XPlico, le compagnon idéal de WireShark

Date: 22/06/2010 | Catégories: Open-source,Reseau | Tags: ,,

C'est en lisant le flux RSS de Korben que je suis tombé sur le projet open-source Xplico. Ce dernier a pour but de présenter de manière lisible les fichiers de capture réseau au format PCap (générés notamment par WireShark et TCPDump).

Actuellement en développement (version 0.5.7 au moment de l'écriture de cet article), Xplico se base sur une architecture ouverte permettant d'ajouter assez simplement des modules de décodage (manipulators) et de visualisation (vizualization) de protocoles.

Nous allons maintenant voir comment installer, configurer et utiliser XPlico sur une système d'exploitation Debian like (Debian / Ubuntu...).

Installation

Update: je viens d'ajouter Xplico dans mon PPA...

On récupère la dernière version du package .deb sur le site officiel puis on installe le .deb avec lke gestionnaire de paquet Ubuntu.

Si votre système dispose d'un serveur APACHE, PHP5 et du module PHP5-SQLITE, vous n'avez rien d'autre à faire dans ce chapitre installation.

Sinon, il faut saisir les commande suivantes:

[shell]

sudo install apache2 mysql-server php5 php5-sqlite

sudo a2enmod rewrite

sudo cp /opt/xplico/cfg/apache_xi /etc/apache2/sites-enabled/xplico

sudo apache2ctl restart

[/shell]

Configuration

L'interface Web va vous permettre d'uploader vos fichiers de capture. De base, PHP limite la taille maximale des fichiers "uploadables" à 8 Mo. Pour augmenter cette limite, il faut éditer le fichier /etc/php5/apache2/php.ini:

[shell]

post_max_size = 100M

upload_max_filesize = 100M

[/shell]

Puis relancer Apache pour prendre en compte la modification:

[shell]sudo apache2ctl restart[/shell]

Utilisation

On commence par lancer un navigateur Web et pointer vers l'adresse suivante: http://localhost:9876/

Le compte par défaut est le suivant:

Login: xplico
Ppassword: xplico

On clique ensuite sur "New Case" pour créer un nouveau projet.

Puis une nouvelle session (correspondant à une capture):

On associe alors la session à notre fichier .pcap préhalablement généré avec Wireshark (vous pouvez récupérer un exemple de capture à l'adresse suivante).

Le chargement du fichier capture et son analyse peuvent prendre quelques secondes...

On a enfin le résultat qui s'affiche:

On peut par exemple visualiser l'adresse (URL) des sites Web visités:

Et entrer dans le détail des images téléchargées:

On peut également voir:

  • la liste des requêtes DNS
  • la liste des mails envoyés et leur contenus (si votre serveur Webmail n'est pas HTTPS...)
  • la liste des appels SIP avec les numéros de téléphones
  • la liste des fichiers téléchargés en HTTP, FTP, TFTP (que l'on peut récupérer)
  • l'historique des chats (MMS, NNTP, Facebook)
  • l'historique des sessions Telnet
  • une matrice des autres protocoles (non décodés)

Une bonne raison d'utiliser des protocoles chiffrés 🙂

Big brother, à vous Paris...

  • Je me doutais que cet outils allait te plaire quand j’ai vu que tu l’avais mis sur Identi.ca 😉

  • Pingback: Tweets that mention XPlico, le compagnon idéal de WireShark -- Topsy.com()

  • Je viens d’ajouter Xplico dans mon PPA:
    https://launchpad.net/~nicolashennion/+archive/ppa

    Pour installer:
    sudo add-apt-repository ppa:nicolashennion/ppa
    sudo aptitude update
    sudo aptitude install xplico

  • anthony

    Bonjour,

    j’ai installé Xplico mais il ne capture rien, pourtant sur mon Ubuntu j’ai wireshark qui fonctionne très bien.

    Dans Xplico je charge le fichier pcap, il met du temps à le décoder et au final il n’affiche rien, (des zeros partout).

    et en live, je prends la meme interface que sous wireshark mais pareil, des zeros partout, il ne voit rien on dirait.

    d’autres on le meme soucis ?

