Xplico

Overview

Xplico is a Network Forensic Analysis Tool (NFAT) that takes captured traffic (pcap files or live capture) and reconstructs it back into the original application-layer content: web pages viewed, emails sent/received, VoIP calls, chat sessions, and files transferred. Where Wireshark shows you packets, Xplico shows you what the user actually did — invaluable when a pcap needs to be turned into readable evidence rather than manually reassembled TCP streams.

Common Usage

Xplico runs as a service with a web UI — start it

sudo service xplico start

# Access the web UI (default) and create a new case/session there
# http://127.0.0.1:9876  (default creds: admin/xplico)

CLI-based decoding of a pcap file (no web UI needed)

xplico -m pcap -f capture.pcap -o /var/xplico/output/

Typical Workflow

1. Acquire or receive the pcap of interest

tcpdump -i eth0 -w capture.pcap

# 2. Feed it into Xplico via the web UI (New Case → New Session → Upload pcap)
#    or via CLI decoding

xplico -m pcap -f capture.pcap -o ./xplico-output/

# 3. Browse reconstructed sessions in the web UI:
#    Web (HTTP requests/responses, images viewed)
#    Mail (SMTP/POP/IMAP reconstructed messages)
#    VoIP (SIP/RTP calls, with playable audio)
#    Chat/DNS/other protocols

Tips

• The web UI is where most of the value is — reconstructed HTTP objects, images, and VoIP audio are browsable/playable directly.
• Works equally well on a live capture interface or an already-captured pcap file dropped into a case.
• Change the default admin/xplico credentials immediately if exposing the web UI beyond localhost.

xplico [options]

  -m MODE       Decoding mode (pcap, rtp, etc.)
  -f FILE       Input pcap file
  -o DIR        Output directory for decoded/reconstructed data
  -c FILE       Configuration file
  -v            Verbose output

Service management:
  service xplico start|stop|status

Web interface (default):
  http://127.0.0.1:9876
  Default login: admin / xplico

Vue d’ensemble

Xplico est un outil d’analyse forensique réseau (NFAT) qui prend du trafic capturé (fichiers pcap ou capture en direct) et le reconstruit en contenu de couche application original : pages web consultées, emails envoyés/reçus, appels VoIP, sessions de chat, et fichiers transférés. Là où Wireshark montre des paquets, Xplico montre ce que l’utilisateur a réellement fait : inestimable lorsqu’un pcap doit être transformé en preuve lisible plutôt qu’en flux TCP réassemblés manuellement.

Utilisation courante

# Xplico fonctionne comme un service avec une interface web : le démarrer
sudo service xplico start

# Accéder à l'interface web (par défaut) et y créer un nouveau cas/session
# http://127.0.0.1:9876  (identifiants par défaut : admin/xplico)

# Décodage d'un fichier pcap en ligne de commande (sans interface web)
xplico -m pcap -f capture.pcap -o /var/xplico/output/

Flux de travail typique

# 1. Acquérir ou recevoir le pcap d'intérêt
tcpdump -i eth0 -w capture.pcap

# 2. L'injecter dans Xplico via l'interface web (New Case → New Session → Upload pcap)
#    ou via un décodage en ligne de commande
xplico -m pcap -f capture.pcap -o ./xplico-output/

# 3. Parcourir les sessions reconstruites dans l'interface web :
#    Web (requêtes/réponses HTTP, images consultées)
#    Mail (messages SMTP/POP/IMAP reconstruits)
#    VoIP (appels SIP/RTP, avec audio lisible)
#    Chat/DNS/autres protocoles

Conseils

• L’interface web est là où se trouve l’essentiel de la valeur : objets HTTP reconstruits, images, et audio VoIP sont navigables/lisibles directement.
• Fonctionne aussi bien sur une interface de capture en direct que sur un fichier pcap déjà capturé et déposé dans un cas.
• Changer immédiatement les identifiants par défaut admin/xplico si l’interface web est exposée au-delà de localhost.

xplico [options]

  -m MODE       Decoding mode (pcap, rtp, etc.)
  -f FILE       Input pcap file
  -o DIR        Output directory for decoded/reconstructed data
  -c FILE       Configuration file
  -v            Verbose output

Service management:
  service xplico start|stop|status

Web interface (default):
  http://127.0.0.1:9876
  Default login: admin / xplico