caronte$

Caronte 是一个用于分析攻防型夺旗赛期间网络流的工具。它重新组装 pcap 文件中捕获的 TCP 数据包，重建 TCP 连接，并分析每个连接以查找用户定义的模式。这些模式可以定义为正则表达式或使用协议特定规则。连接流保存在数据库中，并可通过 Web 应用程序可视化。还提供了 REST API。

功能特性

• 通过 docker-compose 即时安装
• 无需配置文件，可通过 GUI 或 API 更改设置
• 可通过 curl（本地或远程）或 GUI 加载待分析的 pcap 文件
  • 也可以从 GUI 下载 pcap 文件，并查看每个 pcap 的所有分析统计信息
• 可创建规则来识别包含特定字符串的连接
  • 模式匹配通过正则表达式（regex）完成
  • 也支持 UTF-8 和 Unicode 格式的正则表达式
• 连接可按服务类型（通过端口号识别）进行标记
  • 每个服务可分配不同的颜色
• 能够按地址、端口、大小、时间、持续时间、匹配规则过滤连接
• 时间线显示每分钟采样的不同指标统计信息
  • 其中一些指标包括：connections_per_service、client_bytes_per_service、server_bytes_per_service、duration_per_service、matched_rules
    • 使用 matched_rules 指标可以查看 flag_in 与 flag_out 之间的关系
  • 时间线包含一个滑动窗口，可用于搜索特定时间间隔内的连接
• 高级搜索：支持搜索词、否定词、精确短语、正则表达式、否定正则表达式
  • 执行过的搜索会被保存，以便后续即时重复使用
• 检测到的 HTTP 连接会自动重建
  • HTTP 请求可通过 curl、fetch 和 python requests 进行重放
  • 压缩的 HTTP 响应（gzip/deflate）会自动解压
• 能够以多种格式（包括十六进制和 base64）导出和查看连接内容
• JSON 内容以 JSON 树查看器显示，HTML 代码可在独立窗口中渲染
• 匹配规则的命中位置在连接内容视图中高亮显示
• 支持 IPv4 和 IPv6 地址
  • 如果待防御的脆弱虚拟机分配了多个地址，则可以使用 CIDR 地址

安装

安装 Caronte 有两种方式：

• 使用 Docker 和 docker-compose，最快最简单的方式
• 手动安装依赖并编译项目

使用 Docker 运行

只需执行以下操作：

• 使用 git clone https://github.com/eciavatta/caronte.git 克隆仓库
• 在 caronte 文件夹内运行 docker-compose up -d
• 等待镜像编译完成，然后在浏览器中打开 http://localhost:3333

手动安装

首先需要安装依赖：

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

接下来需要编译项目，项目由两部分组成：

• 后端，可使用 go mod download && go build 编译
• 前端，可使用 cd frontend && yarn install && yarn build 编译

在运行 Caronte 之前，启动一个不需要认证的 MongoDB https://docs.mongodb.com/manual/administration/install-community/ 实例。注意不要将 MongoDB 端口暴露在公共接口上。

使用 ./caronte 运行二进制文件。可用的配置选项如下：

-bind-address    address where server is bind (default "0.0.0.0")
-bind-port       port where server is bind (default 3333)
-db-name         name of database to use (default "caronte")
-mongo-host      address of MongoDB (default "localhost")
-mongo-port      port of MongoDB (default 27017)

配置

配置在首次启动时通过图形界面或 API 实时进行。需要设置：

• server_address：脆弱机器的 IP 地址。必须是 pcap 中所有连接的目标地址。如果每个脆弱服务有自己的 IP，该参数也接受 CIDR 地址。地址可以是 IPv4 或 IPv6
• flag_regex：匹配 flag 的正则表达式。通常在竞赛规则页面提供
• auth_required：如果为 true，则启用基本认证以保护分析器
• 可选的 accounts 数组，包含授权用户的凭据

文档

后端使用 Go 语言编写，设计为服务。它暴露 REST API，供使用 React 编写的前端使用。可用 API 列表及其说明可在此处找到：https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

截图

以下是展示该工具主要功能的一些截图。

主窗口，包含连接列表和流内容

主窗口，时间线展开状态

规则和服务视图

搜索和 pcap 视图

许可证

caronte 由 Emiliano Ciavatta 创建，并根据 GPL-3.0 许可证 进行许可。