pcapinator

Eine Anwendung zum Bearbeiten vieler PCAPs durch das Ausführen vieler Tshark-Instanzen

Einrichtung

Installiere Python3, den einzig wahren Python...

pip install python-dateutil pandas

Funktionen

Verarbeitet rekursiv mehrere PCAP-Dateien, einschließlich derer in Unterverzeichnissen.

Wrapper um editcap (Wireshark-Tool), der dem Benutzer erlaubt, PCAP-Dateien in kleinere Teile zu zerlegen.

Erfasst automatisch alle Handshakes, speichert sie als PCAP und auch als Hashcat-Datei zur Verarbeitung.

Wrapper um Tshark, der dem Benutzer erlaubt, PCAP-Dateien nach Handshakes zu filtern und als PCAP auszugeben.

Sammelt standardmäßige drahtlose Informationen und speichert sie in einer CSV.

ANWENDUNGSBEISPIELE:

Führe PCAPFix auf dem Datensatz aus, um beschädigte oder abgeschnittene PCAPs zu reparieren.

./pcapinator.py --in [directory or file] --pcapfix --pcapfix_dir [directory for original pcaps before fix] --debug

Sammle alle typischen drahtlosen Informationen aus einer PCAP und gib eine einzelne CSV aus. Dies teilt die PCAP-Dateien auf und verarbeitet sie basierend auf der Anzahl deiner CPU-Kerne.

./pcapinator.py --in [directory or file] --wifi_csv --split --debug

Führe eine benutzerdefinierte Tshark-Abfrage aus und gib die von dir angegebenen Felder aus. In diesem Fall wird nach allem E-Mail-bezogenen gesucht und die entsprechenden interessanten Felder ausgegeben.

./pcapinator.py --in [directory or file] --query "tcp.port == 143 || tcp.port == 110 || tcp.port == 25 || tcp.port == 26 || pop || imap || smtp" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

Eine benutzerdefinierte Abfrage zum Abrufen von HTTP-Daten.

./pcapinator.py --in [directory or file] --query "http" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

Eine benutzerdefinierte Abfrage zum Abrufen von SSIDs, die die Buchstaben TEST enthalten. Ersetze TEST durch deinen Teil-Suchparameter.

./pcapinator.py --in [directory or file] --query "wlan.ssid contains TEST" --fields "-e frame.time -e frame.time_epoch -e wlan.sa -e wlan.ta -e wlan.ta_resolved -e wlan.ra -e wlan.da -e wlan.bssid -e wlan.ssid -e wps.manufacturer -e wps.device_name -e wps.model_name -e wps.model_number -e wps.uuid_e -e wlan.fc.type_subtype -e frame.len -e wlan_radio.signal_dbm" --split --debug

Erhalte eine CSV-Datei mit DNS-Informationen.

./pcapinator.py --in [directory or file] --dnsSimple --split --debug

Zukünftige Funktionen

Automatischer Import in eine Postgres-Datenbank aus einer PCAP-Datei.

Automatischer Import in den Elastic Stack.

Automatisches Pushen in Graphistry

Verallgemeinerte Nutzung von editcap zur Unterstützung weiterer vom Tool unterstützter Optionen.

Verallgemeinerte Nutzung von Tshark zur Unterstützung weiterer vom Tool unterstützter Optionen.

Tool zum Entfernen aller unverschlüsselten Daten aus PCAP-Dateien und zum Speichern der Ergebnisse in neuen PCAP-Dateien.

Tool zum Anonymisieren von Verkehrsdaten unter Beibehaltung des Kontextes.