Scapy ile paket işleme ve pcap analizi
Scapy ile katman katman paket kurar, kayıtlı trafiği Python’la inceler ve şüpheli örüntüleri kendi kodunla bulursun.
Seviye 301 · 17 ders · 15 pratik lab
Dersler
Scapy ile tanışmak
- Katmanlar ve alanlar: Ether, IP, TCP
- sr, sr1 ve yanıtları eşleştirmek
- Scapy ile ARP ve ICMP keşfi
- Scapy ile kendi traceroute’unu yazmak
- Kısa görev: laboratuvar ağındaki cihazların MAC ve IP haritasını çıkar
Kayıtlı trafiği okumak
- rdpcap ve PcapReader ile büyük dosyalar
- Paketleri akışlara ve konuşmalara toplamak
- pcap’ten DNS sorgularını ve yanıtlarını çıkarmak
- Şifresiz HTTP isteklerini ve kimlik bilgilerini bulmak
- Kısa görev: en çok veri gönderen iç makineyi bul
Şüpheli örüntüler
- Port taramasını trafikten tanımak
- Düzenli aralıkla dışarı bağlanan makineyi bulmak
- DNS ile veri sızdırmanın izleri: uzun ve rastgele adlar
- Trafikten dosya çıkarıp özetini almak
- Kısa görev: karışık kayıtta komuta sunucusuna bağlanan makineyi bul
Kapanış
- Bulguları zaman çizelgesi olarak raporlamak
- Bitirme görevi: pcap dosyasını otomatik ön inceleyen araç
Pratik lablar
- Lab ağının MAC-IP haritası: Kendi lab alt ağına Scapy ile ARP isteği gönderip yanıt veren cihazların MAC ve IP adreslerini tablo halinde çıkaran bir betik yaz.
- Yolda kaybolan atlama: Scapy ile TTL artırarak kendi traceroute’unu yaz, ICMP yanıtı vermeyen ara yönlendiriciyi işaretle ve hedefe kaç atlamada ulaşıldığını göster.
- Yanıtlar yanlış isteklerle eşleşiyor: Gönderilen ve alınan paketleri kendi döngüsüyle eşleştirip yanlış sonuç veren keşif betiğini sr ile yeniden yaz ve yanıtsız kalan hedefleri ayrıca listele.
- En çok veri gönderen makine: Verilen pcap dosyasında iç makinelerin gönderdiği bayt miktarını toplayıp en çok veri gönderen makineyi ve hedeflerini bulan bir betik yaz.
- Belleğe sığmayan pcap: rdpcap ile belleği tüketen analiz betiğini PcapReader ile akış halinde çalışacak şekilde yeniden yaz ve aynı konuşma tablosunu çok daha az bellekle ürettiğini göster.
- Konuşmalardan zaman çizelgesi: Gümüşsu Belediyesi olay kaydındaki paketleri beşli anahtarla akışlara topla, her akışın başlangıç, süre ve bayt bilgisini çıkar ve olayın zaman çizelgesini üret.
- pcap’teki DNS sorguları: Verilen kayıttaki DNS sorgularını ve yanıtlarını eşleştirip hangi makinenin hangi adı sorduğunu ve aldığı adresi listeleyen bir betik yaz.
- pcap için ilk bakış özeti: Herhangi bir pcap dosyası için protokol dağılımı, en çok konuşanlar, DNS adları ve şifresiz protokolleri tek sayfalık rapor olarak üreten bir araç yaz.
- Bozuk pcap’te çöken araç: Kesik kaydedilmiş ve bilinmeyen katmanlar içeren pcap dosyasında çöken ön inceleme aracını sağlamlaştır ve okunabilen tüm paketlerden rapor ürettiğini göster.
- Şifresiz HTTP girişi: Verilen pcap dosyasında şifresiz HTTP üzerinden gönderilmiş giriş formlarını bulan ve hangi iç uygulamanın HTTPS’e geçirilmesi gerektiğini raporlayan bir betik yaz.
- Uzun ve rastgele alt alan adları: Kayıttaki DNS sorgularında alt alan adı uzunluğu ve entropiye bakarak veri sızdırma şüphesi taşıyan makineyi ve kullandığı etki alanını bul.
- Trafikten dosya çıkar: Kayıttaki parçalı HTTP indirmesini TCP sıra numarasına göre birleştirip dosyayı çıkar, SHA-256 özetini al ve verilen bilinen-kötü listesiyle karşılaştır.
- Kayıtta port taraması: Kısa sürede çok sayıda farklı porta SYN gönderen kaynağı bulan bir betik yaz ve taranan port aralığını raporla.
- Düzenli aralıkla dışarı bağlanan makine: Brightfield Labs kaydında bağlantı aralıklarının sapmasına bakarak düzenli işaret gönderen makineyi bul ve aralığını saniye cinsinden göster.
- Gürültünün içindeki komuta trafiği: Güncelleme ve yedekleme trafiğiyle dolu karışık kayıtta, meşru periyodik işleri eleyerek komuta sunucusuyla konuşan tek makineyi bul ve gerekçesini yaz.
Kurs hakkında
Scapy ile katman katman paket kurar, kayıtlı trafiği Python’la inceler ve şüpheli örüntüleri kendi kodunla bulursun.
Ne öğreneceksin
- Scapy ile tanışmak
- Kayıtlı trafiği okumak
- Şüpheli örüntüler
- Kapanış
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.