PacketPirate

एक हेडलेस, स्क्रिप्टेबल, कमांड-लाइन आधारित MITM प्रॉक्सी जो Windows सिस्टम पर नेटवर्क ट्रैफ़िक इंटरसेप्शन, विश्लेषण और संशोधन के लिए डिज़ाइन की गई है। यह उद्योग-मानक GUI प्रॉक्सी के समान काम करती है, लेकिन स्वचालन वातावरण, हेडलेस संचालन और डेवलपमेंट वर्कफ़्लो के साथ एकीकरण के लिए अनुकूलित है।

नोट: यह Node.js में लागू एक स्टैंडअलोन, डिपेंडेंसी-मुक्त टूल है।

अवलोकन

• PacketPirate एक सिस्टम-व्यापी नेटवर्क इंटरसेप्शन टूल है। Windows HTTP प्रॉक्सी सेटिंग्स का लाभ उठाकर, यह आपकी मशीन पर चलने वाले किसी भी एप्लिकेशन से ट्रैफ़िक कैप्चर कर सकता है—जिसमें वेब ब्राउज़र (Chrome, Edge), CLI टूल (curl, git), और डेस्कटॉप एप्लिकेशन (Spotify, VS Code, Discord) शामिल हैं।

• ग्लोबल सिस्टम इंटरसेप्शन: सिस्टम प्रॉक्सी का सम्मान करने वाली किसी भी प्रक्रिया से HTTP/HTTPS ट्रैफ़िक कैप्चर करता है।

• प्रोसेस-अवेयर: पहचानें कि वास्तव में कौन सा एप्लिकेशन ट्रैफ़िक उत्पन्न कर रहा है।

• डायनेमिक रूल इंजन: मैचिंग ट्रैफ़िक पर विशिष्ट क्रियाएँ करने के लिए JSON के माध्यम से कॉन्फ़िगर करने योग्य (जैसे, टोकन निष्कर्षण, अनुरोध लॉगिंग)।

• पूर्ण ट्रैफ़िक लॉगिंग: विश्लेषण के लिए पूर्ण अनुरोध और प्रतिक्रिया बॉडी (HTML, JSON, Binary) डंप करने में सक्षम।

• हेडलेस आर्किटेक्चर: पूरी तरह से CLI से चलता है, जो पृष्ठभूमि सेवाओं और स्वचालित परीक्षण पाइपलाइनों के लिए उपयुक्त है।

• कस्टम प्रमाणपत्र प्रबंधन: HTTPS डिक्रिप्शन के लिए सेल्फ-साइन्ड रूट CA उत्पन्न करने और उन पर भरोसा करने के लिए उपयोगिताएँ शामिल हैं।

स्थापना

पूर्वापेक्षाएँ

• Node.js (v14 या उच्चतर)
• Windows 10/11 (सिस्टम प्रॉक्सी स्वचालन सुविधाओं के लिए आवश्यक)
• PowerShell (प्रमाणपत्र प्रबंधन स्क्रिप्ट के लिए)

सेटअप

रिपॉजिटरी को क्लोन करें और वातावरण को प्रारंभ करें:

# 1. स्थानीय SSL प्रमाणपत्र उत्पन्न करें
npm run setup

# 2. उत्पन्न रूट CA पर भरोसा करें
npm run trust
# नोट: प्रमाणपत्र को ट्रस्टेड रूट स्टोर में जोड़ने के लिए व्यवस्थापकीय स्वीकृति आवश्यक है।

उपयोग

प्रॉक्सी सर्वर प्रारंभ करें:

npm start

यह मानक CLI इंटरफ़ेस लॉन्च करता है।

CLI संचालन

इंटरैक्टिव मेनू निम्नलिखित नियंत्रण प्रदान करता है:

1. प्रोसेस स्कैन करें: स्थापित नेटवर्क कनेक्शन वाली सक्रिय प्रक्रियाओं को सूचीबद्ध करता है। ट्रैफ़िक को किसी विशिष्ट PID पर फ़िल्टर करने की अनुमति देता है (जैसे, विशेष रूप से code.exe की निगरानी करना)।
2. फ़िल्टर टॉगल करें: विशिष्ट मॉनिटरिंग सबसिस्टम को सक्षम/अक्षम करें:
   • API URL स्कैन: अनुरोधित API एंडपॉइंट्स को लॉग करता है।
   • हेडर डंप: पूर्ण अनुरोध हेडर को कंसोल पर आउटपुट करता है।
   • टोकन हंट: Authorization हेडर में Bearer टोकन का ह्यूरिस्टिक पता लगाना।
   • पूर्ण ट्रैफ़िक डंप: सभी ट्रैफ़िक (हेडर + पूर्ण बॉडी) को संरचित jsonl लॉग फ़ाइलों में कैप्चर करता है।
3. प्रॉक्सी प्रारंभ करें: सर्वर को पहले उपलब्ध पोर्ट (डिफ़ॉल्ट 8080) से बाँधता है और Windows सिस्टम प्रॉक्सी को कॉन्फ़िगर करता है।
4. नियम उत्पन्न करें: नए इंटरसेप्शन पैटर्न को तुरंत बनाने में सहायक।

