PcapXray

أداة تحليل شبكات — تعرض ملفات PCAP أو حركة المرور الحية كمخطط شبكة مشروح مع تحديد الأجهزة، تصنيف البروتوكولات، كشف Tor، وعلامات تحذير لحركة المرور الخبيثة.

---

نظرة عامة على الوحدات

graph TD
    UI[user_interface.py\nGUI controller] --> PR[pcap_reader\nFile + Live capture]
    PR --> ENG[engines/\nauto · dpkt · scapy · pyshark]
    PR --> MEM[(memory.py\nShared state)]
    MEM --> CDF[communication_details_fetch\nDNS · whois]
    MEM --> DDF[device_details_fetch\nOUI vendor lookup]
    MEM --> TTH[tor_traffic_handle\nTor consensus]
    MEM --> MTI[malicious_traffic_identifier\nHeuristic flags]
    MEM --> SS[sqlite_store\nSession persistence]
    MEM --> PLN[plot_lan_network\nGraphviz PNG + pyvis HTML]
    UI --> IG[interactive_gui\nMatplotlib panel]
    IG --> MEM
    PLN --> OUT[Reports + Diagrams]

---

مواصفات التصميم

الهدف

بإعطاء ملف PCAP أو واجهة شبكة حية، رسم مخطط شبكة يعرض المضيفين، تدفقات حركة المرور، الاتصالات الهامة/المتعلقة بـTor/الخبيثة، والبيانات المتضمنة في كل جلسة.

المشكلة

• يستغرق تحليل ملف PCAP وقتًا طويلاً نظرًا للعقبة الأولية لبدء التحقيق
• يواجهها كل محقق في الطب الشرعي وكل من يحلل حركة مرور الشبكة

الحل: تسريع عملية التحقيق

إنشاء مخطط شبكة مع الميزات التالية:

أبرز أدوات البرنامج:

• مخطط الشبكة — مخطط شبكة ملخص للشبكة بأكملها
• حركة مرور الويب مع تفاصيل الخادم
• كشف حركة مرور Tor
• وضع علامات على حركة المرور الخبيثة المحتملة
• البيانات المستخرجة من الحزم في التقرير — الأجهزة/حركة المرور/الحمولات
• تفاصيل الأجهزة — بائع OUI، تحليل اسم المضيف، whois
• التقاط حركة مرور حية مع تحديثات الرسم البياني في الوقت الفعلي
• رسم بياني تفاعلي — pyvis HTML للاستكشاف في المتصفح
• استمرار الجلسة — ذاكرة تخزين مؤقت SQLite لإعادة التحميل دون إعادة التحليل

---

لقطات الشاشة

لوحة التطبيق الرئيسية

رسم بياني شبكة ثابت — تخطيط طبيعي مع تكبير تلقائي

---

عرض توضيحي

---

الإعداد

المتطلبات: Python 3.10+

لينكس (Ubuntu/Debian)

sudo apt-get update
sudo apt-get install -y python3-tk graphviz tshark
pip3 install -r requirements.txt
sudo python3 Source/main.py

إذا كنت تستخدم إصدار Python محدد (3.11، 3.12)، استبدل python3-tk بـ python3.11-tk أو python3.12-tk. قم بتثبيت Pillow عبر pip فقط — لا تقم بتثبيت python3-pil من apt لأنه يتعارض.

macOS

brew install graphviz
pip3 install -r requirements.txt
sudo python3 Source/main.py

sudo مطلوب للالتقاط الحي. تحليل الملفات يعمل بدونه.

---

الاستخدام

تحليل الملفات

1. أدخل أو تصفح إلى ملف .pcap / .pcapng
2. اختر دليل الإخراج
3. اختر المحرك (الافتراضي: auto)
4. انقر Analyze!
5. انقر Visualize! لإنشاء مخطط الشبكة
6. انقر Interactive Graph لفتح pyvis HTML في المتصفح
7. انقر Graph Panel لفتح العرض التفاعلي matplotlib

الالتقاط الحي

1. اختر واجهة الشبكة من القائمة المنسدلة
2. انقر ▶ Start Live (يتطلب sudo/الجذر)
3. تُفتح لوحة الرسم البياني ويتم تحديثها كل 4 ثوانٍ
4. انقر ⏹ Stop لإنهاء الالتقاط — يتم تشغيل كشف القنوات المخفية بعد الالتقاط
5. انقر Visualize! لإنشاء لقطة ثابتة في لحظة زمنية

---

محركات PCAP

يدعم PcapXray أربع خلفيات تحليل قابلة للتبديل يمكن اختيارها من شريط الأدوات:

