W przechwyconym ruchu w Wireshark serwer DHCP najłatwiej zidentyfikować po tym, że komunikacja dotyczy automatycznego nadania konfiguracji IP (adresu, maski, bramy, DNS) i ma charakterystyczny przebieg. Typowy scenariusz to sekwencja znana jako DORA: Discover (klient szuka serwera), Offer (serwer proponuje dzierżawę), Request (klient prosi o konkretną ofertę), Ack (serwer potwierdza). W praktyce wiele takich ramek/pakietów jest wysyłanych jako broadcast, bo klient na początku nie ma jeszcze pełnej konfiguracji.
Dodatkową, bardzo pewną wskazówką są porty i transport: DHCP działa standardowo na UDP 67/68 (serwer i klient korzystają z różnych portów). Jeżeli w zrzucie widać te porty albo pola/protokół oznaczone jako BOOTP/DHCP, to identyfikacja serwera jako DHCP jest uzasadniona.
- DNS nie służy do przydzielania adresów, tylko do tłumaczenia nazw na adresy IP. W przechwycie typowo pojawiają się zapytania i odpowiedzi na porcie 53 (UDP lub czasem TCP) oraz nazwy domen.
- FTP to usługa transferu plików, oparta o TCP. W ruchu często widać komendy tekstowe (np. logowanie) i dłuższe połączenia, a nie krótką sekwencję negocjacji konfiguracji IP.
- WWW odnosi się do HTTP/HTTPS. W przechwycie dominują połączenia TCP (lub QUIC/UDP dla HTTP/3) i zapytania do serwerów www; nie występuje tam typowy mechanizm nadania adresu IP hostowi.
Na egzaminie warto ćwiczyć: (1) odczyt portów i protokołu, (2) rozpoznawanie wzorca komunikatów, (3) rozróżnianie usług infrastrukturalnych (DHCP/DNS) od aplikacyjnych (FTP/WWW).