कॉन्फ़िगरेशन

इंटरसेप्शन लॉजिक config/rules.json में परिभाषित है। यह फ़ाइल ट्रैफ़िक हैंडलिंग के स्थायी कॉन्फ़िगरेशन की अनुमति देती है।

स्कीमा:

{
  "rules": [
    {
      "name": "नियम का विवरण",
      "host": "hostname.match",
      "urlPattern": "regex_pattern",
      "action": "log | save_token",
      "outputFile": "path/to/output.txt",
      "tokenFilter": "regex_filter"
    }
  ]
}

उदाहरण:

{
    "rules": [
        {
            "name": "Test API",
            "host": "jsonplaceholder.typicode.com",
            "action": "save_token",
            "outputFile": "test_tokens.txt"
        }
    ]
}

तकनीकी विवरण

आर्किटेक्चर

यह टूल द्वि-सर्वर आर्किटेक्चर का उपयोग करता है:

1. प्रॉक्सी सर्वर: प्रारंभिक CONNECT टनलिंग अनुरोध को संभालता है और होस्ट फ़िल्टरिंग करता है।
2. MITM सर्वर: गतिशील रूप से उत्पन्न CA का उपयोग करके HTTPS ट्रैफ़िक को डिक्रिप्ट करता है, रूल इंजन के विरुद्ध पेलोड का निरीक्षण करता है, और अनुरोध को अपस्ट्रीम अग्रेषित करता है।

नेटवर्क हैंडलिंग

• पोर्ट प्रबंधन: स्वचालित रूप से EADDRINUSE त्रुटियों का पता लगाता है और मुक्त पोर्ट मिलने तक पोर्ट नंबर बढ़ाता है।
• सिस्टम प्रॉक्सी: सिस्टम-व्यापी प्रॉक्सी सेटिंग्स लागू करने के लिए PowerShell के माध्यम से सीधे रजिस्ट्री हेरफेर का उपयोग करता है।
• सफाई: नेटवर्क कनेक्टिविटी समस्याओं को रोकने के लिए बाहर निकलने पर प्रॉक्सी सेटिंग्स को पुनर्स्थापित करना सुनिश्चित करने हेतु SIGINT/SIGTERM हैंडलर लागू करता है।

प्रमाणपत्र जीवनचक्र और सुरक्षा

टूल HTTPS इंटरसेप्शन के लिए द्वि-प्रमाणपत्र मॉडल पर निर्भर करता है:

1. रूट CA जनरेशन: npm run setup एक सेल्फ-साइन्ड रूट CA (PacketPirateRoot) बनाता है।
   • तर्क: 5 वर्षों के लिए वैध की-पेयर उत्पन्न करने हेतु PowerShell के New-SelfSignedCertificate का उपयोग करता है।
   • निर्यात: कुंजी को पासवर्ड "headless" के साथ src/certs/server.pfx (PKCS#12 प्रारूप) में निर्यात किया जाता है।
2. विश्वास स्थापना: npm run trust इस रूट CA को Windows CurrentUser\Root स्टोर में इंजेक्ट करता है।
   • सुरक्षा दायरा: LocalMachine के बजाय CurrentUser को लक्षित करके, हम विश्वास त्रिज्या को आपकी विशिष्ट उपयोगकर्ता प्रोफ़ाइल तक सीमित करते हैं, जिससे सिस्टम-व्यापी जोखिम कम होता है।
   • ब्राउज़र स्वीकृति: Chrome, Edge, और IE इस विश्वास स्टोर को विरासत में लेते हैं। Firefox को Windows विश्वास स्टोर का सम्मान करने के लिए एक अलग टॉगल (security.enterprise_roots.enabled) की आवश्यकता होती है।
3. निष्कासन: npm run untrust एक स्वच्छ teardown प्रदान करता है।

