PcapXray

एक नेटवर्क फोरेंसिक उपकरण — PCAP फ़ाइलों या लाइव ट्रैफ़िक को एनोटेटेड नेटवर्क आरेख के रूप में विज़ुअलाइज़ करें, जिसमें डिवाइस पहचान, प्रोटोकॉल वर्गीकरण, Tor का पता लगाना, और दुर्भावनापूर्ण ट्रैफ़िक चिह्नांकन शामिल है।

मॉड्यूल अवलोकन

graph TD
    UI[user_interface.py\nGUI controller] --> PR[pcap_reader\nFile + Live capture]
    PR --> ENG[engines/\nauto · dpkt · scapy · pyshark]
    PR --> MEM[(memory.py\nShared state)]
    MEM --> CDF[communication_details_fetch\nDNS · whois]
    MEM --> DDF[device_details_fetch\nOUI vendor lookup]
    MEM --> TTH[tor_traffic_handle\nTor consensus]
    MEM --> MTI[malicious_traffic_identifier\nHeuristic flags]
    MEM --> SS[sqlite_store\nSession persistence]
    MEM --> PLN[plot_lan_network\nGraphviz PNG + pyvis HTML]
    UI --> IG[interactive_gui\nMatplotlib panel]
    IG --> MEM
    PLN --> OUT[Reports + Diagrams]

डिज़ाइन विनिर्देश

लक्ष्य

एक PCAP फ़ाइल या एक लाइव नेटवर्क इंटरफ़ेस दिए जाने पर, एक नेटवर्क आरेख बनाएं जो होस्ट, ट्रैफ़िक प्रवाह, महत्वपूर्ण/Tor/दुर्भावनापूर्ण संचार, और प्रत्येक सत्र में शामिल डेटा प्रदर्शित करता है।

समस्या

• PCAP फ़ाइल की जांच में शुरुआती खामी के कारण बहुत समय लगता है
• हर फोरेंसिक अन्वेषक और नेटवर्क ट्रैफ़िक का विश्लेषण करने वाले किसी भी व्यक्ति को इसका सामना करना पड़ता है

समाधान: जांच प्रक्रिया को गति दें

निम्नलिखित विशेषताओं के साथ एक नेटवर्क आरेख बनाएं:

टूल की मुख्य विशेषताएं:

• नेटवर्क आरेख — पूरे नेटवर्क का सारांश नेटवर्क आरेख
• सर्वर विवरण के साथ वेब ट्रैफ़िक
• Tor ट्रैफ़िक का पता लगाना
• संभावित दुर्भावनापूर्ण ट्रैफ़िक को चिह्नित करना
• रिपोर्ट में पैकेट से प्राप्त डेटा — डिवाइस/ट्रैफ़िक/पेलोड
• डिवाइस विवरण — OUI विक्रेता, होस्टनाम रिज़ॉल्यूशन, whois
• रीयल-टाइम ग्राफ़ अपडेट के साथ लाइव ट्रैफ़िक कैप्चर
• इंटरैक्टिव ग्राफ़ — ब्राउज़र में अन्वेषण के लिए pyvis HTML
• सत्र स्थिरता — पुनर्विश्लेषण के बिना पुनः लोड करने के लिए SQLite कैश

स्क्रीनशॉट

मुख्य एप्लिकेशन पैनल

स्थैतिक नेटवर्क ग्राफ़ — ऑटो-फ़िट ज़ूम के साथ प्राकृतिक लेआउट

डेमो

सेटअप

आवश्यकताएँ: Python 3.10+

Linux (Ubuntu/Debian)

sudo apt-get update
sudo apt-get install -y python3-tk graphviz tshark
pip3 install -r requirements.txt
sudo python3 Source/main.py

यदि किसी विशिष्ट Python संस्करण (3.11, 3.12) का उपयोग कर रहे हैं, तो python3-tk को python3.11-tk या python3.12-tk से बदलें। केवल pip के माध्यम से Pillow स्थापित करें — apt से python3-pil स्थापित न करें क्योंकि यह विरोध करता है।

macOS

brew install graphviz
pip3 install -r requirements.txt
sudo python3 Source/main.py

लाइव कैप्चर के लिए sudo आवश्यक है। फ़ाइल विश्लेषण इसके बिना चलता है।

उपयोग

फ़ाइल विश्लेषण

1. .pcap / .pcapng फ़ाइल दर्ज करें या ब्राउज़ करें
2. आउटपुट निर्देशिका चुनें
3. इंजन चुनें (डिफ़ॉल्ट: auto)
4. Analyze! पर क्लिक करें
5. नेटवर्क आरेख उत्पन्न करने के लिए Visualize! पर क्लिक करें
6. अपने ब्राउज़र में pyvis HTML खोलने के लिए Interactive Graph पर क्लिक करें
7. matplotlib इंटरैक्टिव दृश्य खोलने के लिए Graph Panel पर क्लिक करें

