Dshell和Scapy（Dshell and Scapy）

优质

小牛编辑

138浏览

2023-12-01

DShell

Dshell是一个基于Python的网络取证分析工具包。该工具包由美国陆军研究实验室开发。该开源工具包的发布于2014年。该工具包的主要重点是轻松进行取证调查。

该工具包由大量解码器组成，如下表所示。

Sr.No.	解码器名称和描述
1	dns 这用于提取DNS相关的查询
2	reservedips 标识DNS问题的解决方案
3	large-flows netflows列表
4	rip-http 它用于从HTTP流量中提取文件
5	Protocols 用于识别非标准协议

美国陆军实验室通过以下链接在GitHub中维护了克隆存储库 -

https://github.com/USArmyResearchLab/Dshell

该克隆包含用于安装此工具包的脚本install-ubuntu.py () 。

安装成功后，它将自动构建稍后将使用的可执行文件和依赖项。

依赖关系如下 -

dependencies = { 
   "Crypto": "crypto", 
   "dpkt": "dpkt", 
   "IPy": "ipy", 
   "pcap": "pypcap" 
}

此工具包可用于pcap（数据包捕获）文件，这些文件通常在事件期间或警报期间记录。这些pcap文件由Linux平台上的libpcap或Windows平台上的WinPcap创建。

Scapy

Scapy是一个基于Python的工具，用于分析和操纵网络流量。以下是Scapy工具包的链接 -

http://www.secdev.org/projects/scapy/

此工具包用于分析数据包操作。它能够解码大量协议的数据包并捕获它们。 Scapy与Dshell工具包的不同之处在于向研究者提供了有关网络流量的详细描述。这些描述已实时记录。

Scapy能够使用第三方工具或操作系统指纹识别进行绘图。

请考虑以下示例。

import scapy, GeoIP #Imports scapy and GeoIP toolkit 
from scapy import * 
geoIp = GeoIP.new(GeoIP.GEOIP_MEMORY_CACHE) #locates the Geo IP address 
def locatePackage(pkg): 
src = pkg.getlayer(IP).src #gets source IP address 
dst = pkg.getlayer(IP).dst #gets destination IP address 
srcCountry = geoIp.country_code_by_addr(src) #gets Country details of source 
dstCountry = geoIp.country_code_by_addr(dst) #gets country details of destination 
print src+"("+srcCountry+") >> "+dst+"("+dstCountry+")\n"

此脚本提供了网络数据包中相互通信的国家/地区详细信息的详细说明。

上面的脚本将产生以下输出。