xplico--计算机取证

最新推荐文章于 2024-07-15 14:56:28 发布
最新推荐文章于 2024-07-15 14:56:28 发布
阅读量2.2k 收藏 5
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yalecaltech/article/details/90574958
版权

了解Xplico的使用方法，能够通过分析还原网络数据发送现场，能够分析多种协议以及熟练掌握xplico进阶使用方法。

  1. 关于xplico
    xplico可以从pcap包中还原出每一封邮件(POP,IMAP,SMTP协议),所有的http内容等等.Xplico并不是协议分析工具,而是网络取证工具。

  2. xplico系统构成
    一个解码管理器叫做DeMa

    一个IP解码器叫做Xplico

    一组主要应用解码器(HTTP解码器,SMTP解码器等)

    一个结果输出界面

一直以来，大多数人都是使用wireshark进行流量分析、取证等，流量分析当然是wireshark更好，至于流量取证，其实更适合用xplico

5.1 实验任务一
安装xplico
在这里插入图片描述
使用之前需要启动apache2服务和xplico服务
在这里插入图片描述
此时浏览器输入ip:9876/users/login即可
在这里插入图片描述
用户名和密码都是xplico，登录界面有language选项，可以选择中文
登陆后的页面如图
在这里插入图片描述
实验文件夹中准备了几个数据包，接下来我们分别进行分析

使用xplico进行HTTP和web的分析
首先左侧选中new case
命名一个新的案例
在这里插入图片描述
点击create，然后在caselist中选中HTTP-WEB
在这里插入图片描述
点击左侧的new session
命名一个session
在这里插入图片描述
点击create
选中HTTPWEB，就进入到了分析界面
在这里插入图片描述
接下来上传数据包，点击右侧的浏览
选中要上传的数据包
在这里插入图片描述
点击upload即可
此时可以看到上传部位的左侧出现了下图字样
在这里插入图片描述
这个过程是将pcap数据包的内容解码为xplico更容易使用
解码完毕之后就会出现下图的内容
在这里插入图片描述
可以看到在右下角的undecoded是有信息的
在这里插入图片描述
所以我们点击左侧的undecoded—》TCP_UDP，进入到下面的界面
在这里插入图片描述
这个界面中显示了目的ip、端口、日期、时间、连接持续时间以及包含更多细节的info.xml.目的地址被用红色标注了，点击之后可以看多更进一步的信息，我们以74.125.77.100为例
点击之后会弹出一个下载框
在这里插入图片描述
下载后的内容为
在这里插入图片描述
结果显示有一个gif文件在2009.12.09被浏览或者被下载了
我们也可以点击info.xml查看
在这里插入图片描述
info.xml中显示了源地址和目的地址以及端口号，每对连接都有自己的info.xml可以用于查看更加具体的信息
我们回到左侧的Undecode的Dig子目录下看看
在这里插入图片描述
上图中可以看到一些通过htpp连接被查看的gif,tif,jpg格式的图像文件，点击file栏目下的连接就可以查看
在这里插入图片描述
在这里插入图片描述

使用xplico进行voip的分析
为了使用voip服务我们必须使用SIP协议，所以我们这次使用一个SIP数据包来分析VoIP的服务
按照前面的方案快速创建case和session
可以参考我的命名
在这里插入图片描述在这里插入图片描述

在面板中导入此次的数据包
在这里插入图片描述
点击upload进行分析
点击面板左边的voip栏目，选中sip子菜单
在这里插入图片描述
可以看到通话的细节，通过从192.168.1.111到192.168.1.112
点击duration可以进一步的分析
在这里插入图片描述
点击cmd.txt查看信息及记录
在这里插入图片描述
上图中可以看到通过的日期、时间、持续时间等细节

使用Xplico分析Email
Email使用不同的协议进行首发，所以这一部分的实验我们使用两个数据包。一个是hotmail工作时抓到的数据包，一个是smtp协议的数据包
同样，在开始之前创建case,sessions
在这里插入图片描述在这里插入图片描述

上传数据包
在这里插入图片描述
在结果中可以看到http,dns,ftp有数据
在这里插入图片描述
既然这样我们现在左侧菜单选中Graphs，然后选中子菜单Dns
在这里插入图片描述
上图中可以看到hostname、CName，主机ip以及各自的info.xml
再在左侧选中web->site
在这里插入图片描述
被浏览过的网页都在这儿被显示出来了，可以看到前三条是属于域名mail.live.com的，第四、第五属于msn.com的
我们查看第一条的info.xml
在这里插入图片描述
在http部分我们可以看到Mozilla Firefox浏览器被使用来访问sn118w.snt118.mail.live.com
我们在主界面选中image选项，然后点击Go
在这里插入图片描述
随意点击一条url都会显示图片
在这里插入图片描述
在左侧栏选中web->images也可以
在这里插入图片描述

