Decipher ESP packets with Scapy

I'm currently working on implementing support for hardware cryptographic engine on a board we support at work. Currently it is not working and I was trying to debug it, thus trying to see what is happening. I tcpdumped the packets received, and tried to have a look at it. Sadly, for some reason, the SAs I added in wireshark do not match and he doesn't want to use them.

I then discovered that scapy now has support for that, and it was actually added by a colleague... Should have started there! I only found the issues on bitbucket showing how to use it so I thought it would be worth it to write a quick how-to, once got it down it is pretty straightforward, but knowing what to look for may not be obvious in the first place.

So here is a an example usage for an AES-CBC with no auth packet:

pkts = rdpcap("path/to/file.pcap")
pkts[0].show()

Here is the ESP packet:

###[ Ethernet ]###
  dst= 56:1e:7d:aa:e0:b3
  src= 68:05:ca:15:d1:99
  type= IPv4
###[ IP ]###
     version= 4L
     ihl= 5L
     tos= 0x0
     len= 140
     id= 0
     flags= DF
     frag= 0L
     ttl= 64
     proto= esp
     chksum= 0x2544
     src= 10.125.0.2
     dst= 10.125.0.1
     \options\
###[ ESP ]###
        spi= 0x22
        seq= 1
        data= '\xa7\[...]'

Then create the SA and decrypt:

sa = SecurityAssociation(ESP, spi=0x22, crypt_algo='AES-CBC', crypt_key='your_key')
res = sa.decrypt(pkts[0].getlayer(IP))
res.show()

The result showing the icmp packet:

###[ IP ]###
  version= 4L
  ihl= 5L
  tos= 0x0
  len= 104
  id= 0
  flags= DF
  frag= 0L
  ttl= 64
  proto= ipv4
  chksum= 0x2596
  src= 10.125.0.2
  dst= 10.125.0.1
  \options\
###[ IP ]###
     version= 4L
     ihl= 5L
     tos= 0x0
     len= 84
     id= 36470
     flags= DF
     frag= 0L
     ttl= 63
     proto= icmp
     chksum= 0x9805
     src= 10.200.0.1
     dst= 10.100.0.1
     \options\
###[ ICMP ]###
        type= echo-request
        code= 0
        chksum= 0x7cd1
        id= 0x9df
        seq= 0x1
###[ Raw ]###
       load= '\x9fTMW[...]'

And here you go.


31 mai 2016 13:35:34 -- tags [ scapy , python , IPsec , cipher , crypto ]


14 février 2017 18:34:46 - Isaacemady

Я делюсь секретами заработка в интернете и досконально все расписываю на моем секретном сайте: http://1-million-rubley.xyz Информация для поисковых систем: vacuum заработок РІ интернете loolacomaпрограммы для заработка РІ интернете 2015Рі без вложенийвидео чаты РЅР° которых можно заработатьзаработать интернете 400как зарабатывать деньги РІ интернете обманом, утилиты для заработка денег РІ интернете google4 можно заработать беременной женщинереальная возможность заработка РІ интернете onlineu хочу заработать деньги РІ интернете РїСЂСЏРјРѕ сейчас без вложенийна какой теме можно заработать na, большой бизнес заработок интернетеигры РіРґРµ можно заработать деньги играть онлайнсколько можно заработать РІ instagramдополнительный заработок РІ сети 15 РјРёРЅСѓС‚ назадприбыльные СЃРїРѕСЃРѕР±С‹ заработка интернете qiwi.

28 février 2017 15:10:33 - spravocnikBappy

Этот web-сайт spravocnikpolekarstvam.ru по сути своей по праву является целиком бесплатным лекарственным другими словами фармацевтическим справочником online. Для практичности использования интернет-сайтом в верхнем правом уголке, над меню под наименованием "Общая часть", имеется модуль поиска: в это место можно вбить наименование лекарственного препарата и в результатах поиска будут показаны соответствия, отысканные во абсолютно всех сегментах интернет-сайта. Медицинских справочников лекарственных средств на сегодняшний день большее множество, но не обращая внимания на такое множество справочных систем, их не становится никоим образом меньше. Реально, разобраться в потоке все новых и новых фармацевтических средств становятся все сложнее и труднее. И фармакологическая гонка все намного больше смахивает на гонку вооружений или войну за завоевание космоса. Теперь и обыкновенному покупателю необходимо кумекать в тонкостях и аспектах производства фармацевтических средств, или хотя бы суметь не растеряться. Российский рынок фармацевтических средств претерпел внушительные изменения в ходе последних 5-10 лет. Ощутимо стали меньше размеры выпуска лекарственных препаратов на соответствующих предприятиях на территории Российской Федерации; субстанции лекарственных средств теперь синтезирует только 21 предприятие, те что изготавливают антибиотики и витамины, и только 9 - синтетические вещества. <a href=http://www.spravocnikpolekarstvam.ru/>рлс справочник лекарств</a>

11 juin 2017 08:36:00 - RobertPurdy

tadalafil online <a href=http://newbingusa.info/#Frankavemi>buy tadalafil</a> cialis cialis no prescription <a href="http://newbingusa.info/#avemi">cialis online</a> cialis 20 mg

27 juillet 2017 16:09:31 - Sizgroogy

http://allocating.one

8 septembre 2017 22:07:22 - Ralphbef

will cialis raise blood pressure <a href="http://cialisxrm.com/">buy generic cialis</a> generic cialis legitimate <a href=http://cialisxrm.com/>cialis without a doctor prescription</a>

