АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыСпецпроектыСтать автором
Сменить язык
О РУВИКИ
ТехнологииИнфраструктура и безопасностьСетевая инфраструктура и протоколыXplico

Xplico

Экспертиза РАН

Logo-ran.pngLogo-ran-black.png
Проводится экспертиза
Российской академией наук
Подробнее
Times2.svg

Экспертиза РАН

Arrow-Right.png
Logo-ran.png
Проводится экспертиза
Российской академией наук
Подробнее

Xplico — инструмент для анализа сетевого трафика и сетевой криминалистики (Network Forensics Analysis Tool, NFAT), предназначенный для реконструкции содержимого данных, полученных с помощью анализаторов пакетов (например, Wireshark, tcpdump, netsniff-ng).

В отличие от протокольных анализаторов, основное назначение которых не связано с восстановлением передаваемых протоколами данных, Xplico изначально создавался для реконструкции прикладных данных протоколов. Он способен определять протоколы с помощью метода, называемого Port Independent Protocol Identification (PIPI)[1].

Название «Xplico» происходит от латинского глагола explico и его значений.

Xplico является свободным программным обеспечением с открытым исходным кодом, распространяемым по условиям GNU General Public License (GPL) версии 2[2].

Общие сведения
Xplico
Тип Сетевой форензик
Разработчики Gianluca Costa и Andrea de Franceschi
Написана на C, PHP, Python
Операционная система Linux
Последняя версия 1.2.2 (2 мая 2019)
Лицензия GNU General Public License
Сайт xplico.org

Обзор

Используя «сырые» данные, полученные через Ethernet или PPP, например, при просмотре веб-страниц (протокол HTTP), Xplico извлекает прикладные данные и восстанавливает содержимое пакетов. В случае HTTP-протокола это могут быть изображения, файлы или cookie. Аналогичным образом Xplico способен восстанавливать электронную почту, переданную с помощью протоколов IMAP, POP и SMTP.

Среди поддерживаемых и реконструируемых Xplico протоколов — VoIP, MSN, IRC, HTTP, IMAP, POP, SMTP и FTP.

Возможности

Архитектура ПО

Архитектура Xplico включает:

  • входной модуль для обработки входящих данных (от проб или анализатора трафика);
  • выходной модуль для организации декодированных данных и вывода их пользователю;
  • набор модулей-дешифраторов (protocol dissector) для анализа отдельных сетевых протоколов.

Благодаря выходному модулю Xplico может обладать разными пользовательскими интерфейсами: с программой можно работать как через командную строку, так и через специальный веб-интерфейс (Xplico Interface). Модули-дешифраторы реализуют поддержку отдельных протоколов и позволяют восстанавливать их данные.

Все модули реализованы в виде подключаемых плагинов и могут быть загружены или отключены через конфигурационный файл. Это даёт возможность сфокусировать декодирование: например, если требуется анализировать только VoIP-звонки, но не веб-трафик, можно загрузить только модули RTP и SIP, исключив HTTP[3].

Анализ больших pcap-данных

Одной из особенностей Xplico является способность обрабатывать (восстанавливать) очень большие объёмы данных: программа способна работать с pcap-файлами размером до нескольких гигабайт и даже терабайт, поступающими одновременно с множества зондов. Это возможно благодаря различным типам входных модулей. Загрузка pcap-файлов осуществляется как через веб-интерфейс Xplico, так и с помощью SFTP либо через специальный канал передачи — PCAP-over-IP.

Благодаря этим возможностям Xplico используется в сферах законного перехвата трафика[4][5] и сетевой криминалистики[6].

VoIP-звонки

Xplico, а также специализированная версия pcap2wav, способны декодировать VoIP-звонки, основанные на протоколе RTP (SIP, H323, MGCP, SKINNY), и поддерживают декодирование аудиокодеков G711 µ-law, G711 a-law, G722, G729, G723, G726, а также MSRTA (Microsoft Real-time Audio)[7].

Основные команды в командной строке

В приведённых примерах подразумевается, что используется сетевой интерфейс eth0.

  • захват и декодирование в реальном времени:
xplico -m rltm -i eth0
  • декодирование одного pcap-файла:
xplico -m pcap -f example.pcap
  • декодирование каталога с множеством pcap-файлов:
xplico -m pcap -d /path/dir/

Во всех случаях декодированные данные сохраняются в каталоге xdecode. Параметр -m позволяет выбрать тип входного модуля (input module). Модуль с именем rltm осуществляет захват данных напрямую с сетевого интерфейса, модуль pcap — из pcap-файлов или каталога.

Дистрибутивы

Xplico устанавливается по умолчанию во многих популярных дистрибутивах, ориентированных на цифровую криминалистику и пентестинг:

Примечания

  1. ↑ ISSA Journal (англ.). Дата обращения: 1 июня 2012. Архивировано 5 октября 2014 года.
  2. ↑ Xplico License. Дата обращения: 20 июня 2024. Архивировано 21 июня 2025 года.
  3. ↑ Ghirardini, Andrea. Computer Forensics : [англ.] / Andrea Ghirardini, Gabriele Faggioli. — Italy : Apogeo, 2009. — P. 5, 227, 278, 369–370. — ISBN 978-88-503-2816-1.
  4. ↑ On detecting Internet-based criminal threats (European FP7-SEC Project INDECT) (англ.). Дата обращения: 9 мая 2017. Архивировано 20 июля 2011 года.
  5. ↑ Gacimartín García, Carlos Sistema de interceptación y análisis de comunicaciones (исп.) (январь 2009).
  6. ↑ Cameron H. Malin, Eoghan Casey BS MA. Malware Forensics Field Guide for Windows Systems: Digital Forensics Field Guides : [англ.]. — Elsevier, 2012. — ISBN 978-1597494724.
  7. ↑ pcap2wav Xplico interface. Дата обращения: 20 июня 2024. Архивировано 5 декабря 2012 года.
  8. ↑ Kali, Xplico as a package. Дата обращения: 20 июня 2024. Архивировано 24 января 2025 года.
  9. ↑ Backtrack 5. Дата обращения: 19 июня 2012. Архивировано 11 марта 2012 года.
  10. ↑ Projects DEFT Linux. Архивировано 18 июня 2012 года.
  11. ↑ Linux Forensics Tools Repository. Дата обращения: 19 июня 2012. Архивировано 4 ноября 2013 года.

Ссылки

Категории