cloudflare/filterforgeBPF 필터를 해결하고 이를 기반으로 패킷을 제작하기 위한 도구입니다.
Python 툴킷으로, Berkeley Packet Filter(BPF) 바이트코드를 역공학(reverse-engineering) 하기 위한 도구입니다. 맬웨어 샘플, 패킷 캡처 필터, 네트워크 장비에서 추출할 수 있는 원시 BPF 명령어를 입력받으면 filterforge가 이를 사람이 읽을 수 있는 형태로 디스어셈블하고, Z3를 사용하여 수용 경로를 만족하는 패킷 제약 조건 집합을 해결한 뒤, Scapy를 활용하여 해당 필터를 통과할 구체적인 네트워크 패킷을 생성합니다.
간단히 말해: BPF 프로그램을 넣으면 필터가 수용하는 완전한 형태의 패킷(Ethernet, IPv4/IPv6, TCP/UDP/SCTP 등)을 반환합니다 — 검사, PCAP 저장, 혹은 실제 네트워크 전송에 바로 사용할 수 있습니다.
이 도구를 실행하려면 uv를 설치하는 것이 좋습니다.
도구의 사용법에 대해서는 아래 예시를 참조하세요. 시간이 지남에 따라 더 많은 기능이 추가될 가능성이 있습니다.
주어진 BPF에 대해 빠르게 결과를 얻으려면 명령줄을 사용하는 것이 가장 쉽습니다. 일부 역공학 도구가 데이터를 복사된 형태로 반환하기 때문에, 원시 16진수 문자열 또는 16진수 값 배열을 제공할 수 있으며, -d 플래그를 사용하여 주어진 BPF의 디스어셈블리를 간단히 표시할 수 있습니다:
# 16진수 문자열
uv run ff -d -b "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"
# 16진수 값 배열
uv run ff -d -b "[0x28,0x0,0x0,0xc,0x15,0x0,0x1b,0x800,0x30,0x0,0x0,0x17,0x15,0x0,0x5,0x11,0x28,0x0,0x0,0x14,0x45,0x17,0x0,0x1fff,0xb1,0x0,0x0,0xe,0x48,0x0,0x0,0x16,0x15,0x13,0x14,0x7255,0x15,0x0,0x7,0x1,0x28,0x0,0x0,0x14,0x45,0x11,0x0,0x1fff,0xb1,0x0,0x0,0xe,0x48,0x0,0x0,0x16,0x15,0x0,0xe,0x7255,0x50,0x0,0x0,0xe,0x15,0xb,0xc,0x8,0x15,0x0,0xb,0x6,0x28,0x0,0x0,0x14,0x45,0x9,0x0,0x1fff,0xb1,0x0,0x0,0xe,0x50,0x0,0x0,0x1a,0x54,0x0,0x0,0xf0,0x74,0x0,0x0,0x2,0xc,0x0,0x0,0x0,0x7,0x0,0x0,0x0,0x48,0x0,0x0,0xe,0x15,0x0,0x1,0x5293,0x6,0x0,0x0,0xffff,0x6,0x0,0x0,0x0]"
주어진 BPF 바이트코드로부터 생성될 네트워크 패킷의 개요를 보려면 -c 플래그를 사용할 수 있습니다:
uv run ff -c -b "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"
2026-02-09 12:06:23,342 - INFO - Loaded 45 instructions
2026-02-09 12:06:23,342 - DEBUG - Found 50 accepting path(s)
2026-02-09 12:06:23,346 - DEBUG - Path 1 is satisfiable
2026-02-09 12:06:23,347 - INFO - Hexdump:
0000 00 00 00 00 00 00 00 00 00 00 00 00 86 DD 60 00 ..............`.
0010 00 00 00 00 84 00 00 00 00 00 00 00 00 00 00 00 ................
0020 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
0030 00 00 00 00 00 00 D5 FA 00 00 00 00 00 00 00 00 ................
0040 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
0050 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
0060 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
0070 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
2026-02-09 12:06:23,347 - INFO - Packet summary:
###[ Ethernet ]###
dst = 00:00:00:00:00:00
src = 00:00:00:00:00:00
type = IPv6
###[ IPv6 ]###
version = 6
tc = 0
fl = 0
plen = 0
nh = SCTP
hlim = 0
src = ::
dst = ::
###[ SCTP ]###
sport = 54778
dport = 0
tag = 0x0
chksum = 0x0
###[ Raw ]###
load = b'\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00'
일부 BPF는 원시 IP 계층을 사용할 수 있습니다. 이런 경우 링크 유형 -l raw를 지정할 수 있습니다 (기본값은 ethernet입니다);