66 61 74 74 2e

снимать отпечатки со всего!

Более подробная информация о методах снятия отпечатков, примеры использования и результаты исследований будут добавлены в репозиторий в ближайшее время. Оставайтесь на связи!

Скрипт для извлечения сетевых метаданных и отпечатков, таких как JA3 и HASSH, из файлов захвата пакетов (pcap) или живого сетевого трафика. Основной вариант использования — мониторинг honeypot'ов, но вы также можете применять его для других задач, например, для сетевого криминалистического анализа. fatt работает в Linux, macOS и Windows.

Обратите внимание, что fatt использует pyshark (обёртку Python для tshark), поэтому производительность невысока! Но это не проблема, так как, очевидно, это не инструмент для использования в production. Для более серьёзных задач вы можете использовать другие средства сетевого анализа, такие как Bro/Zeek, Suricata или Netcap. Joy — ещё один отличный инструмент для захвата и анализа данных сетевого потока.

Кроме того, я работаю над версией fatt на Go, которая будет быстрее, и вы сможете использовать её библиотеки в своих инструментах на основе gopacket, таких как packetbeat. Я выпустил начальную версию библиотеки gQUIC (QUICk).

Возможности

Поддержка протоколов: SSL/TLS, SSH, RDP, HTTP, gQUIC.
- Скоро будут добавлены: IETF QUIC, MySQL, MSSQL и др.
Снятие отпечатков:
- JA3: отпечаток TLS клиента/сервера
- HASSH: отпечаток SSH клиента/сервера
- RDFP: мой экспериментальный отпечаток RDP для стандартного протокола безопасности RDP (учтите, что другие режимы безопасности RDP используют TLS и могут быть идентифицированы с помощью JA3)
- Отпечаток HTTP-заголовков
- Отпечаток gQUIC/iQUIC будет добавлен в ближайшее время
JSON-вывод

Начало работы

Установка tshark

Сначала нужно установить tshark. Убедитесь, что у вас версия v2.9.0 или новее. Начиная с версии v2.9.0, в Tshark/Wireshark 'ssl' переименован в 'tls', и fatt написан на основе новой версии tshark.

Если у вас старая версия tshark (< v2.9.0), вы можете использовать скрипт fatt из ветки "old-tshark".

Установка зависимостей

cd fatt/
pip3 install pipenv
pipenv install

ИЛИ просто установите pyshark, если не хотите использовать виртуальное окружение:

pip3 install pyshark==0.4.2.2

Для активации виртуального окружения выполните pipenv shell:

$ pipenv shell
Launching subshell in virtual environment…
bash-3.2$  . /Users/adel/.local/share/virtualenvs/fatt-ucJHMzzt/bin/activate
(fatt-ucJHMzzt) bash-3.2$ python3 fatt.py -h

Альтернативно, запустите команду внутри виртуального окружения с помощью pipenv run:

$ pipenv run python3 fatt.py -h

Вывод:

usage: fatt.py [-h] [-r READ_FILE] [-d READ_DIRECTORY] [-i INTERFACE]
               [-fp [{tls,ssh,rdp,http,gquic} [{tls,ssh,rdp,http,gquic} ...]]]
               [-da DECODE_AS] [-f BPF_FILTER] [-j] [-o OUTPUT_FILE]
               [-w WRITE_PCAP] [-p]

A python script for extracting network fingerprints

optional arguments:
  -h, --help            show this help message and exit
  -r READ_FILE, --read_file READ_FILE
                        pcap file to process
  -d READ_DIRECTORY, --read_directory READ_DIRECTORY
                        directory of pcap files to process
  -i INTERFACE, --interface INTERFACE
                        listen on interface
  -fp [{tls,ssh,rdp,http,gquic} [{tls,ssh,rdp,http,gquic} ...]], --fingerprint [{tls,ssh,rdp,http,gquic} [{tls,ssh,rdp,http,gquic} ...]]
                        protocols to fingerprint. Default: all
  -da DECODE_AS, --decode_as DECODE_AS
                        a dictionary of {decode_criterion_string:
                        decode_as_protocol} that is used to tell tshark to
                        decode protocols in situations it wouldn't usually.
  -f BPF_FILTER, --bpf_filter BPF_FILTER
                        BPF capture filter to use (for live capture only).'
  -j, --json_logging    log the output in json format
  -o OUTPUT_FILE, --output_file OUTPUT_FILE
                        specify the output log file. Default: fatt.log
  -w WRITE_PCAP, --write_pcap WRITE_PCAP
                        save the live captured packets to this file
  -p, --print_output    print the output

Использование

Захват живого сетевого трафика:

$ python3 fatt.py -i en0 --print_output --json_logging
192.168.1.10:59565 -> 192.168.1.3:80 [HTTP] hash=598c34a2838e82f9ec3175305f233b89 userAgent="Spotify/109600181 OSX/0 (MacBookPro14,3)"
192.168.1.10:59566 -> 13.237.44.5:22 [SSH] hassh=ec7378c1a92f5a8dde7e8b7a1ddf33d1 client=SSH-2.0-OpenSSH_7.9
13.237.44.5:22 -> 192.168.1.10:59566 [SSH] hasshS=3f0099d323fed5119bbfcca064478207 server=SSH-2.0-babeld-80573d3e
192.168.1.10:59584 -> 93.184.216.34:443 [TLS] ja3=e6573e91e6eb777c0933c5b8f97f10cd serverName=example.com
93.184.216.34:443 -> 192.168.1.10:59584 [TLS] ja3s=ae53107a2e47ea20c72ac44821a728bf
192.168.1.10:59588 -> 192.168.1.3:80 [HTTP] hash=598c34a2838e82f9ec3175305f233b89 userAgent="Spotify/109600181 OSX/0 (MacBookPro14,3)"
192.168.1.10:59601 -> 216.58.196.142:80 [HTTP] hash=d6662c018cd4169689ddf7c6c0f8ca1b userAgent="curl/7.54.0"
216.58.196.142:80 -> 192.168.1.10:59601 [HTTP] hash=c5241aca9a7c86f06f476592f5dda9a1 server=gws
192.168.1.10:54387 -> 216.58.203.99:443 [QUIC] UAID="Chrome/74.0.3729.169 Intel Mac OS X 10_14_5" SNI=clientservices.googleapis.com AEAD=AESG KEXS=C255

JSON-вывод:

fatt

Популярное

Возможности

Начало работы

Использование

Захват живого сетевого трафика: