Dshell

확장 가능한 네트워크 포렌식 분석 프레임워크입니다. 플러그인을 신속하게 개발하여 네트워크 패킷 캡처 분석을 지원합니다.

주요 기능:

• 특화된 플러그인을 사용한 심층 패킷 분석
• 강력한 스트림 재조립
• IPv4 및 IPv6 지원
• 사용자가 선택 가능한 여러 출력 형식 및 사용자 정의 출력 핸들러 생성 기능
• 연결 가능한 플러그인
• 데이터 소스 처리를 별도의 Python 프로세스로 분할하는 병렬 처리 옵션
• 핵심 Dshell 플러그인 디렉토리와 중복되지 않으면서 새로 개발된 외부 플러그인을 공유 및 설치할 수 있는 외부 플러그인 팩 개발 지원

가이드

• Dshell 사용자 가이드
  • 설치 및 기본/고급 분석에 대한 가이드(예제 포함)
  • 신규 및 숙련된 최종 사용자가 디코더-쉘(Dshell) 프레임워크를 사용하고 이해하는 데 도움을 줍니다.
• Dshell 개발자 가이드
  • 기본 예제와 함께 플러그인 개발, 핵심 함수 및 클래스 정의, 데이터 흐름 개요에 대한 가이드
  • 최종 사용자가 새로운 맞춤형 Dshell 플러그인을 개발하고 기존 플러그인을 수정하는 데 도움을 줍니다.

요구 사항

• Linux (Ubuntu 20.04 LTS에서 개발됨)
• Python 3 (Python 3.8.10에서 개발됨)
• pypacker
• pcapy-ng
• pyOpenSSL
• geoip2
  • MaxMind GeoIP2 데이터 세트
    • IP 주소를 국가 코드에 매핑하는 데 사용됨
    • 설정은 설치 섹션 참조

선택 사항

• oui.txt
  • MAC 주소를 처리하는 일부 플러그인에서 사용됨
  • <dshell>/data/에 배치
• elasticsearch
  • elasticout 출력 모듈에서 사용됨
  • 출력 저장을 위해 elasticsearch를 사용할 계획인 경우에만 필요
• pyJA3
  • tls 플러그인에서 사용됨

설치

1. pip로 Dshell 설치

• python3 -m pip install Dshell/ 또는 python3 -m pip install <Dshell-tarball>

2. MaxMind GeoLite2 데이터 세트 파일(GeoLite2-ASN.mmdb, GeoLite2-City.mmdb, GeoLite2-Country.mmdb)을 [...]/site-packages/dshell/data/GeoIP/에 배치하여 geoip2 구성
3. dshell 실행. 그러면 Dshell> 프롬프트가 표시됩니다.

기본 사용법

• decode -l
  • 사용 가능한 모든 플러그인과 해당 플러그인에 대한 기본 정보를 나열합니다.
• decode -h
  • 모든 컬러 출력을 위한 컬러 블라인드 친화 모드 등 대부분의 플러그인에서 사용 가능한 일반 명령줄 플래그를 표시합니다.
• decode -p <plugin>
  • 사용 가능한 명령줄 플래그를 포함한 플러그인 정보를 표시합니다.
• decode -p <plugin> <pcap>
  • 선택한 플러그인을 pcap 또는 pcapng 파일에서 실행합니다.
• decode -p <plugin1>+<plugin2> <pcap>
  • 두 개 이상의 플러그인을 연결하여 pcap 파일에서 실행합니다.
• decode -p <plugin> -i <interface>
  • 선택한 플러그인을 인터페이스에서 실시간으로 실행합니다(슈퍼유저 권한이 필요할 수 있음).

