← retour aux outils back to tools

# Xplico

Outil d'analyse forensique réseau qui reconstruit les sessions de couche application (HTTP, email, VoIP, chat) à partir de trafic pcap capturé. Network forensic analysis tool that reconstructs application-layer sessions — HTTP, email, VoIP, chat — from captured pcap traffic.

↗ https://www.xplico.org

## Overview

Xplico is a Network Forensic Analysis Tool (NFAT) that takes captured traffic (pcap files or live capture) and reconstructs it back into the original application-layer content: web pages viewed, emails sent/received, VoIP calls, chat sessions, and files transferred. Where Wireshark shows you packets, Xplico shows you what the user actually did — invaluable when a pcap needs to be turned into readable evidence rather than manually reassembled TCP streams.

## Common Usage

Xplico runs as a service with a web UI — start it

    sudo service xplico start

    # Access the web UI (default) and create a new case/session there
    # http://127.0.0.1:9876  (default creds: admin/xplico)

CLI-based decoding of a pcap file (no web UI needed)

    xplico -m pcap -f capture.pcap -o /var/xplico/output/

## Typical Workflow

1. Acquire or receive the pcap of interest

    tcpdump -i eth0 -w capture.pcap

    # 2. Feed it into Xplico via the web UI (New Case → New Session → Upload pcap)
    #    or via CLI decoding

    xplico -m pcap -f capture.pcap -o ./xplico-output/

    # 3. Browse reconstructed sessions in the web UI:
    #    Web (HTTP requests/responses, images viewed)
    #    Mail (SMTP/POP/IMAP reconstructed messages)
    #    VoIP (SIP/RTP calls, with playable audio)
    #    Chat/DNS/other protocols

## Tips

- The web UI is where most of the value is — reconstructed HTTP objects, images, and VoIP audio are browsable/playable directly.
- Works equally well on a live capture interface or an already-captured pcap file dropped into a case.
- Change the default `admin/xplico` credentials immediately if exposing the web UI beyond localhost.

Help / Man page

    xplico [options]

      -m MODE       Decoding mode (pcap, rtp, etc.)
      -f FILE       Input pcap file
      -o DIR        Output directory for decoded/reconstructed data
      -c FILE       Configuration file
      -v            Verbose output

    Service management:
      service xplico start|stop|status

    Web interface (default):
      http://127.0.0.1:9876
      Default login: admin / xplico

## Vue d’ensemble

Xplico est un outil d’analyse forensique réseau (NFAT) qui prend du trafic capturé (fichiers pcap ou capture en direct) et le reconstruit en contenu de couche application original : pages web consultées, emails envoyés/reçus, appels VoIP, sessions de chat, et fichiers transférés. Là où Wireshark montre des paquets, Xplico montre ce que l’utilisateur a réellement fait : inestimable lorsqu’un pcap doit être transformé en preuve lisible plutôt qu’en flux TCP réassemblés manuellement.

## Utilisation courante

    # Xplico fonctionne comme un service avec une interface web : le démarrer
    sudo service xplico start

    # Accéder à l'interface web (par défaut) et y créer un nouveau cas/session
    # http://127.0.0.1:9876  (identifiants par défaut : admin/xplico)

    # Décodage d'un fichier pcap en ligne de commande (sans interface web)
    xplico -m pcap -f capture.pcap -o /var/xplico/output/

## Flux de travail typique

    # 1. Acquérir ou recevoir le pcap d'intérêt
    tcpdump -i eth0 -w capture.pcap

    # 2. L'injecter dans Xplico via l'interface web (New Case → New Session → Upload pcap)
    #    ou via un décodage en ligne de commande
    xplico -m pcap -f capture.pcap -o ./xplico-output/

    # 3. Parcourir les sessions reconstruites dans l'interface web :
    #    Web (requêtes/réponses HTTP, images consultées)
    #    Mail (messages SMTP/POP/IMAP reconstruits)
    #    VoIP (appels SIP/RTP, avec audio lisible)
    #    Chat/DNS/autres protocoles

## Conseils

- L’interface web est là où se trouve l’essentiel de la valeur : objets HTTP reconstruits, images, et audio VoIP sont navigables/lisibles directement.
- Fonctionne aussi bien sur une interface de capture en direct que sur un fichier pcap déjà capturé et déposé dans un cas.
- Changer immédiatement les identifiants par défaut `admin/xplico` si l’interface web est exposée au-delà de localhost.

Aide / Page de manuel

    xplico [options]

      -m MODE       Decoding mode (pcap, rtp, etc.)
      -f FILE       Input pcap file
      -o DIR        Output directory for decoded/reconstructed data
      -c FILE       Configuration file
      -v            Verbose output

    Service management:
      service xplico start|stop|status

    Web interface (default):
      http://127.0.0.1:9876
      Default login: admin / xplico