chaosreader

Overview

chaosreader reconstructs application sessions from packet captures. It extracts HTTP pages, images, emails, FTP file transfers, Telnet sessions, and other application data — creating HTML reports and individual files you can open in a browser, useful for network forensics.

Basic Usage

Extract sessions from pcap

chaosreader capture.pcap

# Outputs files in current directory
# Opens index.html for browsing sessions

# Specify output directory
mkdir output && cd output
chaosreader ../capture.pcap

Output Files

# chaosreader creates:
# index.html          — browsable session list
# session_XXXX.html   — HTML-rendered HTTP sessions
# session_XXXX_img.*  — extracted images
# session_XXXX.telnet — Telnet/rlogin sessions
# session_XXXX.ftp    — FTP sessions
# session_XXXX.smtp   — SMTP email sessions
# session_XXXX.pop3   — POP3 sessions

Browse results

firefox index.html

Options

Process pcap file

chaosreader file.pcap

Keep all files (don’t delete temps)

chaosreader -a file.pcap

chaosreader -F file.pcap   # FTP only

chaosreader -T file.pcap   # Telnet only

chaosreader -S file.pcap   # SMTP only

chaosreader -H file.pcap   # HTTP only

Use Cases

# Forensic investigation
# → "What did this user do on the network?"
# → "Were any credentials transmitted in cleartext?"
# → "What files were downloaded/uploaded?"

# Incident response
# → Reconstruct attacker's activities from captured traffic
# → Identify exfiltrated data

Quick credential hunting → Extract Telnet/FTP sessions showing credentials

grep -r "password\|login\|user" session_*.html

Capturing Traffic First

Capture with tcpdump

tcpdump -i eth0 -w capture.pcap

Capture specific traffic

tcpdump -i eth0 -w http.pcap 'port 80 or port 21 or port 23'

# Then analyze
mkdir analysis && cd analysis
chaosreader ../http.pcap
firefox index.html

Tips

• Works best on cleartext protocols — HTTP, FTP, Telnet, SMTP, POP3
• The HTML index makes it easy to quickly review all sessions visually
• Look for POST requests — they often contain form data including credentials
• Telnet sessions are especially valuable — show full interactive commands
• For TLS/HTTPS traffic, you need the session keys (use Wireshark + SSLKEYLOGFILE)

chaosreader [options] dumpfile [dumpfile2 ...]

-a          Keep all files (no cleanup)
-D N        Number of data bytes to display (default: 256)
-A          Show all data (no limit)
-H          HTTP only
-F          FTP only
-T          Telnet only
-S          SMTP only

Output: Creates index.html and session files in current directory

Vue d’ensemble

chaosreader reconstruit les sessions applicatives depuis des captures de paquets. Il extrait pages HTTP, images, e-mails, transferts de fichiers FTP, sessions Telnet et autres données applicatives, en créant des rapports HTML et des fichiers individuels que vous pouvez ouvrir dans un navigateur, ce qui est utile pour la forensique réseau.

Utilisation de base

# Extraire les sessions d'un pcap
chaosreader capture.pcap

# Produit des fichiers dans le répertoire courant
# Ouvre index.html pour parcourir les sessions

# Spécifier le répertoire de sortie
mkdir output && cd output
chaosreader ../capture.pcap

Fichiers de sortie

# chaosreader crée :
# index.html          : liste de sessions consultable
# session_XXXX.html   : sessions HTTP rendues en HTML
# session_XXXX_img.*  : images extraites
# session_XXXX.telnet : sessions Telnet/rlogin
# session_XXXX.ftp    : sessions FTP
# session_XXXX.smtp   : sessions e-mail SMTP
# session_XXXX.pop3   : sessions POP3

# Parcourir les résultats
firefox index.html

Options

# Traiter un fichier pcap
chaosreader file.pcap

# Garder tous les fichiers (ne pas supprimer les temporaires)
chaosreader -a file.pcap

chaosreader -F file.pcap   # FTP uniquement
chaosreader -T file.pcap   # Telnet uniquement
chaosreader -S file.pcap   # SMTP uniquement
chaosreader -H file.pcap   # HTTP uniquement

Cas d’usage

# Investigation forensique
# → "Qu'a fait cet utilisateur sur le réseau ?"
# → "Des identifiants ont-ils transité en clair ?"
# → "Quels fichiers ont été téléchargés/uploadés ?"

# Réponse à incident
# → Reconstruire les activités de l'attaquant depuis le trafic capturé
# → Identifier les données exfiltrées

# Chasse rapide aux identifiants → extraire les sessions Telnet/FTP montrant des identifiants
grep -r "password\|login\|user" session_*.html

Capturer d’abord le trafic

# Capturer avec tcpdump
tcpdump -i eth0 -w capture.pcap

# Capturer un trafic spécifique
tcpdump -i eth0 -w http.pcap 'port 80 or port 21 or port 23'

# Puis analyser
mkdir analysis && cd analysis
chaosreader ../http.pcap
firefox index.html

Conseils

• Fonctionne le mieux sur les protocoles en clair : HTTP, FTP, Telnet, SMTP, POP3
• L’index HTML facilite la revue visuelle rapide de toutes les sessions
• Cherchez les requêtes POST : elles contiennent souvent des données de formulaire, dont des identifiants
• Les sessions Telnet sont particulièrement précieuses : elles montrent toutes les commandes interactives
• Pour le trafic TLS/HTTPS, il vous faut les clés de session (utilisez Wireshark + SSLKEYLOGFILE)

chaosreader [options] dumpfile [dumpfile2 ...]

-a          Keep all files (no cleanup)
-D N        Number of data bytes to display (default: 256)
-A          Show all data (no limit)
-H          HTTP only
-F          FTP only
-T          Telnet only
-S          SMTP only

Output: Creates index.html and session files in current directory