gopacket

Impacketの完全なGo移植版 - WindowsおよびActive Directoryプロトコル攻撃用の63のCLIツールと24のライブラリを、依存関係のない単一バイナリにコンパイル。

プラットフォームサポート

gopacket は Linux、macOS、Windows でビルドできます。動作するツールのセットと利用可能なプロキシパスはビルドフラグによって異なります:

sniff と split は cgo 経由で libpcap に依存し、sniffer は Unix 生ソケットに依存します。ツールがターゲット用にビルドできない場合、gopacket は明確なメッセージを出力して終了コード 1 で終了するスタブに置き換えるため、go build ./... は常に成功し、インストールレイアウトはプラットフォーム間で一貫しています。

アンインストールするには:

プロキシサポート

gopacket は 2 つの独立したプロキシパスをサポートしています。これらはチェーンすることもできます。

proxychains (LD_PRELOAD)

すべての gopacket ツールは proxychains を通じて動作します。Go バイナリは通常 proxychains をバイパスします。Go ランタイムは DNS とネットワークを内部的に処理し、proxychains が依存する LD_PRELOAD フックをスキップするためです。gopacket はネットワーク操作のためにシステム C ライブラリにリンクすることでこれを回避し、proxychains が通常通り接続を傍受できるようにします。

内部 SOCKS5 プロキシ (-proxy)

すべてのツールは -proxy を受け付け、LD_PRELOAD に依存せずに送信 TCP を SOCKS5 サーバー経由でルーティングします。受け入れられるスキーム: socks5 と socks5h。-proxy が未設定の場合、ALL_PROXY / all_proxy 環境変数がフォールバックとして参照されます。

UDP 依存の機能は -proxy 下では無効化され、パケットがサイレントに漏洩することはありません (SOCKS5 UDP ASSOCIATE はプロキシでサポートされることが稀であり、UDP でプロキシをバイパスするとオペレーターの実際の送信元 IP が露出するため)。影響を受ける機能とその回避策は KNOWN_ISSUES.md に記載されています。

チェーン: -proxy は proxychains と互換性があります。SOCKS5 プロキシ自体への TCP 接続は依然として libc の connect() を経由するため、proxychains → gopacket → -proxy → target はネストされたルーティングシナリオで機能します。

ドキュメント

gopacket の 24 のプロトコルパッケージ上にカスタムツールを構築するための完全な API ドキュメント、コード例、アーキテクチャ概要については、ライブラリ開発者ガイド を参照してください。

ツール (63)

リモート実行

資格情報ダンプ & DPAPI

Kerberos

Active Directory 列挙

Active Directory 攻撃

SMB ツール

NTLM リレー

ntlmrelayx は以下をサポートします:

• キャプチャサーバー: SMB、HTTP/HTTPS、WCF (ADWS)、RAW、RPC、WinRM
• リレークライアント: SMB、LDAP/LDAPS、HTTP/HTTPS、MSSQL、WinRM、RPC
• 攻撃: secretsdump、smbexec、ldapdump、RBCD 委任、ACL 悪用、シャドウ資格情報、ADCS ESC8、addcomputer、DNS 操作など
• インフラストラクチャ: プロトコル対応プラグインを備えた SOCKS5 プロキシ、対話型コンソール、REST API、マルチターゲットラウンドロビン、WPAD サービス

SQL Server

WMI

ターミナルサービス

その他のプロトコル

ユーティリティ

認証

すべてのネットワークツールは 3 つの認証方法をサポートしています:

共通フラグ

クイック例

ライブラリ

pkg/ ディレクトリには、独立してインポートできる 24 の再利用可能なプロトコルパッケージが含まれています。

不足している機能 (Impacket との比較)

gopacket は Impacket との完全な同等性を目指しています。以下はまだ実装されていません:

リレープロトコルクライアント:

• IMAP リレークライアント + 攻撃 (Exchange/IMAP サーバーが必要)
• SMTP リレークライアント (SMTP サーバーが必要)

リレー攻撃モジュール:

• SCCM ポリシー/DP 攻撃 (SCCM インフラストラクチャが必要)

スタンドアロンツール:

• ifmap.py (DCOM インターフェースマッピング)
• mimikatz.py (RPC 経由の限定的な Mimikatz)
• goldenPac.py (MS14-068 - パッチ適用済みシステムでは廃止)
• smbrelayx.py (ntlmrelayx に取って代わられた)
• kintercept.py (Kerberos 傍受)

これらのギャップは優先度が低いです - ほとんどはテストにニッチなインフラストラクチャが必要か、新しい技術によって廃止されています。

既知の制限

これらは Impacket と共有されるプロトコルレベルの制限であり、gopacket のバグではありません:

• SMB から LDAPS へのリレーは、NTLM MIC 検証 (CVE-2019-1040 以降) のためパッチ適用済み DC では失敗します。代わりに HTTP 強制を使用してください。
• WinRM リレーは、パッチ適用済み Server 2019+ の EPA (Extended Protection for Authentication) によってブロックされます。
• RPC リレー攻撃 (tschexec、enum-local-admins) は PKT_INTEGRITY を必要としますが、リレーセッションでは利用できません。
• ポート 389 への LDAP リレーは、LDAP 署名を要求する DC では失敗します。常に LDAPS (ポート 636) にリレーしてください。

