gopacket

Par Jacob Paullus (@psycep_)

Une implémentation complète en Go de Impacket - 63 outils et 24 packages de bibliothèque pour l'interaction avec les protocoles réseau Windows, l'énumération Active Directory et l'exécution d'attaques. Conçu comme un framework Go natif afin que vous puissiez compiler une fois et exécuter partout sans dépendances Python.

Version bêta - Hautement expérimentale. gopacket est en développement actif. Les outils principaux ont été testés contre des environnements de laboratoire Active Directory, mais des cas limites et des particularités de protocole sont à prévoir. Si quelque chose ne fonctionne pas, veuillez tester la même opération avec Impacket en parallèle et inclure les deux sorties dans votre rapport de bug. Cela nous aide à identifier rapidement s'il s'agit d'un problème spécifique à gopacket ou d'une limitation de protocole partagée.

Installation

git clone https://github.com/mandiant/gopacket
cd gopacket

# Default: Linux/macOS build + install to /usr/local/bin
./install.sh

# Run with no flags and it prompts you through the choices interactively.
# Or pick a target directly:
./install.sh --target portable   # static Linux binaries in ./dist/portable/
./install.sh --target windows    # Windows .exe cross-compiles in ./dist/windows/
./install.sh --target all        # build every target in one run

# Build without installing (native only)
./install.sh --build-only

# Or build with make
make build

La compilation par défaut (--target native) nécessite Go 1.24.13+, GCC et les en-têtes de développement libpcap (apt install build-essential libpcap-dev sur Debian/Ubuntu/Kali, yum install gcc libpcap-devel sur RHEL/CentOS, ou brew install libpcap sur macOS). Les cibles portable et windows ne nécessitent que la chaîne d'outils Go ; sniff et split deviennent des stubs dans ces compilations car ils dépendent de libpcap. Voir Platform Support pour la matrice complète.

Platform Support

gopacket se compile sur Linux, macOS et Windows. L'ensemble des outils fonctionnels et des chemins de proxy disponibles dépend des options de compilation :

Build	Tools available	Proxying
Linux / macOS with cgo (default)	All 63	proxychains (LD_PRELOAD) and/or -proxy SOCKS5
Linux with CGO_ENABLED=0	61 (sniff, split become stubs)	-proxy only (proxychains needs the libc hook)
Windows (GOOS=windows CGO_ENABLED=0)	60 (sniff, split, sniffer stubs)	-proxy only (no LD_PRELOAD on Windows)

sniff et split dépendent de libpcap via cgo ; sniffer dépend des sockets bruts Unix. Lorsqu'un outil ne peut pas être compilé pour la cible, gopacket substitue un stub qui affiche un message clair et se termine avec le code 1, de sorte que go build ./... réussit toujours et que la disposition d'installation est cohérente entre les plateformes.

Pour désinstaller :

./install.sh --uninstall

Proxy Support

gopacket prend en charge deux chemins de proxy indépendants. Ils peuvent également être chaînés.

proxychains (LD_PRELOAD)

Tous les outils gopacket fonctionnent via proxychains. Les binaires Go contournent normalement proxychains car le runtime Go gère le DNS et la mise en réseau en interne, ignorant les hooks LD_PRELOAD sur lesquels proxychains s'appuie. gopacket contourne cela en se liant à la bibliothèque C du système pour les opérations réseau, permettant à proxychains d'intercepter les connexions normalement.

proxychains gopacket-secretsdump 'domain/user:password@target'
proxychains gopacket-smbclient -k -no-pass 'domain/[email protected]'

Internal SOCKS5 proxy (-proxy)

Chaque outil accepte -proxy pour router le TCP sortant via un serveur SOCKS5 sans dépendre de LD_PRELOAD. Schémas acceptés : socks5 et socks5h. Lorsque -proxy n'est pas défini, les variables d'environnement ALL_PROXY / all_proxy sont consultées comme solution de repli.

gopacket-secretsdump -proxy socks5h://127.0.0.1:1080 'domain/user:password@target'
ALL_PROXY=socks5h://127.0.0.1:1080 gopacket-smbclient 'domain/user:password@target'

Les fonctionnalités dépendant d'UDP sont désactivées sous -proxy plutôt que de laisser fuiter silencieusement des paquets (SOCKS5 UDP ASSOCIATE est rarement pris en charge par les proxys, et contourner le proxy pour UDP révélerait l'IP source réelle de l'opérateur). Les fonctionnalités affectées et leurs solutions de contournement sont documentées dans KNOWN_ISSUES.md.

Chaînage : -proxy est compatible avec proxychains. La connexion TCP vers le proxy SOCKS5 lui-même passe toujours par connect() de la libc, donc proxychains → gopacket → -proxy → target fonctionne pour les scénarios de routage imbriqué.

Documentation

Voir le Library Developer Guide pour la documentation complète de l'API, des exemples de code et un aperçu de l'architecture pour construire des outils personnalisés au-dessus des 24 packages de protocole de gopacket.

Tools (63)

Remote Execution

Tool	Description
psexec	Exécution de commandes à distance via la création de service SMB
smbexec	Exécution de commandes à distance via SMB (plus discret que psexec)
wmiexec	Exécution de commandes à distance via WMI
dcomexec	Exécution de commandes à distance via DCOM
atexec	Exécution de commandes à distance via le Planificateur de tâches

Credential Dumping & DPAPI

Tool	Description
secretsdump	Extraction SAM/LSA/NTDS.dit et DCSync (à distance + hors ligne)
dpapi	Extraction de la clé de sauvegarde DPAPI
esentutl	Analyseur de base de données ESE hors ligne (NTDS.dit)
registry-read	Analyseur de ruche de registre Windows hors ligne

Kerberos

Tool	Description
getTGT	Demander un TGT avec mot de passe, hash ou clé AES
getST	Demander un ticket de service avec S4U2Self/S4U2Proxy
GetUserSPNs	Kerberoasting - trouver et demander des SPN
GetNPUsers	AS-REP roasting - trouver des comptes sans pré-authentification
ticketer	Falsification de tickets golden/silver
ticketConverter	Convertir entre les formats ccache et kirbi
describeTicket	Analyser et déchiffrer les tickets Kerberos
getPac	Demander et analyser les informations PAC
keylistattack	Attaque KERB-KEY-LIST-REQ (RODC)
raiseChild	Élévation de privilèges du domaine enfant vers le parent via golden ticket