfica en Qt, que usa libpcap/Npcap para capturar y filtrar paquetes. Incluye TShark, su versión de línea de comandos, que comparte el mismo motor de decodificación. La captura en sí la hace el programa dumpcap, aislado para poder ejecutarse con privilegios de forma más segura. Las capturas se guardan por defecto en formato pcapng. La versión estable al momento de la consulta es la 4.6.9, con la 4.4.19 como estable anterior y la 5.0.0rc1 en desarrollo.
Para qué sirve
Diagnosticar problemas de red (latencia, retransmisiones, errores de protocolo) en tu propia infraestructura.
Aprender cómo funcionan los protocolos (DNS, TCP, HTTP, etc.) observando paquetes reales en un laboratorio.
Analizar archivos de captura en desafíos CTF y extraer objetos transmitidos (por ejemplo con --export-objects).
Generar estadísticas de conversaciones, endpoints y tráfico por intervalo para auditorías autorizadas.
Apoyar la respuesta a incidentes y el análisis forense de red sobre capturas propias.
Exportar datos en JSON o formato ek para importarlos en herramientas como Elasticsearch.
Instalación
Windows: descargá el instalador oficial (x64 o Arm64) desde https://www.wireshark.org/download.html. Trae incluida la última versión estable de Npcap, necesaria para capturar en vivo (desde la 4.6 ya no se soportan WinPcap ni AirPcap). También hay versión portable (PortableApps).
macOS: desde la 4.6 hay una única imagen de disco Universal para Apple Silicon e Intel en la página de descargas. También está disponible en Homebrew y MacPorts.
Linux/BSD: instalalo con el paquete de tu distribución (Debian, Ubuntu, Fedora, RHEL, Arch, Gentoo, openSUSE, FreeBSD, OpenBSD, etc.). Para Ubuntu, la página oficial enlaza al PPA wireshark-dev/stable en Launchpad. Los pasos exactos y la configuración de permisos conviene consultarlos en la Guía del Usuario: https://www.wireshark.org/docs/wsug_html_chunked/
Código fuente: el tarball es wireshark-4.6.9.tar.xz; el repositorio principal está en https://gitlab.com/wireshark/wireshark (GitHub es solo un mirror).
Verificá la descarga: compará los hashes del archivo de firmas, firmado con la clave GPG 0xE6FEAEEA.
Permisos: el proyecto recomienda no ejecutar Wireshark ni TShark como root; la captura privilegiada queda a cargo de dumpcap.
Para comprobar que la instalación quedó lista y ver las interfaces disponibles: Código: text
tshark -D
Comandos frecuentes
1. Listar las interfaces de captura (el número sirve para -i, muy útil en Windows donde los nombres llevan GUID): Código: text
tshark -D
2. Capturar 60 segundos de tráfico de un host de laboratorio con filtro BPF y guardarlo en pcapng: Código: text
tshark -i 1 -f "host 192.168.56.10" -a duration:60 -w lab.pcapng
3. Captura en anillo: 5 archivos de unos 1000 kB que se van rotando: Código: text
5. Estadísticas de conversaciones TCP (solo resumen, sin paquetes): Código: text
tshark -r lab.pcapng -q -z conv,tcp
6. Volumen de tráfico en intervalos de 10 segundos: Código: text
tshark -r lab.pcapng -q -z io,stat,10
7. Información experta (avisos, retransmisiones, errores detectados por los decodificadores): Código: text
tshark -r lab.pcapng -q -z expert
8. Análisis en dos pasadas mostrando el detalle completo de los paquetes HTTP (no funciona en vivo ni desde pipe): Código: text
tshark -r lab.pcapng -2 -R "http" -V
9. Listar los campos del protocolo TCP (sintaxis nueva desde la 4.6; -G sin argumento ya no funciona): Código: text
tshark -G fields,tcp
10. Ver qué protocolos admiten exportación de objetos antes de extraer archivos de una captura de CTF: Código: text
tshark --export-objects help
Buenas prácticas y uso legal
Solo con autorización: capturar tráfico ajeno sin permiso puede ser delito en muchas jurisdicciones. Usalo en tu laboratorio, en CTF o con autorización por escrito que defina interfaces, horarios y qué datos se guardan.
Las capturas son datos sensibles: pueden contener credenciales, cookies o datos personales. Cifralas, limitá cuánto tiempo las guardás y capturá solo lo necesario usando -f, -c y -a.
No ejecutes Wireshark ni TShark como root: dejá la captura privilegiada a dumpcap, como recomienda el proyecto.
Mantenelo actualizado: los decodificadores procesan datos externos; la 4.6.9 corrigió 16 avisos de seguridad (wnpa-sec-2026-93 a 110), en su mayoría caídas o bucles infinitos.
No importes perfiles de origen desconocido: el aviso wnpa-sec-2026-106 describe una caída al importar perfiles con posible ejecución de código.
Cuidado con los objetos exportados: lo que extraigas con --export-objects de capturas de CTF o malware puede ser malicioso; abrilo solo en una máquina virtual aislada.
Defensa ante captura no autorizada: usá cifrado de extremo a extremo (TLS, SSH, VPN) para que solo queden metadatos; en switches aplicá 802.1X, port security y vigilá cambios en SPAN/mirror; detectá ARP spoofing con alertas de cambios IP-MAC (IDS) y Dynamic ARP Inspection; en Wi-Fi usá WPA3 y detección de puntos de acceso falsos. Un sniffer pasivo es difícil de detectar, así que prevenir rinde más que detectar.
Alternativas
TShark: la versión de consola del propio Wireshark, ideal para servidores sin entorno gráfico y automatización.
dumpcap: el capturador mínimo del proyecto, pensado para capturar con privilegios de forma más segura.
tcpdump: analizador clásico de línea de comandos basado en libpcap y filtros BPF.
EtherApe: monitor gráfico que muestra la actividad de red como un mapa de nodos.
Redactado con el asistente Underc0de IA a partir de fuentes públicas. Actualizado el 09/11/2026. ¿Ves un error? Contanos en el foro.