लाइव कैप्चर

1. ड्रॉपडाउन से अपना नेटवर्क इंटरफ़ेस चुनें
2. ▶ Start Live पर क्लिक करें (sudo / रूट आवश्यक है)
3. ग्राफ़ पैनल खुलता है और हर 4 सेकंड अपडेट होता है
4. कैप्चर समाप्त करने के लिए ⏹ Stop पर क्लिक करें — कैप्चर के बाद कवर्ट चैनल डिटेक्शन चलता है
5. एक समय-बिंदु स्थैतिक स्नैपशॉट उत्पन्न करने के लिए Visualize! पर क्लिक करें

PCAP इंजन

PcapXray टूलबार से चार इंटरचेंजेबल पार्सिंग बैकएंड का समर्थन करता है:

घटक

• नेटवर्क आरेख — पूर्ण LAN टोपोलॉजी का graphviz-रेंडर PNG
• डिवाइस/ट्रैफ़िक विवरण और विश्लेषण — प्रति-सत्र पेलोड, TLS रिकॉर्ड, DNS क्वेरी
• दुर्भावनापूर्ण ट्रैफ़िक पहचान — पोर्ट और डोमेन ह्यूरिस्टिक-आधारित चिह्नांकन
• Tor ट्रैफ़िक — सर्वसम्मति डाउनलोड + सत्र मिलान
• लाइव कैप्चर — रीयल-टाइम matplotlib ग्राफ़ के साथ AsyncSniffer, 4-सेकंड रिफ्रेश
• GUI — फ़िल्टर विकल्पों, ज़ूम और सत्र नियंत्रणों के साथ Tkinter इंटरफ़ेस

Python लाइब्रेरीज़

सभी निर्भरताएँ requirements.txt में हैं — pip3 install -r requirements.txt से स्थापित करें। Tkinter एकमात्र लाइब्रेरी है जो PyPI पर नहीं है — इसे अपने सिस्टम पैकेज मैनेजर के माध्यम से स्थापित करें (Linux पर python3-tk, macOS पर Python के साथ शामिल)।

विकास और आर्किटेक्चर

DEV.md देखें पूर्ण आर्किटेक्चर दस्तावेज़ीकरण, कॉल फ़्लो आरेख, मॉड्यूल जिम्मेदारियाँ, थ्रेडिंग मॉडल, और नया इंजन जोड़ने का तरीका जानने के लिए।

सुरक्षा

SECURITY.md देखें जिम्मेदार प्रकटीकरण, सुरक्षा स्थिति, और ज्ञात सीमाओं के लिए।

परीक्षण

# तेज़ सूट — कोई नेटवर्क कॉल नहीं
pytest -m "not network" Test/

# वास्तविक DNS + Tor सहित पूर्ण सूट
pytest Test/

# पृथक इंजन वातावरण
tox
tox -e all-engines

Python 3.10, 3.11, 3.12 पर 96+ परीक्षण।

अतिरिक्त जानकारी

• macOS और Linux पर परीक्षण किया गया
• ट्रैफ़िक फ़िल्टर विकल्प: All, HTTP, HTTPS, Tor, Malicious, ICMP, DNS
• DEF CON 27 Demo Labs में प्रस्तुत

ज्ञात सीमाएँ

• macOS minimize restore — न्यूनतम करने के बाद डॉक आइकन पर क्लिक करने से ज्ञात Tk/Cocoa बग के कारण विंडो पुनर्स्थापित नहीं हो सकती। वर्कअराउंड के रूप में Cmd+Tab या डॉक आइकन पर राइट-क्लिक → Show का उपयोग करें।
• बड़ी कैप्चर — मेमोरी उपयोग सत्र संख्या के साथ बढ़ता है; बहुत बड़ी PCAP (1GB+) धीमी हो सकती है। बड़ी फ़ाइलों पर सर्वोत्तम प्रदर्शन के लिए dpkt इंजन का उपयोग करें।
• लाइव कैप्चर विशेषाधिकार — रॉ सॉकेट एक्सेस के लिए सभी प्लेटफ़ॉर्म पर root/sudo की आवश्यकता है।

भविष्य

• अधिक प्रोटोकॉल समर्थन (QUIC, HTTP/2, mDNS)
• वेब UI / eBPF इंजन
• PacketTotal-स्तर के प्रदर्शन के लिए Go पुनर्लेखन

श्रेय

• प्रोफेसर Marc Budofsky
• Kevin Gallagher
• सभी योगदानकर्ता और आश्रित लाइब्रेरी लेखक
• लोगो: logomakr.com + inkscape.org
• DEF CON 27 Demo Labs में प्रस्तुत

बस सुरक्षा मज़े के लिए!