    Cordialement

  • @Anthony: je n’ai pas essayé la capture live depuis Xplico mais l’importation depuis un fichier .pcap (Wireshark) marche très bien. Attention, selon la taille du fichier, l’analyse peut prendre un peu de temps…

  • anthony

    quand je suis en capture live, je vois bien les sites que j’ai visités depuis mon poste ubuntu, mais pas les sites visités par les autres,

    pour les paquets aprés le décoding tout est vide, lors de l’enregistrement du pcap de wireshark j’ai au choix divers formats, lequel dois je prendre,

    il y a
    Wireshark/tcpdump/…-libpcap,
    Wireshark -nanosecond libpcap
    et plien d’autres ,vous devez les voir aussi je pense,
    Visual Networks Traffic capture
    etc…

    j’ai toujours tester qu’avec le premier, est ce que je me trompe ?

    Merci.

  • anthony

    Re, j’arrive à m’en sortir, je récupère les url dans la section DNS,

    par contre petite question, pour les 100Mo de taille pour le fichier upload et post max size, on peut monter jusqu’à combien de Mo?

    est il possible d’obtenir tout le résultat DNS sur une seule page ou alors je dois me faire les dizaines et dizaines de pages une par une ?

    existe t’il un moyen d’exporter les résultats ?

    Cordialement, et désolé si je ne post pas où il faut 😀

  • @Anthony:

    >> par contre petite question, pour les 100Mo de taille pour le fichier upload et post max size, on peut monter jusqu’à combien de Mo?
    Il n’y a pas de limite à ma connaissance. Tu peux donc monter au dessus des 100 Mo.

    >> est il possible d’obtenir tout le résultat DNS sur une seule page ou alors je dois me faire les dizaines et dizaines de pages une par une ?
    >> existe t’il un moyen d’exporter les résultats ?
    Pas dans la version actuelle, mais il ne faut pas oublier que le logiciel est en cours de développement, Je te conseille donc de laisser un message dans leur forum pour demander les fonctionnalitées manquantes.

  • anthony

    oki, merci NicoLargo 😉

  • sympa ce truc ! il faut que j’essaye sur un vrai os :p parce que debian…. :p

  • anthony

    Bizare quand meme car après l’upload de mon fichier pcap de wireshark, tout les tableaux de la page principale , HTTP, MMS, Emails ,IRC etc, restent toujours à zéro.

    dans la liste des fichiers uploadés, c’est vide, et tout les menus sont vides aussi, pas de sites visité, pas d’images, pas d’emails rien de rien ça reste vide.

    j’ai du louper quelque chose. :/

  • anthony

    et quand je fais:

    /opt/xplico/script/xplico start

    j’ai une erreur:

    # Error Opening file GeoLiteCity.dat
    Error Opening file GeoLiteCity.dat

  • salut, moi deja j’ai bien galerer pour l’installer jai mis plusieur heure car se .deb fou la merde avec apt et apitude, maintenant que jai reussi a l’installer je ne vois pas comment vous faites pour avoir des .pcap avec wireshark vous faites comment svp.

  • ps: jai ma meme erreur que anthony :

    Error Opening file GeoLiteCity.dat
    Error Opening file GeoLiteCity.dat
    Error Opening file GeoLiteCity.dat
    Error Opening file GeoLiteCity.dat

  • Deja merci pour le tuto. Question, xplico tu es sur qu’il est sur ton ppa ?

  • @Loo: je l’ai supprimé car la désinstallation ne marchait pas. Il faut que je teste si le package fourni dans la version 0.5.8 résout le pb

  • maskk

    Bonjour Xplico est elle stable a l’heure d’aujourd’hui ? ou mieu vaut il attendre encore un peu

    • people360

      Bonsoir, je viens de tester xPlico v0.6.1 fraichement sortie. Très stable, aucun problème avec.

  • Xplico vient de sortir en versin 1.0.0: http://www.xplico.org/archives/1115

  • barto

    je vient d’installer xplico sous debian squeeze mais lorsque j’upload un fichier .PCAP il ne met rien dans la liste
    avez vous une info ?

    merci nico 🙂

    • Jenny92

      Idem!
      Quel que soit le pcap chargé tout reste à zéro après décodage (j’ai récupéré différents pacap test)… Quelqu’un aurait-il une idée du souci?
      Manque-t-il quelquechose? Merci

  • Sushal

    Bonjour 🙂
    Xplico existe t il sur mac os X? J’ai réussi à installé Wireshark mais pour analyser plus facilement, j’ai cru comprendre que Xplico etait ce qu’il fallait mais je ne trouve pas sur la toile s’il est possible de l’avoir sur mac :/

    Merci de l’aide