المحرك	الأفضل لـ	ملاحظات
auto	الاستخدام العام	يحاول dpkt أولاً، ثم يتراجع إلى scapy
dpkt	الملفات الكبيرة، الذاكرة المنخفضة	تحليل غير متصل سريع
scapy	فحص البروتوكولات العميق	يدعم TLS، أبطأ على الملفات الكبيرة
pyshark	أقصى تغطية للبروتوكولات	يتطلب تثبيت tshark

---

المكونات

• مخطط الشبكة — PNG مقدم من graphviz طوبولوجيا الشبكة الكاملة
• تفاصيل وتحليل الأجهزة/حركة المرور — حمولات كل جلسة، سجلات TLS، استعلامات DNS
• تحديد حركة المرور الخبيثة — وضع علامات استرشادية بناءً على المنافذ والنطاقات
• حركة مرور Tor — تنزيل الإجماع + مطابقة الجلسات
• الالتقاط الحي — AsyncSniffer مع رسم بياني matplotlib في الوقت الفعلي، تحديث كل 4 ثوانٍ
• واجهة المستخدم الرسومية — واجهة Tkinter مع خيارات التصفية، التكبير، والتحكم في الجلسات

---

مكتبات Python

جميع التبعيات موجودة في requirements.txt — قم بتثبيتها باستخدام pip3 install -r requirements.txt. Tkinter هي المكتبة الوحيدة غير الموجودة على PyPI — قم بتثبيتها عبر مدير الحزم الخاص بنظامك (python3-tk على لينكس، مضمنة مع Python على macOS).

المكتبة	الغرض
scapy	قراءة الحزم والالتقاط الحي
dpkt	محرك تحليل PCAP سريع
pyshark	محرك تحليل يعتمد على tshark
ipwhois	بحث Whois / RDAP
netaddr	تصنيف عناوين IP
pillow	معالجة الصور لعرض الرسم البياني
stem	جلب بيانات إجماع Tor
graphviz	عرض مخطط الشبكة
networkx	بناء الرسم البياني وتخطيطه
matplotlib	لوحة الرسم البياني التفاعلية المضمنة
pyvis	رسم بياني شبكة HTML تفاعلي
pydantic	نماذج بيانات موحدة لحالة الجلسة
cryptography	تحليل مجموعات تشفير TLS

---

التطوير والهندسة المعمارية

انظر DEV.md للحصول على توثيق كامل للهندسة المعمارية، مخططات تدفق الاستدعاء، مسؤوليات الوحدات، نموذج الخيوط، وكيفية إضافة محرك جديد.

---

الأمان

انظر SECURITY.md للإفصاح المسؤول، وضع الأمان، والقيود المعروفة.

---

الاختبار

# مجموعة سريعة — لا مكالمات شبكة
pytest -m "not network" Test/

# مجموعة كاملة تتضمن DNS حقيقي + Tor
pytest Test/

# بيئات محرك معزولة
tox
tox -e all-engines

96+ اختبار عبر Python 3.10، 3.11، 3.12.

---

معلومات إضافية

• تم اختباره على macOS و Linux
• خيارات تصفية حركة المرور: الكل، HTTP، HTTPS، Tor، خبيث، ICMP، DNS
• تم تقديمه في DEF CON 27 Demo Labs

---

القيود المعروفة

• macOS minimize restore — النقر على أيقونة Dock بعد التصغير قد لا يستعيد النافذة بسبب خطأ معروف في Tk/Cocoa. استخدم Cmd+Tab أو انقر بزر الماوس الأيمن على أيقونة Dock → إظهار كحل بديل.
• الملفات الكبيرة — استهلاك الذاكرة يتناسب مع عدد الجلسات؛ قد تكون ملفات PCAP الكبيرة جدًا (1GB+) بطيئة. استخدم محرك dpkt لأداء أفضل على الملفات الكبيرة.
• امتيازات الالتقاط الحي — يتطلب الجذر/sudo على جميع المنصات للوصول إلى المقابس الخام.

---

المستقبل

• دعم بروتوكولات إضافية (QUIC، HTTP/2، mDNS)
• واجهة ويب / محرك eBPF
• إعادة كتابة بلغة Go لأداء بحجم PacketTotal

---

الشكر والتقدير

• البروفيسور Marc Budofsky
• Kevin Gallagher
• جميع المساهمين ومؤلفي المكتبات التابعة
• الشعار: logomakr.com + inkscape.org
• تم تقديمه في DEF CON 27 Demo Labs

مجرد متعة للأمان!