在左侧栏选中share->http file
在这里插入图片描述
这个可以看到两个主题，通过点击info.xml可以看到进一步的信息

分析SMTP
同样的流程进行创建
在这里插入图片描述在这里插入图片描述
在这里插入图片描述

分析后的结果如图
在这里插入图片描述
既然知道我们分析的email，我们直接在左侧选中mail->email
在这里插入图片描述
图中可以看到一个没有主题的email从gurpartap发送到了raj_de02002in，点击subject栏下的链接可进一步查看
在这里插入图片描述

  1. 数据包样本
    http://wiki.xplico.org/doku.php?id=pcap:pcap
Elwood Ying
关注
2021-09-27 网安实验-取证分析-计算机取证之Xplico
时光隧道
09-27 4万+
相关知识 关于xplico xplico可以从pcap包中还原出每一封邮件(POP,IMAP,SMTP协议),所有的http内容等等.Xplico并不是协议分析工具,而是网络取证工具。 xplico系统构成 一个解码管理器叫做DeMa 一个IP解码器叫做Xplico 一组主要应用解码器(HTTP解码器,SMTP解码器等) 一个结果输出界面 案例 一直以来，大多数人都是使用wireshark进行流量分析、取证等，流量分析当然是wireshark更好，至于流量取证，其实更适合用xplico 使用之
kali工具详细说明----------取证工具
墨痕诉清风的博客
12-03 193
Forensics Tools（取证工具） 工具名称 工具说明 命令行/界面 开源/付费 编写语言 平台支持 源码链接 备注 bulk-extractor bulk_extractor是一个从数字证据文件中提取电子邮件地址，信用卡号，URL和其他类型信息等功能的程序。它是许多任务的有用的取证调查工具，例如恶意软件和入侵调查，身份调查和网络...
Xplico:Xplico是网络取证分析工具（NFAT）-开源
04-29
Xplico是网络取证分析工具（NFAT）。 Xplico的目标是从互联网流量中提取捕获的应用程序数据。 例如，Xplico从一个pcap文件中提取每个电子邮件（POP，IMAP和SMTP协议），所有HTTP内容，每个VoIP呼叫（SIP，MGCP，MEGACO，RTP），IRC，WhatsApp ... Xplico可以进行更多分类超过140（应用）协议。 如果在“实时模式”中使用或与netsniff-ng一起使用，则Xplico cam可用作嗅探器解码器。 Xplico也用于CapAnalysis：http：//www.capanalysis.net
Xplico
weixin_34014555的博客
01-18 340
http://zhulinu.blog.51cto.com/539189/850909
全面掌握计算机取证技术：流程、数据获取与分析的全方位指南
最新发布
m0_68483928的博客
07-15 1167
本文旨在帮助那些对计算机取证技术感兴趣的朋友们扫除学习障碍。通过系统地介绍计算机取证的各项关键技术和步骤，我们希望能够为读者提供一份清晰、实用的指南。从基础的取证流程到具体的数据获取、分析、解密和证据保管方法，再到如何校验证据的完整性，本文将全方位覆盖计算机取证的核心内容。在计算机取证的实践中，遵循系统化的流程对于确保证据的完整性和调查的有效性至关重要。保护现场证据获取证据鉴定与分析以及证据追踪与提交结果。保护现场：保护现场是计算机取证的第一步，也是至关重要的一步。目的是防止现场证据被篡改或破坏。
Xplico – Network Forensic Analysis Tool
cnbird's blog
08-22 898
http://www.darknet.org.uk/2009/08/xplico-network-forensic-analysis-tool/
计算机取证之Xplico ——合天网安实验室学习笔记
weixin_42582241的博客
03-14 3055
实验链接 Xplico是一款开源的网络取证分析工具，其分析与呈现的能力非常强大。Xplico可以捕获Internet网络应用层流量，通过流量解析，解析出网络包中的各种应用数据，还原网络数据发送现场。通过本实验学习掌握Xplico使用方法，学会利用Xplico对网络流量进行分析取证。 链接：http://www.hetianlab.com/expc.do?ce=10748f62-5706-403d-...
网络安全-CTF取证方法大汇总，建议收藏！
Coisini的博客
05-30 6963
站在巨人的肩头才会看见更远的世界，这是一篇来自技术牛人的神总结，运用多年实战经验总结的CTF取证方法，全面细致，通俗易懂，掌握了这个技能定会让你在CTF路上少走很多弯路，不看真的会后悔！ 本篇文章大约6千字，阅读时间需20分钟，希望大家耐心看完！ 取证 在CTF（Capture The Flag，中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式）中，取证的...
计算机取证之你必须要会用的24款工具
weixin_30706691的博客
03-21 1049
什么是计算机取证？ 计算机取证（Computer Forensics，又名计算机取证技术、计算机鉴识、计算机法医学）是指运用计算机辨析技术，对计算机犯罪行为进行分析以确认罪犯及计算机证据，并据此提起诉讼。也就是针对计算机入侵与犯罪，进行证据获取、保存、分析和出示。计算机证据指在计算机系统运行过程中产生的以其记录的内容来证明案件事实的电磁记录物。从技术上而言。计算机取证是一个对受侵计算机系统进行扫...