各問題の詳細と回避策については KNOWN_ISSUES.md を参照してください。

問題の報告と貢献

これはベータリリースです。バグは想定されており、貢献を歓迎します。

最初に Impacket でテストするようお願いする理由

gopacket は Impacket と同じワイヤプロトコルを実装しているため、「バグ」の大部分は gopacket 固有ではなく環境的なものであることが判明します - パッチ適用済み DC、LDAP 署名要件、EPA、PKT_INTEGRITY、SMB 署名、CVE-2019-1040 以降の NTLM MIC 検証、SPN の欠落、時刻のずれ、DNS の癖、ファイアウォールルールなどです。同じ操作を Impacket で並行して実行することで、環境を方程式から除外できます:

• Impacket が同じように失敗する場合、問題はほぼ常に環境的であり、KNOWN_ISSUES.md に既に記載されている可能性が高いです。バグレポートは不要です。
• Impacket が成功し gopacket が失敗する場合、それは実際の gopacket のバグであり、まさに私たちが知りたいことです。

この単一のトリアージステップにより多くの往復が節約されるため、省略しないでください。

バグレポートの提出

1. 同じ操作を Impacket で実行し、成功するか失敗するかを記録する
2. gopacket を -debug 付きで再実行し、完全な出力をキャプチャする
3. 投稿する前に機密情報を匿名化してください。 GitHub の issue は公開されています。 実際のホスト名、IP アドレス、ユーザー名、パスワードハッシュ、 Kerberos チケット、ドメイン名、SID、および実際のエンゲージメントに 結びつけられる可能性のある出力行を削除または置換してください。corp.internal → example.local および dc01.corp.internal → dc01.example.local への置換は問題ありません - データの 構造は保ち、識別情報の値だけを変えてください。疑わしい場合は、墨消ししてください。
4. GitHub issue を開き、以下を含めてください:
   • 両方の出力 (gopacket と Impacket)、スクリーンショットではなくテキストで、匿名化済み
   • 実行した正確なコマンドライン (匿名化済み)
   • ターゲット OS、AD 機能レベル、および関連するハードニング (署名、EPA、チャネルバインディング、パッチレベル)
   • gopacket のバージョン / コミットハッシュ

機能リクエスト

ユースケースと Impacket の同等機能 (存在する場合) を説明する GitHub issue を開いてください。機能が上記の 「不足している機能」リストにある場合は、どれかを言及してください - 優先順位付けに役立ちます。

プルリクエスト

PR を歓迎します。開く前に:

• go build ./...、go vet ./...、gofmt -l .、go test ./... を実行し、すべてがクリーンにパスすることを確認してください
• 触れるパッケージの既存のコードスタイルに合わせてください
• 変更を焦点を絞ってください - リファクタリングと機能作業を分離してください
• 自明でない変更については、まず issue を開いてアプローチを議論してください

これが防御者にとって重要な理由

脅威アクターは Python から離れつつあります。コンパイルされた Go および Rust のツーリング (Sliver、BRC4、Geacon、および特注のローダー) が、実際の侵入で Impacket に取って代わりつつあります。ほとんどの防御ツーリングと検出 ロジックは Impacket の Python ベースのネットワーク動作を中心に構築されており、攻撃者のエコシステムがコンパイル言語に移行するにつれて、そのカバレッジは侵食されています。

gopacket は、セキュリティコミュニティがこの移行を先取りするのを助けるために存在します。同じプロトコルと技術のオープンソースで読みやすい Go 実装を提供することで、防御者と検出エンジニアは以下が可能になります:

• インシデント中に遭遇するのを待つのではなく、Go ベースのツーリングがワイヤ上でどのように動作するかを研究する
• 既存のシグネチャを効果的にしなくする Go と Python 実装間のプロトコルレベルの違いを理解する
• 脅威アクターが採用しているのと同じコンパイル済み単一バイナリツーリングを使用して、現実的なパープルチーム演習を実行する。ネットワーク層で異なる動作をする Python スクリプトに対してのみテストするのではなく

攻撃者ツーリングと防御者の可視性のギャップは、新しいツーリングが非公開のままであるときに最も広がります。gopacket をオープンソース化することで、そのギャップが狭まります。

注意事項

• Kerberos 認証には有効な ccache ファイル (TGT またはサービスチケット) が必要です
• Kerberos の場合、IP アドレスではなく FQDN ホスト名を使用してください
• KRB5CCNAME が設定されていない場合、ツールはカレントディレクトリで <username>.ccache を探します
• すべてのツールは proxychains と内部 -proxy SOCKS5 フラグの両方をサポートしています (プロキシサポートを参照)
• このプロジェクトは許可されたセキュリティテストと研究目的のみを対象としています

ライセンス

Apache License 2.0 の下でリリースされています。

gopacket は Impacket のクリーンな Go 再実装です。完全なサードパーティの謝辞については NOTICE を参照してください。