peeko

peeko

الإصدار: v1.1

peeko هي أداة C2 (التحكم والسيطرة) مبنية على المتصفح وتعمل عبر XSS، وتستغل متصفح الضحية كوسيط خفي داخل الشبكات الداخلية.

عبر حمولة XSS محقونة، يُنشئ peeko اتصال WebSocket بخادم مركزي، مما يسمح للمهاجم بالتحكم عن بُعد في متصفح الضحية لإرسال طلبات إلى الخدمات الداخلية، وفحص الشبكات، وسرقة البيانات، أو حتى تنفيذ أكواد JavaScript عشوائية — كل ذلك دون إنزال أي ملف ثنائي.

الميزات

• اتصال قائم على WebSocket بين المهاجم والضحايا
• متصفح الضحية يجلب عناوين URL داخلية ويفحص نطاقات IP والمنافذ
• لوحة تحكم بسيطة تتضمن:
  • اختيار الضحية
  • جلب عناوين URL يدويًا
  • ماسح نطاقات IP والمنافذ
  • تنفيذ كود JS مخصص (يدوي أو تلقائي)
  • توصيل الملفات (تلقائي/يدوي)
  • جمع معلومات المتصفح والرموز (الكوكيز، التخزين، إلخ)
  • عارض سجلات مع نسخ/حفظ بصيغة .txt أو .json
• دعم HTTPS مع شهادات موقّعة ذاتيًا
• خفيف الوزن: ملف Python واحد + أصول ثابتة

المتطلبات

• Python 3.8+
• OpenSSL
• Linux/macOS (تم الاختبار على أنظمة مبنية على Debian)

بدء سريع

1. استنسخ المستودع:

   root@kitploit:~

   git clone https://github.com/b3rito/peeko.git
   cd peeko
   

2. ثبّت التبعيات:

   root@kitploit:~

   make install
   

3. (اختياري) اجعل السكربتات قابلة للتنفيذ:

   root@kitploit:~

   chmod +x gen-cert.sh start.sh
   

4. أنشئ شهادة TLS موقّعة ذاتيًا:

   root@kitploit:~

   make cert
   

5. استبدل النص المؤقت SERVER-IP:

   افتح وعدّل الملفات التالية:

   • static/agent.js
   • static/control.html

   استبدل SERVER-IP بعنوان IP/نطاق الخادم الخاص بك:

   root@kitploit:~

   wss://SERVER-IP:8443/ws → wss://192.168.30.136:8443/ws
   

6. شغّل الخادم:

   root@kitploit:~

   make run
   

7. افتح لوحة التحكم في متصفحك:

   root@kitploit:~

   https://192.168.30.136:8443/static/control.html
   

ميزات لوحة التحكم

الوظائف الأساسية

• تحديد وإدارة الضحايا المتصلين
• جلب أي URL داخلي/خارجي عبر الضحية
• فحص نطاقات LAN: 192.168.1.0/24, 10.0.0.10-20، إلخ.
• فحص منافذ أو نطاقات محددة (مثل 80، 443,8000-8080)

توصيل الملفات

• إرسال ملفات إلى الضحية (Base64 عبر WebSocket)
• يقوم متصفح الضحية بتنزيلها تلقائيًا
• يدعم الرفع التلقائي عند الاتصال

جمع المعلومات

• جمع User Agent، النظام الأساسي، referrer، الكوكيز، التخزين المحلي/الجلسة
• عرض النتائج بصيغة JSON
• يتم التشغيل يدويًا أو جمع تلقائي عند الاتصال

تنفيذ JS مخصص

• تشغيل أي كود JavaScript على متصفح الضحية
• استخدم صيغة exec:... للإرسال
• يدعم التشغيل التلقائي عند الاتصال
• مثال: exec:alert(document.cookie);

التسجيل

• يتم تسجيل كل شيء (الطلبات، الاستجابات، تفريغات المعلومات)
• نسخ أو تصدير السجلات بصيغة .txt أو .json
• واجهة بسيطة بتصميم يشبه سجل الطرفية

شرح CORS والمحتوى المختلط

تؤثر سياسات المتصفحات الحديثة على ما يمكن أن يصل إليه peeko.

استجابات CORS

المحتوى المختلط

يتصل الضحية عبر HTTPS. إذا كان الهدف المفحوص يستخدم HTTP فقط:

• سيحظر المتصفح طلبات المحتوى المختلط
• لا يمكن لـ peeko القراءة من نقاط نهاية http://
• يفضّل دائمًا استهداف المواقع التي تستخدم HTTPS عند الفحص

عمليًا

أثناء اختبار الاختراق، إذا وجدت خدمة داخلية تستجيب بـ Access-Control-Allow-Origin: * وتُقدَّم عبر HTTPS، فإن peeko يصبح وكيلًا خفيًا قادرًا على سرقة البيانات الداخلية مباشرة من متصفح الضحية دون إنزال أي ملفات أو فتح اتصالات خارجية.

بنية المشروع

peeko/
├── main.py             → FastAPI WebSocket server  
├── start.sh            → Launch server  
├── gen-cert.sh         → Generate self-signed TLS certificate  
├── Makefile            → Install/run helpers  
├── requirements.txt    → Python dependencies  
├── certs/              → TLS key and cert will be stored here  
└── static/             → Browser client assets  
    ├── control.html    → Control panel (was attacker.html)  
    ├── infect.html     → Victim landing page  
    └── agent.js        → Victim agent script  

سير العمل

1. يحقن المهاجم XSS (عبر ثغرة مخزنة أو منعكسة)
2. يتصل متصفح الضحية عبر WebSocket بخادم peeko
3. تتيح لوحة التحكم للمهاجم:
   • فحص الشبكة
   • جلب عناوين URL
   • تفريغ الكوكيز والتخزين
   • تشغيل أي كود JS
   • سرقة الاستجابات
   • إنزال ملفات

حالات الاستخدام

• رسم خريطة الشبكة الداخلية عبر XSS
• التنقل الجانبي عبر المتصفح
• توصيل ملفات صامت / مُسقط JS

إخلاء مسؤولية

هذه الأداة مقدمة لأغراض تعليمية واختبارية مصرح بها فقط.
أي استخدام لـ peeko خارج البيئات التي لديك فيها إذن صريح محظور تمامًا.
أنت مسؤول عن أفعالك.

المؤلفون

كتبها b3rito من mes3hacklab و GioPpeTto