Dshell

拡張可能なネットワークフォレンジック分析フレームワーク。ネットワークパケットキャプチャの解析をサポートするプラグインの迅速な開発を可能にします。

主な機能:

• 専用プラグインを使用した詳細なパケット分析
• 堅牢なストリーム再構築
• IPv4 および IPv6 のサポート
• 複数のユーザー選択可能な出力形式とカスタム出力ハンドラを作成する機能
• チェーン可能なプラグイン
• データソースの処理を個別の Python プロセスに分割する並列処理オプション
• コアの Dshell プラグインディレクトリと重複することなく、外部で開発された新しいプラグインを共有およびインストールするための外部プラグインパックの開発を可能にします

[!WARNING] 現在の Dshell 3.2.4 バージョンでは、Dshell プロセスをクラッシュさせる可能性のあるメモリ不足例外を含む、いくつかの脆弱性が修正されています。ユーザーはこのバージョンにアップデートすることを推奨します。

ガイド

• Dshell ユーザーガイド
  • インストール方法、および例を交えた基本分析と高度な分析の両方に関するガイド
  • 新規および経験豊富なエンドユーザーが decoder-shell (Dshell) フレームワークを使用し理解するのを支援します
• Dshell 開発者ガイド
  • 基本的な例を交えたプラグイン開発のガイド、およびコア関数とクラスの定義、データフローの概要
  • エンドユーザーが新しいカスタム Dshell プラグインを開発したり、既存のプラグインを変更したりするのを支援します

要件

• Linux (Ubuntu 20.04 LTS で開発)
• Python 3 (Python 3.8.10 で開発)
• pypacker
• pcapy-ng
• pyOpenSSL
• geoip2
  • MaxMind GeoIP2 データセット
    • IP アドレスを国コードにマッピングするために使用されます
    • 設定についてはインストールセクションを参照してください

オプション

• oui.txt
  • MAC アドレスを扱う一部のプラグインで使用されます
  • <dshell>/data/ に配置してください
• elasticsearch
  • elasticout 出力モジュールで使用されます
  • elasticsearch を使用して出力を保存する予定がある場合にのみ必要です
• pyJA3
  • tls プラグインで使用されます

インストール

1. pip を使用して Dshell をインストールします

• python3 -m pip install Dshell/ または python3 -m pip install <Dshell-tarball>

2. MaxMind GeoLite2 データセットファイル (GeoLite2-ASN.mmdb、GeoLite2-City.mmdb、GeoLite2-Country.mmdb) を [...]/site-packages/dshell/data/GeoIP/ に配置して geoip2 を設定します
3. dshell を実行します。これにより Dshell> プロンプトが表示されます。

基本的な使い方

• decode -l
  • 利用可能なすべてのプラグインとその基本情報を一覧表示します
• decode -h
  • すべてのカラー出力に対する色覚に配慮したモードなど、ほとんどのプラグインで利用可能な汎用コマンドラインフラグを表示します
• decode -p <plugin>
  • 利用可能なコマンドラインフラグを含む、プラグインに関する情報を表示します
• decode -p <plugin> <pcap>
  • 選択したプラグインを pcap または pcapng ファイルに対して実行します
• decode -p <plugin1>+<plugin2> <pcap>
  • 2 つ (またはそれ以上) のプラグインをチェーンして、pcap ファイルに対して実行します
• decode -p <plugin> -i <interface>
  • 選択したプラグインをインターフェース上でライブ実行します (スーパーユーザー権限が必要な場合があります)

