pcapinator

多数のpcapファイルを大量のtsharkで処理するためのアプリケーション

セットアップ

Python3（真のPython）をインストールしてください...

pip install python-dateutil pandas

機能

サブディレクトリ内のものを含め、複数のPCAPファイルを再帰的に処理します。

editcap（Wiresharkツール）のラッパー。ユーザーがPCAPファイルをより小さな断片に分割できるようにします。

すべてのハンドシェイクを自動的に取得し、pcapとして保存し、さらに処理用のhashcatファイルを作成します。

tsharkのラッパー。ユーザーがハンドシェイク用にpcapファイルをフィルタリングし、pcapとして出力できるようにします。

標準的な無線情報を収集し、CSVに出力します。

使用例

データセットに対してPCAPFixを実行し、破損または切断されたPCAPを修復します。

./pcapinator.py --in [ディレクトリまたはファイル] --pcapfix --pcapfix_dir [修正前の元のpcapを保存するディレクトリ] --debug

pcapから一般的な無線情報をすべて収集し、単一のCSVを出力します。これによりPCAPファイルが分割され、CPUコア数に基づいて処理されます。

./pcapinator.py --in [ディレクトリまたはファイル] --wifi_csv --split --debug

カスタムtsharkクエリを実行し、指定したフィールドを出力します。この例ではメール関連のものを検索し、関連する興味深いフィールドを出力しています。

./pcapinator.py --in [ディレクトリまたはファイル] --query "tcp.port == 143 || tcp.port == 110 || tcp.port == 25 || tcp.port == 26 || pop || imap || smtp" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

HTTPデータを取得するカスタムクエリ。

./pcapinator.py --in [ディレクトリまたはファイル] --query "http" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

文字列TESTを含むSSIDを取得するカスタムクエリ。TESTを検索したい部分文字列に変更してください。

./pcapinator.py --in [ディレクトリまたはファイル] --query "wlan.ssid contains TEST" --fields "-e frame.time -e frame.time_epoch -e wlan.sa -e wlan.ta -e wlan.ta_resolved -e wlan.ra -e wlan.da -e wlan.bssid -e wlan.ssid -e wps.manufacturer -e wps.device_name -e wps.model_name -e wps.model_number -e wps.uuid_e -e wlan.fc.type_subtype -e frame.len -e wlan_radio.signal_dbm" --split --debug

DNS情報を含むCSVファイルを取得します。

./pcapinator.py --in [ディレクトリまたはファイル] --dnsSimple --split --debug

今後の機能

PCAPファイルからPostgresデータベースへの自動インポート。

Elastic Stackへの自動インポート。

Graphistryへの自動プッシュ。

editcapのラッパーとして、ツールがサポートする他のオプションにも対応する汎用的な使用方法。

tsharkのラッパーとして、ツールがサポートする他のオプションにも対応する汎用的な使用方法。

pcapファイルからすべての暗号化されていないデータを除去し、結果を新しいpcapファイルに格納するツール。

トラフィックデータを匿名化しつつ、コンテキストを維持するツール。