pcapinator

Une application pour traiter de nombreux pcaps en exécutant de nombreuses instances de tshark

Configuration

Installez Python3, le seul vrai Python...

pip install python-dateutil pandas

Fonctionnalités

Traite récursivement plusieurs fichiers PCAP, y compris ceux dans les sous-répertoires.

Wrapper autour d'editcap (outil Wireshark) qui permet à l'utilisateur de fractionner les fichiers PCAP en morceaux plus petits.

Récupère automatiquement toutes les poignées de main, les enregistre en tant que pcap et crée également un fichier hashcat pour traitement.

Wrapper autour de tshark qui permet à l'utilisateur de filtrer les fichiers pcap pour les poignées de main et de les sortir au format pcap.

Rassemble les informations sans fil standard et les place dans un CSV

Exemples d'utilisation:

Exécutez PCAPFix sur l'ensemble de données pour réparer les PCAP endommagés ou tronqués.

./pcapinator.py --in [directory or file] --pcapfix --pcapfix_dir [directory for original pcaps before fix] --debug

Rassemblez toutes les informations sans fil typiques d'un pcap et produisez un seul CSV. Cela divisera les fichiers PCAP et les traitera en fonction du nombre de cœurs CPU dont vous disposez.

./pcapinator.py --in [directory or file] --wifi_csv --split --debug

Exécutez une requête tshark personnalisée et affichez les champs que vous spécifiez. Dans ce cas, il recherche tout ce qui est lié aux e-mails et produit les champs intéressants associés.

./pcapinator.py --in [directory or file] --query "tcp.port == 143 || tcp.port == 110 || tcp.port == 25 || tcp.port == 26 || pop || imap || smtp" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

Une requête personnalisée pour obtenir des données HTTP.

./pcapinator.py --in [directory or file] --query "http" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

Une requête personnalisée pour obtenir les SSID contenant les lettres TEST, remplacez TEST par votre paramètre de recherche partielle.

./pcapinator.py --in [directory or file] --query "wlan.ssid contains TEST" --fields "-e frame.time -e frame.time_epoch -e wlan.sa -e wlan.ta -e wlan.ta_resolved -e wlan.ra -e wlan.da -e wlan.bssid -e wlan.ssid -e wps.manufacturer -e wps.device_name -e wps.model_name -e wps.model_number -e wps.uuid_e -e wlan.fc.type_subtype -e frame.len -e wlan_radio.signal_dbm" --split --debug

Obtenez un fichier CSV avec les informations DNS.

./pcapinator.py --in [directory or file] --dnsSimple --split --debug

Fonctionnalités futures

Import automatique dans une base de données Postgres à partir d'un fichier PCAP.

Import automatique dans Elastic Stack.

Push automatique dans Graphistry

Utilisation généralisée autour d'editcap pour prendre en charge d'autres options supportées par l'outil.

Utilisation généralisée autour de tshark pour prendre en charge d'autres options supportées par l'outil.

Outil pour supprimer toutes les données non chiffrées des fichiers pcap et placer les résultats dans de nouveaux fichiers pcap.

Outil pour anonymiser les données de trafic tout en conservant le contexte.