使用例

サンプルトラフィック で DNS ルックアップを表示する

Dshell> decode -p dns ~/pcap/dns.cap | sort
[DNS] 2005-03-30 03:47:46    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 4146, TXT? google.com., TXT: b'\x0fv=spf1 ptr ?all' **
[DNS] 2005-03-30 03:47:50    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 63343, MX? google.com., MX: b'\x00(\x05smtp4\xc0\x0c', MX: b'\x00\n\x05smtp5\xc0\x0c', MX: b'\x00\n\x05smtp6\xc0\x0c', MX: b'\x00\n\x05smtp1\xc0\x0c', MX: b'\x00\n\x05smtp2\xc0\x0c', MX: b'\x00(\x05smtp3\xc0\x0c' **
[DNS] 2005-03-30 03:47:59    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 18849, LOC? google.com. **
[DNS] 2005-03-30 03:48:07    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 39867, PTR? 104.9.192.66.in-addr.arpa., PTR: 66-192-9-104.gen.twtelecom.net. **
[DNS] 2005-03-30 03:49:18    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 30144, A? www.netbsd.org., A: 204.152.190.12 (ttl 82159s) **
[DNS] 2005-03-30 03:49:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 61652, AAAA? www.netbsd.org., AAAA: 2001:4f8:4:7:2e0:81ff:fe52:9a6b (ttl 86400s) **
[DNS] 2005-03-30 03:50:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 32569, AAAA? www.netbsd.org., AAAA: 2001:4f8:4:7:2e0:81ff:fe52:9a6b (ttl 86340s) **
[DNS] 2005-03-30 03:50:44    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 36275, AAAA? www.google.com., CNAME: 'www.l.google.com.' **
[DNS] 2005-03-30 03:50:54    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 56482, AAAA? www.l.google.com. **
[DNS] 2005-03-30 03:51:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 48159, AAAA? www.example.com. **
[DNS] 2005-03-30 03:51:46    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 9837, AAAA? www.example.notginh., NXDOMAIN **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 65251, AAAA: 2001:4f8:0:2::d (ttl 600s), A: 204.152.184.88 (ttl 600s) **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32796 --   192.168.170.20:53    ** ID: 23123, PTR? 1.0.0.127.in-addr.arpa., PTR: localhost. **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32797 --   192.168.170.20:53    ** ID: 8330, NS: b'\x06ns-ext\x04nrt1\xc0\x0c', NS: b'\x06ns-ext\x04sth1\xc0\x0c', NS: b'\x06ns-ext\xc0\x0c', NS: b'\x06ns-ext\x04lga1\xc0\x0c' **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1707  --      217.13.4.24:53    ** ID: 12910, SRV? _ldap._tcp.Default-First-Site-Name._sites.dc._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1708  --      217.13.4.24:53    ** ID: 61793, SRV? _ldap._tcp.dc._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1709  --      217.13.4.24:53    ** ID: 33633, SRV? _ldap._tcp.05b5292b-34b8-4fb7-85a3-8beef5fd2069.domains._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1710  --      217.13.4.24:53    ** ID: 53344, A? GRIMM.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:25   192.168.170.56:1711  --      217.13.4.24:53    ** ID: 30307, A? GRIMM.utelsystems.local., NXDOMAIN **

サンプルトラフィック内のストリームの追跡と再構成

Dshell> decode -p followstream ~/pcap/v6-http.cap 
Connection 1 (TCP)
Start: 2007-08-05 15:16:44.189851
End:   2007-08-05 15:16:44.219460
2001:6f8:102d:0:2d0:9ff:fee3:e8de: 59201 -> 2001:6f8:900:7c0::2:    80 (300 bytes)
2001:6f8:900:7c0::2:    80 -> 2001:6f8:102d:0:2d0:9ff:fee3:e8de: 59201 (2379 bytes)

GET / HTTP/1.0
Host: cl-1985.ham-01.de.sixxs.net
Accept: text/html, text/plain, text/css, text/sgml, */*;q=0.01
Accept-Encoding: gzip, bzip2
Accept-Language: en
User-Agent: Lynx/2.8.6rel.2 libwww-FM/2.14 SSL-MM/1.4.1 OpenSSL/0.9.8b



HTTP/1.1 200 OK
Date: Sun, 05 Aug 2007 19:16:44 GMT
Server: Apache
Content-Length: 2121
Connection: close
Content-Type: text/html