PCAP Analysis

1. หลักการ

PCAP บันทึก packet ที่วิ่งผ่านเครือข่าย ณ ช่วงเวลาหนึ่ง การวิเคราะห์คือหาว่ามีข้อมูลอะไรถูกส่ง โจทย์ CTF/IR มักซ่อนหลักฐานใน: ข้อมูล HTTP/FTP ที่ส่ง plaintext, ไฟล์ที่โอน, credential ที่ login, DNS query แปลกๆ (tunneling/exfil), หรือข้อมูลที่ encode

2. Triage (ภาพรวมก่อน)

# สถิติรวม (จำนวน packet, ช่วงเวลา, ขนาด)
capinfos capture.pcap

# protocol hierarchy — มี protocol อะไรบ้าง
tshark -r capture.pcap -q -z io,phs

# conversations — ใครคุยกับใคร, ปริมาณ
tshark -r capture.pcap -q -z conv,tcp
tshark -r capture.pcap -q -z conv,ip

# endpoints
tshark -r capture.pcap -q -z endpoints,ip

3. ดึงข้อมูลตาม protocol (tshark)

# HTTP requests
tshark -r cap.pcap -Y "http.request" -T fields -e http.host -e http.request.uri

# DNS queries (หา tunneling/exfil)
tshark -r cap.pcap -Y "dns.flags.response==0" -T fields -e dns.qry.name | sort -u

# FTP commands (credential plaintext)
tshark -r cap.pcap -Y "ftp.request" -T fields -e ftp.request.command -e ftp.request.arg

# ค้น keyword
tshark -r cap.pcap -Y 'frame contains "flag"'
strings capture.pcap | grep -iE 'flag|pass|user'

# POST data
tshark -r cap.pcap -Y 'http.request.method=="POST"' -T fields -e http.file_data

4. ดึงไฟล์และ credential

• Follow Stream (Wireshark): คลิกขวา packet → Follow → TCP/HTTP Stream — เห็นบทสนทนาเต็ม (สลับ ASCII/Hex/Raw)
• Export Objects: File → Export Objects → HTTP/SMB/TFTP/IMF — ดึงไฟล์/รูป/email ที่โอน
• credential: filter http.request.method==POST, ftp.request.command=="PASS", telnet (plaintext)
• NetworkMiner: ดึงไฟล์/รูป/credential/session อัตโนมัติจาก pcap (GUI)
• Zeek (bro): สร้าง log สรุป (conn.log, http.log, dns.log, files.log) จาก pcap — ดี for IR

# ดึงไฟล์ HTTP ออกมาทั้งหมด
tshark -r cap.pcap --export-objects http,extracted_files/
ls extracted_files/

# NetworkMiner (GUI) เปิด pcap → tab Files/Credentials อัตโนมัติ

5. TLS decrypt, tunneling, USB

• TLS decrypt: ถ้ามี key log (SSLKEYLOGFILE) → Wireshark Preferences → Protocols → TLS → ใส่ไฟล์ → เห็น HTTPS plaintext; หรือมี private key ของ server (RSA, ไม่ใช่ PFS)
• DNS tunneling: dns.qry.type==16 (TXT) หรือ subdomain ยาว/เยอะผิดปกติ → รวม query มา decode (มัก base32/hex)
• ICMP tunneling: ดู data field ของ ICMP echo (มีข้อมูลซ่อน)
• USB capture (HID keyboard): filter usb.capdata → ดึง keystroke แล้ว map HID code → ข้อความที่พิมพ์ (มี script สำเร็จรูป)
• data ที่ encode: เจอ base64/hex ใน stream → decode

6. Quick Reference

• triage: capinfos; tshark -z io,phs (protocol hierarchy)
• ดึง: tshark -Y 'http.request'/'dns' -T fields -e field
• ค้น: tshark -Y 'frame contains "flag"'; strings|grep
• Follow TCP/HTTP Stream; Export Objects ดึงไฟล์
• credential: POST data, FTP PASS; NetworkMiner อัตโนมัติ
• TLS decrypt (SSLKEYLOGFILE); DNS/ICMP tunneling; USB HID keystroke

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติเพิ่งได้ไฟล์ .pcap/.pcapng มา มีแค่ Kali เปล่าๆ ยังไม่รู้จะเริ่มตรงไหน ทำตามนี้ทีละขั้นตั้งแต่ดูภาพรวมจนดึง flag ออกมา

1. 1พิมพ์ capinfos capture.pcap ดูภาพรวม (จำนวน packet/ช่วงเวลา/ขนาดไฟล์)
2. 2พิมพ์ tshark -r capture.pcap -q -z io,phs ดู protocol hierarchy ว่ามี protocol อะไรเด่น
3. 3พิมพ์ tshark -r capture.pcap -q -z conv,tcp ดูว่าใครคุยกับใครเยอะสุด
4. 4เปิดไฟล์จริงด้วย wireshark capture.pcap แล้วลอง filter http.request หรือ ftp
5. 5คลิกขวา packet ที่น่าสนใจ → Follow → TCP/HTTP Stream อ่านบทสนทนาเต็ม
6. 6File → Export Objects → HTTP ดึงไฟล์ที่ถูกโอนออกมาเป็นไฟล์จริง
7. 7ค้น flag ตรงๆ: tshark -r capture.pcap -Y 'frame contains "flag"'
8. 8เช็ค DNS แปลกๆ: tshark -r capture.pcap -Y "dns.flags.response==0" -T fields -e dns.qry.name | sort -u
9. 9ถ้าเป็น USB capture: filter usb.capdata แล้วใช้ script map HID keycode เป็นข้อความ
10. 10ถ้าเจอ TLS/HTTPS เข้ารหัสหมด เช็คว่าโจทย์แถม SSLKEYLOGFILE หรือ private key มาไหม