💭 Above — анализатор сетевой безопасности для поиска уязвимостей в сети. Разработан для специалистов по тестированию на проникновение и инженеров по безопасности. Основан на библиотеке Scapy.

😮 Поддерживает 28 протоколов: MACSec, EAPOL, ARP , CDP, DTP, LLDP, VLAN, S7COMM, OMRON, TACAS+, ModbusTCP, STP, OSPF, EIGRP, BGP, VRRP, HSRP, GLBP, IGMP, LLMNR, NBT-NS, MDNS, DHCP, DHCPv6, ICMPv6, SSDP, MNDP, SNMP.

🐍 Установка

sudo apt-get install python3-scapy python3-colorama python3-setuptools
git clone https://github.com/casterbyte/above
cd above/
sudo python3 setup.py install

🚨 Характеристики
Инструмент работает в двух режимах:
⏺️Холодный - анализ дампов трафика;
⏺️Горячий - прослушивание необходимого интерфейса с указанным таймером.

В случае обнаружения инструментом протокола, он выводит необходимую информацию, чтобы указать вектор атаки или проблему с безопасностью:
⏺️ Тип атаки, который может быть выполнен по этому протоколу;
⏺️ Инструмент, который можно использовать для запуска атаки;
⏺️ Техническая информация: MAC- и IP-адреса отправителя, идентификаторы групп FHRP, домены OSPF/EIGRP и т. д.
⏺️ Рекомендации по устранению проблем безопасности.

😡 Примеры
Прослушивание интерфейса eth0 с указанием таймера в 120 секунд (для перехвата трафика требуются root-права) и запись перехваченного трафика в above.pcap:

sudo above --interface eth0 --timer 120 --output above.pcap

Для остановки отслеживания трафика необходимо нажать CTRL + С.

При наличии записанного трафика можно искать потенциальные проблемы безопасности в нем:

above --input ospf-md5.cap

Поиск хостов c помощью пассивного ARP сканирования:

sudo above --interface eth0 --passive-arp

Все найденные хосты будут записаны в above_passive_arp.txt.

Извлечение всех идентификаторов VLAN из эфира или из дампа трафика при условии нахождении на магистральном порту:

sudo above --interface eth0 --search-vlan 

Результат работы будет записан в above_discovered_vlan.txt.