scapyの勉強をしていた時にpcapファイルに含まれるファイルを全て抽出できないかと思い立ち、とりあえず作ってみました。その際の知識もを含めてメモとして残します。
インストール
pipを使ってインストールが可能です。
pip3 install scapy
基本編
下の構文でライブラリを読み込みます
from scapy.all import *
ファイルの読み込みは、rdpcapを使います。
p = rdpcap('test.pcap')
pcapデータを全て見る時は、showメソッドを使います。
p.show()
出力例
0000 Ether / IP / UDP / DNS Qry "b'www.qiita.com.'"
0001 Ether / IP / UDP / DNS Ans "13.230.63.181"
パケット1個1個の内容を見る時は、パケット番号を指定してshowメソッドを使います。
p[0].show()
出力例
###[ Ethernet ]###
dst = xx:xx:xx:xx:xx:xx
src = xx:xx:xx:xx:xx:xx
type = IPv4
###[ IP ]###
version = 4
ihl = 5
........
###[ UDP ]###
sport = 59228
dport = domain
........
###[ DNS ]###
id = 55997
qr = 0
opcode = QUERY
........
指定したプロトコルがパケットに入っているかを判別します。プロトコルが入っていればtrueを返します。
'DNS' in p[0]
パケットから指定したプロトコルの内容を取り出します。
p[0]['DNS']
出力例
<DNS id=55997 qr=0 opcode=QUERY aa=0 tc=0 rd=1 ra=0 z=0 ad=0 cd=0 rcode=ok qdcount=1 ancount=0 nscount=0 arcount=1 qd=<DNSQR qname='www.qiita.com.' qtype=A qclass=IN |> an=None ns=None ar=<DNSRROPT rrname='.' type=OPT rclass=512 extrcode=0 version=0 z=0 rdlen=None |> |>
パラメータは、下のような構文で取り出せます。
p[0]['DNS'].qr
応用編
DNS応答から名前解決した結果を取り出します。シノニムも元のFQDNにします。
p = rdpcap('test.pcap')
cnv = lambda x:x if type(x) == str else x.decode()
dnsdata = { cnv(x['DNSRR'][y].rdata):cnv(x['DNSRR'][y].rrname) for x in p if 'DNSRR' in x for y in range(x['DNS'].ancount) }
dns = lambda x:x if not x in dnsdata else dns(dnsdata[x])
print({ r:dns(a) for r,a in dnsdata.items() })
出力例
{'13.230.63.181': 'www.qiita.com.', '54.92.35.84': 'www.qiita.com.', '13.113.37.17': 'www.qiita.com.'}
パケットのバイト数を、(送信元のIPアドレス,送信先のIPアドレス)毎に集計します。
p = rdpcap('test.pcap')
t = {}
for y in [ ((x['IP'].src,x['IP'].dst),len(x)) for x in p if 'IP' in x ]:
t[y[0]] = y[1] if not y[0] in t else t[y[0]] + y[1]
print(t)
出力例
{('192.168.99.99', '54.92.35.84'): 10984, ('54.92.35.84', '192.168.99.99'): 130283}
TCPのペイロードを、(送信元のIPアドレス,送信元のポート番号,送信先のIPアドレス,送信先のポート番号)毎にファイルとして取り出します。1つのTCPセッションで複数のファイルを送っていた場合は、1つのファイルに全てつながって入りますので、binwalkなどでファイル分割をしてください。
p = rdpcap('test.pcap')
cnv = lambda x:x if type(x) == str else x.decode()
dnsdata = { cnv(x['DNSRR'][y].rdata):cnv(x['DNSRR'][y].rrname) for x in p if 'DNSRR' in x for y in range(x['DNS'].ancount) }
dns = lambda x:x if not x in dnsdata else dns(dnsdata[x])
t = {}
for y in [ ((x['IP'].src,x['TCP'].sport,x['IP'].dst,x['TCP'].dport),[i,x['Raw'].load]) for i,x in enumerate(p) if ('TCP' in x) and ('Raw' in x) ]:
t[y[0]] = y[1] if not y[0] in t else [t[y[0]][0],t[y[0]][1] + y[1][1]]
with open('summary.txt','w') as f1:
for k,v in t.items():
n = str(v[0])+'.bin'
f1.write(n+' -- '+dns(k[0])+':'+str(k[1])+' -> '+dns(k[2])+':'+str(k[3])+'\n')
with open(n,'wb') as f2:
f2.write(v[1])
さいごに
本当にとりあえず作ったものなので、使い方によっては望みのデータが取り出せない場合があるかもしれません。
コメント
いいね以上の気持ちはコメントで