如何使用Caronte在CTF比赛中完成网络流量分析

微信截图_20210629104457

关于Caronte

Caronte是一款功能强大的网络流量分析工具,可以帮助广大研究人员在CTF比赛或其他网络攻击/防御活动中对捕捉到的网络流量进行分析。该工具能够重新组装pcap文件中捕获的TCP数据包以重建TCP连接,并分析每个连接以查找用户定义的模式。这里所谓的模式,支持用户使用正则表达式或特定于协议的规则来进行定义。分析过程中的连接流将会存储至数据库中,并可以通过Web应用程序以可视化的形式访问。除此之外,Caronte还提供了非常实用的REST API。

功能介绍

支持Docker-Compose,可立即安装使用;

无需配置文件,可通过GUI或API修改配置;

可通过curl或GUI加载待分析的pcap文件;

支持包含特定字符串的规则以识别连接;

可通过服务类型对连接进行标识;

可通过地址、端口、时间和匹配规则等过滤特定连接;

通过时间轴显示每分钟的分析统计;

支持正则表达式搜索;

可对检测到的HTTP连接进行自动化重组;

可通过多种形式查看或导出连接内容;

在JSON树状图查看器中显示JSON内容,在独立窗口中呈现HTML代码;

连接内容视图中高亮显示匹配规则的内容;

支持IPv4和IPv6;

工具安装

目前有两种方法来安装Caronte:

使用Docker和Docker-Compose,最简单也最快速;

手动安装依赖组件并编译项目;

使用Docker安装

首先,将该项目源码克隆至本地:

git clone https://github.com/eciavatta/caronte.git

在命令行终端中,切换到项目根目录,然后运行下列命令:

docker-compose up -d

等待镜像编译完成之后,就可以在浏览器中访问“http://localhost:3333”以使用Caronte了。

手动安装

首先,我们需要安装好下列依赖组件:

go >= 1.14 https://golang.org/doc/install

node >= v12 https://nodejs.org/it/download/

yarnpkg https://classic.yarnpkg.com/en/docs/install/

hyperscan >= v5 https://www.hyperscan.io/downloads/

接下来,我们需要手动编译项目,该操作分成两部分:

后端:使用下列命令编译:

go mod download && go build

前端:使用下列命令编译:

cd frontend && yarn install && yarn build

在运行Caronte之前,还需要开启一个MongoDB实例。【参考资料

接下来,使用“./caronte”命令运行代码,可用选项如下:

-bind-address    address where server is bind (default "0.0.0.0")

-bind-port       port where server is bind (default 3333)

-db-name         name of database to use (default "caronte")

-mongo-host      address of MongoDB (default "localhost")

-mongo-port      port of MongoDB (default 27017)

工具运行截图

工具主窗口,包含连接列表和数据流内容

工具主窗口,包含时间轴详情

规则和服务查看

搜索和pcap查看

项目地址

Caronte:GitHub传送门

许可证协议

本项目由Emiliano Ciavatta开发与发布,并遵循GPL-3.0开源许可证协议。

参考资料

https://docs.mongodb.com/manual/administration/install-community/

https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

https://golang.org/doc/install

https://nodejs.org/it/download/

https://classic.yarnpkg.com/en/docs/install/

https://www.hyperscan.io/downloads/

来源:FreeBuf.COM

上一篇:7月邀约!ISC 2021第九届互联网安全大会即将启幕!

下一篇:威刚拒绝支付赎金,Ragnar Locker转头公布700GB数据