Sto cercando di creare un ambiente di laboratorio in cui sia possibile analizzare soluzioni IDS comuni (a partire da Snort in particolare) e la loro capacità di riassemblare treni IP frammentati. Ho una collezione di pcaps dannosi, che quando sono stati eseguiti con tcpreplay, creano eventi e avvisi di incendio, come previsto.
Sto cercando di trovare un modo per frammentare tutti i pacchetti IP nei miei pcaps per testare il preprocessore frag3 in Snort. In questo modo, posso determinare quale motore di riassemblaggio Snort sta usando e testare cose come exploit e shellcode e la capacità di Snort di riassemblare correttamente.
Finora ho provato a usare fragroute, ma mi sembra che sia solo il frammenting layer 2. Ho provato a usare il motore fragroute con tcpreplay ma non riesco a compilare il motore con tcpreplay.
La mia idea iniziale era di usare Scapy per scorrere i pacchetti IP e frammentarli in quel modo, ma io sono bloccato.