21 octobre 2017 02:32:10 - LloydPat

Привет, друзья. предлагаю вступить в проект с вложение всего 7 рублей. Также есть проект с вложением всего 100 рублей. Проекты новые. Можно вступать в оба. Перспективные. Выплаты - прямые, без накоплений, задержек и прочего. Подробности - на сайте. Так же на сайте есть обратная связь с куратором. Перейти на сайте - щёлкнув по картинке. Если что то будет непонятно, пишите на сайте в разделе "общение и вопросы" для перехода - нажмите на кртинку <a href=http://sozvopros.ru/><img>http://sozvopros.ru/images/847378_l.jpg</img></a>

8 novembre 2017 05:51:50 - LloydPat

Привет, друзья. предлагаю вступить в проект с вложение всего 7 рублей. Также есть проект с вложением всего 100 рублей. Проекты новые. Можно вступать в оба. Перспективные. Выплаты - прямые, без накоплений, задержек и прочего. Подробности - на сайте. Так же на сайте есть обратная связь с куратором. Перейти на сайте - щёлкнув по картинке. Если что то будет непонятно, пишите на сайте в разделе "общение и вопросы" для перехода - нажмите на кртинку <a href=http://sozvopros.ru/><img>http://sozvopros.ru/images/847378_l.jpg</img></a>

2 janvier 2018 18:32:50 - proxden

Мы предлагаем отличные услуги прокси-серверов пакетами. Вам необходим постоянный личный прокси для работы в Instagram, Вконтакте,Однокласниках или Авито? Вы увлекаетесь букмекерскими ставками или покером? SEO,SMM, просто безопасный серфинг или остальные цели? Значит вы по адресу. Мы представляем анонимные, элитные, прокси-сервера с надежной круглосуточной поддержкой. Данные прокси могут применяться для различных программ,сервисов, социальных сетей, онлайн игр и не только. Авторизация по логин - паролю или IP адресу. Быстрые прокси ipv4 и ipv6 (до 100 мбит/с) гарантируют стабильную работу. Нужны разные подсети, у нас их достаточно. Так же вы можете выбрать тип протокола HTTP/SOCKS. <a href=http://proxywhite.com>ipv4 прокси купить</a>

24 janvier 2018 22:51:14 - real money casino

casino games casino online online slots casino online online slots

31 janvier 2018 14:32:40 - casino games roulette

kasino online casino gambling online casino slots free online casino slots new usa online casinos 2017

1 février 2018 03:19:41 - WinnerAmeks

If you’re interested in winning millions, then I’m here to help! At <a href=skyliteboom.com>Casino</a> you can play over 450 world-class games and I’m giving you an exclusive Welcome Bonus to get you stuck into winning. Use it today to increase your chances of hitting our jackpots. All you have to do is <a href=skyliteboom.com>sign up today</a> and watch the rewards come rolling in. skyliteboom.com <a href=skyliteboom.com>Prepare to hit the big time</a> <a href=skyliteboom.com>Hacer giros para ganar millones</a> <a href=skyliteboom.com>Holen Sie sich spinnen, um Millionen zu gewinnen</a> <IMG>http://i63.tinypic.com/ofdmds.jpg</IMG>

7 février 2018 12:23:46 - weight loss pills over the counter

best appetite suppressant diet pill weight loss pill metformin weight loss best weight loss pills for women

13 mars 2018 03:10:19 - Josephmub

Lovely stuff. Kudos. is viagra more effective than cialis <a href="http://cialisfidel.com/">cialis prices</a> cialis tengo 25 aГ±os <a href=http://cialisfidel.com/>cialis generic</a>

17 mars 2018 23:05:31 - AntonioJusax

Здесь, брал жене дородовой бандаж, потом и послеродовой, реально советую. Доставка хорошая, операторы нормальные. <a href=http://www.17rub.ru/>Магазин ортопедических изделий</a> <a href=http://www.17rub.ru/17rub_ru_sitemap_html/>Все товары Ортопедия</a> <a href=http://www.17rub.ru/MS013Miostimulyator_ab_Gymnic_29823382/>MS013 Миостимулятор Абжимник (ab Gymnic)</a>

26 mars 2018 21:21:18 - mezo

you аre tгuly a jᥙst rigһt webmaster. Thе site loading pace is incredible. It sеems that you'гe doing any unique trick. Also, Тhe contents aгe masterwork. you've performed a magnificent activity іn thiѕ topic!

19 mai 2018 06:35:03 - AnthonyThype

<a href="http://canadianonlinepharmacyhd.com/">online pharmacy canada</a> http://canadianonlinepharmacyhd.com/ <a href=http://canadianonlinepharmacyhd.com/>canadian pharcharmy online</a>

23 mai 2018 15:22:47 - approved canadian pharmacies online

<a href="http://canadianonlinepharmacyhd.com/">canadian pharmacies</a> http://canadianonlinepharmacyhd.com/ <a href=http://canadianonlinepharmacyhd.com/>approved canadian pharmacies online</a>

3 juin 2018 12:56:58 - highest rated canadian pharmacies

<a href="http://canadianonlinepharmacyhd.com/">rx online no prior prescription</a> http://canadianonlinepharmacyhd.com/ <a href=http://canadianonlinepharmacyhd.com/>online pharmacies</a>

8 juin 2018 23:32:59 - legitimate canadian pharmacies

<a href="http://canadianonlinexyz.com/">best online pharmacies in canada</a> http://canadianonlinexyz.com/ <a href=http://canadianonlinexyz.com/>prescriptions from canada without</a>

21 juillet 2018 20:24:17 - prescription drugs without prior prescription

<a href="http://canadianonlinexyz.com/">canada pharmacies online prescriptions</a> http://canadianonlinexyz.com/ <a href=http://canadianonlinexyz.com/>legitimate canadian pharmacies</a>