pcapinator

Приложение для работы с большим количеством файлов pcap с помощью множества запусков tshark

Настройка

Установите Python3, единственный настоящий Python...

pip install python-dateutil pandas

Возможности

Рекурсивная обработка нескольких PCAP-файлов, включая находящиеся в подкаталогах.

Обёртка вокруг editcap (инструмент Wireshark), позволяющая пользователю разбивать PCAP-файлы на более мелкие части.

Автоматический захват всех рукопожатий (handshakes) с сохранением в pcap и также в файл hashcat для обработки.

Обёртка вокруг tshark, позволяющая пользователю фильтровать pcap-файлы по рукопожатиям и выводить результат в pcap.

Собирает стандартную информацию о беспроводных сетях и помещает её в CSV.

ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ:

Запустите PCAPFix на наборе данных для восстановления повреждённых или обрезанных PCAP-файлов.

./pcapinator.py --in [directory or file] --pcapfix --pcapfix_dir [directory for original pcaps before fix] --debug

Соберите всю типичную информацию о беспроводных сетях из pcap и выведите один CSV. Это разобьёт PCAP-файлы и обработает их в зависимости от количества ядер вашего процессора.

./pcapinator.py --in [directory or file] --wifi_csv --split --debug

Выполните пользовательский запрос tshark и выведите указанные поля. В данном случае он ищет всё, что связано с электронной почтой, и выводит соответствующие интересные поля.

./pcapinator.py --in [directory or file] --query "tcp.port == 143 || tcp.port == 110 || tcp.port == 25 || tcp.port == 26 || pop || imap || smtp" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

Пользовательский запрос для получения данных HTTP.

./pcapinator.py --in [directory or file] --query "http" --fields "-e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e text -e tcp.payload" --split --debug

Пользовательский запрос для получения SSID, содержащих буквы TEST; измените TEST на ваш частичный параметр поиска.

./pcapinator.py --in [directory or file] --query "wlan.ssid contains TEST" --fields "-e frame.time -e frame.time_epoch -e wlan.sa -e wlan.ta -e wlan.ta_resolved -e wlan.ra -e wlan.da -e wlan.bssid -e wlan.ssid -e wps.manufacturer -e wps.device_name -e wps.model_name -e wps.model_number -e wps.uuid_e -e wlan.fc.type_subtype -e frame.len -e wlan_radio.signal_dbm" --split --debug

Получите CSV-файл с информацией DNS.

./pcapinator.py --in [directory or file] --dnsSimple --split --debug

Будущие возможности

Автоматический импорт в базу данных Postgres из PCAP-файла.

Автоматический импорт в Elastic Stack.

Автоматическая отправка в Graphistry.

Обобщённое использование editcap для поддержки других опций, предоставляемых инструментом.

Обобщённое использование tshark для поддержки других опций, предоставляемых инструментом.

Инструмент для удаления всех незашифрованных данных из pcap-файлов и сохранения результатов в новые pcap-файлы.

Инструмент для анонимизации данных трафика с сохранением контекста.