Decipher ESP packets with Scapy

I'm currently working on implementing support for hardware cryptographic engine on a board we support at work. Currently it is not working and I was trying to debug it, thus trying to see what is happening. I tcpdumped the packets received, and tried to have a look at it. Sadly, for some reason, the SAs I added in wireshark do not match and he doesn't want to use them.

I then discovered that scapy now has support for that, and it was actually added by a colleague... Should have started there! I only found the issues on bitbucket showing how to use it so I thought it would be worth it to write a quick how-to, once got it down it is pretty straightforward, but knowing what to look for may not be obvious in the first place.

So here is a an example usage for an AES-CBC with no auth packet:

pkts = rdpcap("path/to/file.pcap")
pkts[0].show()

Here is the ESP packet:

###[ Ethernet ]###
  dst= 56:1e:7d:aa:e0:b3
  src= 68:05:ca:15:d1:99
  type= IPv4
###[ IP ]###
     version= 4L
     ihl= 5L
     tos= 0x0
     len= 140
     id= 0
     flags= DF
     frag= 0L
     ttl= 64
     proto= esp
     chksum= 0x2544
     src= 10.125.0.2
     dst= 10.125.0.1
     \options\
###[ ESP ]###
        spi= 0x22
        seq= 1
        data= '\xa7\[...]'

Then create the SA and decrypt:

sa = SecurityAssociation(ESP, spi=0x22, crypt_algo='AES-CBC', crypt_key='your_key')
res = sa.decrypt(pkts[0].getlayer(IP))
res.show()

The result showing the icmp packet:

###[ IP ]###
  version= 4L
  ihl= 5L
  tos= 0x0
  len= 104
  id= 0
  flags= DF
  frag= 0L
  ttl= 64
  proto= ipv4
  chksum= 0x2596
  src= 10.125.0.2
  dst= 10.125.0.1
  \options\
###[ IP ]###
     version= 4L
     ihl= 5L
     tos= 0x0
     len= 84
     id= 36470
     flags= DF
     frag= 0L
     ttl= 63
     proto= icmp
     chksum= 0x9805
     src= 10.200.0.1
     dst= 10.100.0.1
     \options\
###[ ICMP ]###
        type= echo-request
        code= 0
        chksum= 0x7cd1
        id= 0x9df
        seq= 0x1
###[ Raw ]###
       load= '\x9fTMW[...]'

And here you go.


31 mai 2016 13:35:34 -- tags [ scapy , python , IPsec , cipher , crypto ]


14 février 2017 18:34:46 - Isaacemady

Я делюсь секретами заработка в интернете и досконально все расписываю на моем секретном сайте: http://1-million-rubley.xyz Информация для поисковых систем: vacuum заработок РІ интернете loolacomaпрограммы для заработка РІ интернете 2015Рі без вложенийвидео чаты РЅР° которых можно заработатьзаработать интернете 400как зарабатывать деньги РІ интернете обманом, утилиты для заработка денег РІ интернете google4 можно заработать беременной женщинереальная возможность заработка РІ интернете onlineu хочу заработать деньги РІ интернете РїСЂСЏРјРѕ сейчас без вложенийна какой теме можно заработать na, большой бизнес заработок интернетеигры РіРґРµ можно заработать деньги играть онлайнсколько можно заработать РІ instagramдополнительный заработок РІ сети 15 РјРёРЅСѓС‚ назадприбыльные СЃРїРѕСЃРѕР±С‹ заработка интернете qiwi.

28 février 2017 15:10:33 - spravocnikBappy

Этот web-сайт spravocnikpolekarstvam.ru по сути своей по праву является целиком бесплатным лекарственным другими словами фармацевтическим справочником online. Для практичности использования интернет-сайтом в верхнем правом уголке, над меню под наименованием "Общая часть", имеется модуль поиска: в это место можно вбить наименование лекарственного препарата и в результатах поиска будут показаны соответствия, отысканные во абсолютно всех сегментах интернет-сайта. Медицинских справочников лекарственных средств на сегодняшний день большее множество, но не обращая внимания на такое множество справочных систем, их не становится никоим образом меньше. Реально, разобраться в потоке все новых и новых фармацевтических средств становятся все сложнее и труднее. И фармакологическая гонка все намного больше смахивает на гонку вооружений или войну за завоевание космоса. Теперь и обыкновенному покупателю необходимо кумекать в тонкостях и аспектах производства фармацевтических средств, или хотя бы суметь не растеряться. Российский рынок фармацевтических средств претерпел внушительные изменения в ходе последних 5-10 лет. Ощутимо стали меньше размеры выпуска лекарственных препаратов на соответствующих предприятиях на территории Российской Федерации; субстанции лекарственных средств теперь синтезирует только 21 предприятие, те что изготавливают антибиотики и витамины, и только 9 - синтетические вещества. <a href=http://www.spravocnikpolekarstvam.ru/>рлс справочник лекарств</a>

11 juin 2017 08:36:00 - RobertPurdy

tadalafil online <a href=http://newbingusa.info/#Frankavemi>buy tadalafil</a> cialis cialis no prescription <a href="http://newbingusa.info/#avemi">cialis online</a> cialis 20 mg

27 juillet 2017 16:09:31 - Sizgroogy

http://allocating.one

8 septembre 2017 22:07:22 - Ralphbef

will cialis raise blood pressure <a href="http://cialisxrm.com/">buy generic cialis</a> generic cialis legitimate <a href=http://cialisxrm.com/>cialis without a doctor prescription</a>