Dshell

एक विस्तारणीय नेटवर्क फोरेंसिक विश्लेषण फ्रेमवर्क। नेटवर्क पैकेट कैप्चर के विश्लेषण का समर्थन करने के लिए प्लगइन्स के त्वरित विकास को सक्षम बनाता है।

मुख्य विशेषताएँ:

विशेष प्लगइन्स का उपयोग करके गहन पैकेट विश्लेषण
मजबूत स्ट्रीम पुनर्संयोजन
IPv4 और IPv6 समर्थन
कई उपयोगकर्ता-चयन योग्य आउटपुट प्रारूप और कस्टम आउटपुट हैंडलर बनाने की क्षमता
श्रृंखलाबद्ध प्लगइन्स
डेटा स्रोत के प्रबंधन को अलग-अलग Python प्रक्रियाओं में विभाजित करने का समानांतर प्रसंस्करण विकल्प
बाहरी प्लगइन पैक के विकास को सक्षम बनाता है ताकि कोर Dshell प्लगइन निर्देशिकाओं को ओवरलैप किए बिना नए बाहरी रूप से विकसित प्लगइन्स को साझा और स्थापित किया जा सके

[!WARNING] Dshell का वर्तमान 3.2.4 संस्करण कई कमज़ोरियों को ठीक करता है, जिनमें एक out-of-memory अपवाद भी शामिल है जो Dshell प्रक्रिया को क्रैश कर सकता है। उपयोगकर्ताओं को इस संस्करण में अपडेट करने के लिए प्रोत्साहित किया जाता है।

गाइड

Dshell User Guide
- स्थापना के साथ-साथ उदाहरणों के साथ बुनियादी और उन्नत विश्लेषण के लिए एक गाइड
- नए और अनुभवी अंतिम उपयोगकर्ताओं को डिकोडर-शेल (Dshell) फ्रेमवर्क का उपयोग और समझने में मदद करता है
Dshell Developer Guide
- बुनियादी उदाहरणों के साथ प्लगइन विकास के लिए एक गाइड, साथ ही कोर फ़ंक्शन और क्लास परिभाषाएँ, और डेटा प्रवाह का अवलोकन
- अंतिम उपयोगकर्ताओं को नए, कस्टम Dshell प्लगइन्स विकसित करने के साथ-साथ मौजूदा प्लगइन्स को संशोधित करने में मदद करता है

आवश्यकताएँ

Linux (Ubuntu 20.04 LTS पर विकसित)
Python 3 (Python 3.8.10 के साथ विकसित)
pypacker
pcapy-ng
pyOpenSSL
geoip2
- MaxMind GeoIP2 data sets
  - IP पतों को देश कोड में मैप करने के लिए उपयोग किया जाता है
  - कॉन्फ़िगरेशन के लिए Installation अनुभाग देखें

वैकल्पिक

oui.txt
- कुछ प्लगइन्स द्वारा उपयोग किया जाता है जो MAC पतों को संभालते हैं
- <dshell>/data/ में रखें
elasticsearch
- elasticout आउटपुट मॉड्यूल में उपयोग किया जाता है
- केवल तभी आवश्यक है जब आउटपुट संग्रहीत करने के लिए elasticsearch का उपयोग करने की योजना हो
pyJA3
- tls प्लगइन में उपयोग किया जाता है

स्थापना

pip के साथ Dshell स्थापित करें

python3 -m pip install Dshell/ OR python3 -m pip install <Dshell-tarball>

MaxMind GeoLite2 डेटा सेट फ़ाइलों (GeoLite2-ASN.mmdb, GeoLite2-City.mmdb, GeoLite2-Country.mmdb) को [...]/site-packages/dshell/data/GeoIP/ में रखकर geoip2 को कॉन्फ़िगर करें
dshell चलाएँ। यह आपको Dshell> प्रॉम्प्ट पर ले जाना चाहिए।

बुनियादी उपयोग

decode -l
- यह सभी उपलब्ध प्लगइन्स को उनके बारे में बुनियादी जानकारी के साथ सूचीबद्ध करेगा
decode -h
- अधिकांश प्लगइन्स के लिए उपलब्ध सामान्य कमांड-लाइन फ़्लैग दिखाएँ, जैसे सभी रंग आउटपुट के लिए रंग-अंध मैत्रीपूर्ण मोड
decode -p <plugin>
- किसी प्लगइन के बारे में जानकारी प्रदर्शित करें, जिसमें उपलब्ध कमांड लाइन फ़्लैग शामिल हैं
decode -p <plugin> <pcap>
- चयनित प्लगइन को pcap या pcapng फ़ाइल पर चलाएँ
decode -p <plugin1>+<plugin2> <pcap>
- दो (या अधिक) प्लगइन्स को एक साथ श्रृंखलाबद्ध करें और उन्हें pcap फ़ाइल पर चलाएँ
decode -p <plugin> -i <interface>
- चयनित प्लगइन को किसी इंटरफ़ेस पर लाइव चलाएँ (सुपरयूज़र विशेषाधिकारों की आवश्यकता हो सकती है)

