참고 : http://tcpreplay.synfin.net/wiki/tcprewrite
tcpdump -w 옵션을 통해 생성된 rawpacket 내용을 수정할수 있게 해주는 프로그램이다.
패킷파일의 src ip . dst ip, mac, port 등등을 재작성할수 있게 해주며 기타 패킷파일의 세부적으로 수정도 가능하다.
옵션
디도스공격시에 캡쳐한 rawpacket 파일에 dst ip 값을 변경하고자 한다면...
현재 rawpacket
15:29:43.375061 IP 58.22.43.178.16591 > 183.100.240.41.18968: S 140103850:140104710(860) win 128
15:29:43.375113 IP 222.54.130.209.11238 > 183.100.240.41.16044: S 1213429559:1213430419(860) win 128
15:29:43.375162 IP 218.75.100.193.15070 > 183.100.240.41.31680: S 987086282:987087142(860) win 128
15:29:43.375261 IP 222.170.63.73.2280 > 183.100.240.41.26715: S 1920033858:1920034268(410) win 128
15:29:43.375311 IP 61.237.86.95.30105 > 183.100.240.41.31521: S 1205711487:1205712347(860) win 128
15:29:43.375410 IP 218.75.100.195.11662 > 183.100.240.41.28295: S 1526893938:1526894798(860) win 128
15:29:43.375460 IP 222.54.131.224.9912 > 183.100.240.41.27422: S 1634479563:1634480223(660) win 128
.........................................
.........................................
변환
tcprewrite -i kt.pcap-20100914-1529 -o ddos.pcap -D 183.100.240.41:218.236.115.222 -C -v
-i : Input 으로 사용할 PCAP 파일
-o : 재작성 하여 저장될 PCAP 파일/ Output 파일
-D --dstipmap : 변경할 목적지 IP / 인자값을 두개 사용
앞 인자값은 원래의 주소이며, 다음 인자값은변경할 IP 주소
-S --srcipmap : dstipmap 과 같이 똑같이 소스IP 를 변경할 때 사용
--endpoints : 출발지와 목적지 양쪽의 엔드포인트를 변경할 때 사용
--portmap : TCP/UDP 포트를 변경
--seed : 출발지/목적지 IP 주소를 랜덤하게 변경
-C : IP/TCP/UDP 체크섬값을 재 계산
-v : 세부적인 정보를 출력
dst ip 변환이후 생성된 rawpacket
15:29:43.375061 IP 58.22.43.178.16591 > 218.236.115.222.18968: S 140103850:140104710(860) win 128
15:29:43.375113 IP 222.54.130.209.11238 > 218.236.115.222.16044: S 1213429559:1213430419(860) win 128
15:29:43.375162 IP 218.75.100.193.15070 > 218.236.115.222.31680: S 987086282:987087142(860) win 128
15:29:43.375261 IP 222.170.63.73.2280 > 218.236.115.222.26715: S 1920033858:1920034268(410) win 128
15:29:43.375311 IP 61.237.86.95.30105 > 218.236.115.222.31521: S 1205711487:1205712347(860) win 128
15:29:43.375410 IP 218.75.100.195.11662 > 218.236.115.222.28295: S 1526893938:1526894798(860) win 128
15:29:43.375460 IP 222.54.131.224.9912 > 218.236.115.222.27422: S 1634479563:1634480223(660) win 128