嗅探工具 --- wireshark、tcpdump、dsniff、ettercap、bettercap、netsniff-ng
墨鱼菜鸡
07-11 5011
最好的 MitM 中间人攻击开源框架清单：https://github.com/Chan9390/Awesome-MitM 哔哩哔哩：https://search.bilibili.com/all?keyword=wireshark 1、WireShark WireShark 是一个开源免费的高性能网络协议分析软件，它的前身就是非常著名的网络分析软...
计算机取证概述
07-07
关于计算机取证的概述，详细描述了计算机取证的过程！
Security Onion:IDS/NSM、Snort、Suricata、Bro、Sguil、Squert、ELSA、Xplico-开源
05-30
Security Onion 是用于 IDS（入侵检测）和 NSM（网络安全监控）的 Linux 发行版。 它基于 Ubuntu，包含 Snort、Suricata、Bro、Sguil、Squet、ELSA、Xplico、NetworkMiner 和许多其他安全工具。 易于使用的设置向导可让您在几分钟内为您的企业构建大量分布式传感器！
网络犯罪与计算机取证手册
02-13
作者：Debra Littlejohn Shinder； 语言：英文； 内容：网络犯罪、取证、网络安全、数据证据、案例
zeek 系列实操实验
08-17
zeek 入侵检测系列实验 Lab 1: Introduction to the Capabilities of Zeek Lab 2: An Overview of Zeek Logs Lab 3: Parsing, Reading and Organizing Zeek Log Files Lab 4: Generating, Capturing and Analyzing Network Scanner Traffic Lab 5: Generating, Capturing and Analyzing DoS and DDoS-centric Network Traffic Lab 6: Introduction to Zeek Scripting Lab 7: Introduction to Zeek Signatures Lab 8: Advanced Zeek Scripting for Anomaly and Malicious Event Detection Lab 9: Profiling and Performance Metrics of Zeek Lab 10: Application of the Zeek IDS for Real-Time Network Protection Lab 11: Preprocessing of Zeek Output Logs for Machine Learning Lab 12: Developing Machine Learning Classifiers for Anomaly Inference and Classification
用开源工具Xplico助力网络应用层数据解码
李晨光原创IT博客
06-28 6273
用开源工具Xplico助力网络应用层数据解码首发：http://netsecurity.51cto.com/art/201606/513237.htm0.概述Xplico功能不仅是一个网络协议分析工具，还是一个开源的网络取证分析工具(NFAT)。网络取证分析工具是一个科学的捕捉，记录和检测入侵并进行调查的网络流量分析处理系统。Xplico主要作用是从捕获网络应用层数据并显示出来，这指的是通过捕获I
探秘网络取证利器：Xplico —— 开源网络数据解码工具
gitblog_00067的博客
06-03 427
探秘网络取证利器：Xplico —— 开源网络数据解码工具 项目地址:https://gitcode.com/xplico/xplico 1、项目介绍 Xplico 是一个专为Unix和类Unix操作系统设计的网络取证分析工具（NFAT）。它依赖libpcap库进行数据包捕获和过滤，提供了一种强大的方式来解析并解读网络流量中的信息。无论你是网络安全专家还是普通用户，Xplico都能帮你深入理解网络...
开源网络取证工具Xplico
weixin_34080903的博客
08-01 528
Xplico的目标是提取互联网流量并捕获应用数据中包含的信息。 举个例子，Xplico可以在pcap文件中提取邮件内容(通过POP，IMAP，SMTP协议)，所有的HTTP内容，每个VoIP的访问(SIP)，FTP，TFTP等等，但是Xplico不是一个网络协议分析工具。Xplico是一个开源的网络取证分析工具(NFAT)。 特征： 协议支持：HTTP...
CentOS 7 下安装开源网络取证分析工具Xplico
关注网络安全
11-15 4299
Xplico可以在pcap文件中提取邮件内容(通过POP，IMAP，SMTP协议)，所有的HTTP内容，每个VoIP的访问(SIP)，FTP，TFTP等等，但是Xplico不是一个网络协议分析工具。Xplico是一个开源的网络取证分析工具(NFAT)特征 Protocols supported: HTTP, SIP, IMAP, POP, SMTP, TCP, UDP, IPv6, …; Port
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值