उपयोग के उदाहरण

नमूना ट्रैफ़िक में DNS लुकअप दिखाना

Dshell> decode -p dns ~/pcap/dns.cap | sort
[DNS] 2005-03-30 03:47:46    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 4146, TXT? google.com., TXT: b'\x0fv=spf1 ptr ?all' **
[DNS] 2005-03-30 03:47:50    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 63343, MX? google.com., MX: b'\x00(\x05smtp4\xc0\x0c', MX: b'\x00\n\x05smtp5\xc0\x0c', MX: b'\x00\n\x05smtp6\xc0\x0c', MX: b'\x00\n\x05smtp1\xc0\x0c', MX: b'\x00\n\x05smtp2\xc0\x0c', MX: b'\x00(\x05smtp3\xc0\x0c' **
[DNS] 2005-03-30 03:47:59    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 18849, LOC? google.com. **
[DNS] 2005-03-30 03:48:07    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 39867, PTR? 104.9.192.66.in-addr.arpa., PTR: 66-192-9-104.gen.twtelecom.net. **
[DNS] 2005-03-30 03:49:18    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 30144, A? www.netbsd.org., A: 204.152.190.12 (ttl 82159s) **
[DNS] 2005-03-30 03:49:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 61652, AAAA? www.netbsd.org., AAAA: 2001:4f8:4:7:2e0:81ff:fe52:9a6b (ttl 86400s) **
[DNS] 2005-03-30 03:50:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 32569, AAAA? www.netbsd.org., AAAA: 2001:4f8:4:7:2e0:81ff:fe52:9a6b (ttl 86340s) **
[DNS] 2005-03-30 03:50:44    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 36275, AAAA? www.google.com., CNAME: 'www.l.google.com.' **
[DNS] 2005-03-30 03:50:54    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 56482, AAAA? www.l.google.com. **
[DNS] 2005-03-30 03:51:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 48159, AAAA? www.example.com. **
[DNS] 2005-03-30 03:51:46    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 9837, AAAA? www.example.notginh., NXDOMAIN **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 65251, AAAA: 2001:4f8:0:2::d (ttl 600s), A: 204.152.184.88 (ttl 600s) **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32796 --   192.168.170.20:53    ** ID: 23123, PTR? 1.0.0.127.in-addr.arpa., PTR: localhost. **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32797 --   192.168.170.20:53    ** ID: 8330, NS: b'\x06ns-ext\x04nrt1\xc0\x0c', NS: b'\x06ns-ext\x04sth1\xc0\x0c', NS: b'\x06ns-ext\xc0\x0c', NS: b'\x06ns-ext\x04lga1\xc0\x0c' **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1707  --      217.13.4.24:53    ** ID: 12910, SRV? _ldap._tcp.Default-First-Site-Name._sites.dc._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1708  --      217.13.4.24:53    ** ID: 61793, SRV? _ldap._tcp.dc._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1709  --      217.13.4.24:53    ** ID: 33633, SRV? _ldap._tcp.05b5292b-34b8-4fb7-85a3-8beef5fd2069.domains._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1710  --      217.13.4.24:53    ** ID: 53344, A? GRIMM.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:25   192.168.170.56:1711  --      217.13.4.24:53    ** ID: 30307, A? GRIMM.utelsystems.local., NXDOMAIN **

नमूना ट्रैफ़िक में एक स्ट्रीम का अनुसरण और पुनः संयोजन

Dshell> decode -p followstream ~/pcap/v6-http.cap 
Connection 1 (TCP)
Start: 2007-08-05 15:16:44.189851
End:   2007-08-05 15:16:44.219460
2001:6f8:102d:0:2d0:9ff:fee3:e8de: 59201 -> 2001:6f8:900:7c0::2:    80 (300 bytes)
2001:6f8:900:7c0::2:    80 -> 2001:6f8:102d:0:2d0:9ff:fee3:e8de: 59201 (2379 bytes)

GET / HTTP/1.0
Host: cl-1985.ham-01.de.sixxs.net
Accept: text/html, text/plain, text/css, text/sgml, */*;q=0.01
Accept-Encoding: gzip, bzip2
Accept-Language: en
User-Agent: Lynx/2.8.6rel.2 libwww-FM/2.14 SSL-MM/1.4.1 OpenSSL/0.9.8b



HTTP/1.1 200 OK
Date: Sun, 05 Aug 2007 19:16:44 GMT
Server: Apache
Content-Length: 2121
Connection: close
Content-Type: text/html

Dshell

सबसे लोकप्रिय

Dshell

गाइड

आवश्यकताएँ

वैकल्पिक

स्थापना

बुनियादी उपयोग

उपयोग के उदाहरण