사용 예제

샘플 트래픽에서 DNS 조회 표시

Dshell> decode -p dns ~/pcap/dns.cap | sort
[DNS] 2005-03-30 03:47:46    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 4146, TXT? google.com., TXT: b'\x0fv=spf1 ptr ?all' **
[DNS] 2005-03-30 03:47:50    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 63343, MX? google.com., MX: b'\x00(\x05smtp4\xc0\x0c', MX: b'\x00\n\x05smtp5\xc0\x0c', MX: b'\x00\n\x05smtp6\xc0\x0c', MX: b'\x00\n\x05smtp1\xc0\x0c', MX: b'\x00\n\x05smtp2\xc0\x0c', MX: b'\x00(\x05smtp3\xc0\x0c' **
[DNS] 2005-03-30 03:47:59    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 18849, LOC? google.com. **
[DNS] 2005-03-30 03:48:07    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 39867, PTR? 104.9.192.66.in-addr.arpa., PTR: 66-192-9-104.gen.twtelecom.net. **
[DNS] 2005-03-30 03:49:18    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 30144, A? www.netbsd.org., A: 204.152.190.12 (ttl 82159s) **
[DNS] 2005-03-30 03:49:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 61652, AAAA? www.netbsd.org., AAAA: 2001:4f8:4:7:2e0:81ff:fe52:9a6b (ttl 86400s) **
[DNS] 2005-03-30 03:50:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 32569, AAAA? www.netbsd.org., AAAA: 2001:4f8:4:7:2e0:81ff:fe52:9a6b (ttl 86340s) **
[DNS] 2005-03-30 03:50:44    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 36275, AAAA? www.google.com., CNAME: 'www.l.google.com.' **
[DNS] 2005-03-30 03:50:54    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 56482, AAAA? www.l.google.com. **
[DNS] 2005-03-30 03:51:35    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 48159, AAAA? www.example.com. **
[DNS] 2005-03-30 03:51:46    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 9837, AAAA? www.example.notginh., NXDOMAIN **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32795 --   192.168.170.20:53    ** ID: 65251, AAAA: 2001:4f8:0:2::d (ttl 600s), A: 204.152.184.88 (ttl 600s) **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32796 --   192.168.170.20:53    ** ID: 23123, PTR? 1.0.0.127.in-addr.arpa., PTR: localhost. **
[DNS] 2005-03-30 03:52:17    192.168.170.8:32797 --   192.168.170.20:53    ** ID: 8330, NS: b'\x06ns-ext\x04nrt1\xc0\x0c', NS: b'\x06ns-ext\x04sth1\xc0\x0c', NS: b'\x06ns-ext\xc0\x0c', NS: b'\x06ns-ext\x04lga1\xc0\x0c' **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1707  --      217.13.4.24:53    ** ID: 12910, SRV? _ldap._tcp.Default-First-Site-Name._sites.dc._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1708  --      217.13.4.24:53    ** ID: 61793, SRV? _ldap._tcp.dc._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1709  --      217.13.4.24:53    ** ID: 33633, SRV? _ldap._tcp.05b5292b-34b8-4fb7-85a3-8beef5fd2069.domains._msdcs.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:17   192.168.170.56:1710  --      217.13.4.24:53    ** ID: 53344, A? GRIMM.utelsystems.local., NXDOMAIN **
[DNS] 2005-03-30 03:52:25   192.168.170.56:1711  --      217.13.4.24:53    ** ID: 30307, A? GRIMM.utelsystems.local., NXDOMAIN **

샘플 트래픽에서 스트림 추적 및 재조립

Dshell> decode -p followstream ~/pcap/v6-http.cap 
Connection 1 (TCP)
Start: 2007-08-05 15:16:44.189851
End:   2007-08-05 15:16:44.219460
2001:6f8:102d:0:2d0:9ff:fee3:e8de: 59201 -> 2001:6f8:900:7c0::2:    80 (300 bytes)
2001:6f8:900:7c0::2:    80 -> 2001:6f8:102d:0:2d0:9ff:fee3:e8de: 59201 (2379 bytes)

GET / HTTP/1.0
Host: cl-1985.ham-01.de.sixxs.net
Accept: text/html, text/plain, text/css, text/sgml, */*;q=0.01
Accept-Encoding: gzip, bzip2
Accept-Language: en
User-Agent: Lynx/2.8.6rel.2 libwww-FM/2.14 SSL-MM/1.4.1 OpenSSL/0.9.8b



HTTP/1.1 200 OK
Date: Sun, 05 Aug 2007 19:16:44 GMT
Server: Apache
Content-Length: 2121
Connection: close
Content-Type: text/html