🎓 शैक्षिक: हमने इसे कैसे बनाया

यह प्रोजेक्ट Node.js का उपयोग करके सिस्टम प्रोग्रामिंग का एक व्यावहारिक उदाहरण है। यह विशिष्ट वेब सर्वरों से आगे बढ़कर ऑपरेटिंग सिस्टम और नेटवर्क स्टैक के साथ निचले स्तर पर इंटरैक्ट करता है।

आर्किटेक्चर

participant App as एप्लिकेशन (VS Code)
participant OS as Windows OS
participant Proxy as प्रॉक्सी सर्वर
participant MITM as MITM सर्वर
participant Web as इंटरनेट

Note over App,Proxy: 1. सादा HTTP टनलिंग
App->>Proxy: CONNECT google.com:443
Proxy-->>App: 200 कनेक्शन स्थापित

Note over Proxy,MITM: 2. "हैंड-ऑफ" ट्रिक
Proxy->>MITM: सॉकेट डेटा पाइप करें (कच्चे एन्क्रिप्टेड बाइट्स)

Note over App,MITM: 3. TLS हैंडशेक और डिक्रिप्शन
MITM-->>App: ServerHello (स्थानीय रूट CA द्वारा हस्ताक्षरित)
App->>MITM: एन्क्रिप्टेड अनुरोध (GET /)

Note over MITM: 4. इंटरसेप्शन लॉजिक
MITM->>MITM: डिक्रिप्ट करें → हेडर का निरीक्षण करें → लॉग करें

Note over MITM,Web: 5. अपस्ट्रीम अग्रेषण
MITM->>Web: नया HTTPS अनुरोध (GET /)
Web-->>MITM: प्रतिक्रिया
MITM-->>App: प्रतिक्रिया

मुख्य अवधारणाएँ

1. "डुअल सर्वर" पैटर्न

Node.js का मानक http मॉड्यूल एक ही सर्वर इंस्टेंस पर CONNECT विधि (HTTPS टनल के लिए उपयोग की जाने वाली) और सामान्य HTTPS ट्रैफ़िक को आसानी से संभाल नहीं सकता है।

• सर्वर A (Net/HTTP): पोर्ट 8080 पर सुनता है। यह प्रारंभिक CONNECT अनुरोध को संभालता है। यह एक डंब TCP पाइप के रूप में कार्य करता है।
• सर्वर B (HTTPS): यह केवल मेमोरी में (या किसी यादृच्छिक पोर्ट पर) मौजूद होता है। इसमें निजी कुंजी होती है।
• ट्रिक: जब सर्वर A को कनेक्शन मिलता है, तो यह सॉकेट को सर्वर B को "emit" करता है। सर्वर B सोचता है कि उसे अभी एक नया कनेक्शन मिला है और SSL हैंडशेक शुरू करता है। यह हमें निर्बाध रूप से ट्रैफ़िक डिक्रिप्ट करने की अनुमति देता है।

2. प्रोसेस एट्रिब्यूशन (नेटस्टैट हैक)

हम कैसे जानते हैं कि ट्रैफ़िक कौन सा ऐप भेज रहा है? TCP पैकेटों पर स्वयं "प्रोसेस आईडी" का स्टिकर नहीं होता है।

• एफेमेरल पोर्ट्स: प्रत्येक आउटगोइंग कनेक्शन एक यादृच्छिक उच्च-संख्या वाले पोर्ट (जैसे, 54321) का उपयोग करता है।
• सहसंबंध: हम यह पता लगाने के लिए netstat -ano को शेल आउट करते हैं कि पोर्ट 54321 का स्वामी कौन सा PID है।
• अनुकूलन: हर पैकेट के लिए ऐसा करना धीमा है, इसलिए हम परिणामों को कैश करते हैं या केवल आवश्यकता पड़ने पर जाँच करते हैं।

3. स्ट्रीम फोर्किंग

हम डेटा को कुशलतापूर्वक संभालने के लिए Node.js स्ट्रीम का उपयोग करते हैं। पूर्ण 10MB प्रतिक्रिया डाउनलोड होने की प्रतीक्षा करने के बजाय, हम स्ट्रीम को "फोर्क" करते हैं:

• पाइप 1: क्लाइंट के पास जाता है (ताकि ऐप काम करता रहे)।
• पाइप 2: हमारे लॉगर के पास जाता है (ताकि हम इसे डिस्क पर सहेज सकें)। यह PassThrough स्ट्रीम का उपयोग करके किया जाता है, जो न्यूनतम अतिरिक्त विलंबता के साथ वास्तविक समय की निगरानी की अनुमति देता है।

लाइसेंस

GNU GPL v3.0