P4wnP1 A.L.O.A.

P4wnP1 A.L.O.A. par MaMe82 est un framework qui transforme un Raspberry Pi Zero W en une plateforme flexible et peu coûteuse pour le pentesting, le red teaming et les engagements physiques… ou en « A Little Offensive Appliance » (un petit appareil offensif).

0. Comment installer

La dernière image se trouve sous l’onglet des releases.

La manière la plus simple d’accéder à une installation fraîche de P4wnP1 A.L.O.A. est d’utiliser le client web via le WiFi généré (le PSK est MaMe82-P4wnP1, l’URL http://172.24.0.1:8000) ou SSH (mot de passe par défaut toor).

1. Fonctionnalités

Émulation de périphérique USB Plug&Play

• Fonctions USB :
  • Ethernet USB (RNDIS et CDC ECM)
  • Série USB
  • Stockage de masse USB (clé USB ou CD-Rom)
  • Clavier HID
  • Souris HID
• Reconfiguration en temps réel de la pile USB (sans redémarrage)
• Détection de connexion/déconnexion permettant de laisser P4wnP1 A.L.O.A. sous tension (alimentation externe) et de déclencher une action lorsque le périphérique USB émulé est connecté à un nouvel hôte
• Pas besoin de gérer différentes interfaces Ethernet internes, car CDC ECM et RNDIS sont connectés à un pont virtuel
• Sauvegarde et chargement persistants de modèles de configuration pour les paramètres USB

HIDScript

• Remplacement du DuckyScript limité
• Langage de script sophistiqué pour automatiser le clavier et la souris
• Jusqu’à 8 tâches HIDScript peuvent s’exécuter en parallèle (garder une tâche pour remuer la souris, tandis que d’autres sont lancées à la demande pour effectuer sans interruption des injections arbitraires de touches et de mouvements de souris)
• HIDScript est basé sur JavaScript, avec des bibliothèques courantes disponibles, ce qui permet des scripts plus complexes (appels de fonctions, utilisation de Math pour les calculs de souris, etc.)
• Clavier
  • Basé sur UTF-8, donc aucune limitation aux caractères ASCII
  • Peut réagir aux retours du clavier réel de l’hôte en lisant les changements d’état des LED de NUM, CAPS et SCROLL (si le système d’exploitation cible partage l’état des LED entre tous les claviers connectés, ce qui n’est pas le cas pour OSX)
  • Prise de décisions conditionnelles dans HIDScript basée sur les retours des LED
• Souris
  • Mouvement relatif (rapide mais imprécis)
  • Mouvement relatif par paliers (plus lent mais précis… déplace la souris par pas de 1 DPI)
  • Positionnement absolu sur Windows (parfait au pixel près si les dimensions de l’écran cible sont connues)
• Le clavier et la souris sont non seulement contrôlés par le même langage de script, mais peuvent être utilisés dans le même script. Cela permet de les combiner pour atteindre des objectifs qui ne seraient possibles ni avec le clavier seul ni avec la souris seule.
• Dispositions linguistiques actuelles : br, de, es, fr, gb, it, ru et us

Bluetooth

• Interface complète vers la pile Bluez (actuellement pas de support pour la découverte/connexion de périphériques distants)
• Permet d’exécuter un point d’accès réseau Bluetooth (NAP)
• Appairage personnalisable (mode legacy basé sur PIN ou SSP)
• Support haut débit (utilise des trames 802.11 pour atteindre des débits proches du WiFi)
• Reconfiguration en temps réel de la pile Bluetooth
• Remarque : PANU est également possible, mais actuellement non supporté (pas de connexion de périphérique distant)
• Sauvegarde et chargement persistants de modèles de configuration pour les paramètres Bluetooth

WiFi

• Firmware modifié (construit avec le framework Nexmon)
  • Permet le KARMA (usurpation de réponses valides pour les points d’accès sondés par des périphériques distants et autorisation d’association)
  • Diffusion de balises supplémentaires pour émuler plusieurs SSID
  • Canal caché WiFi
  • Remarque : le mode monitor legacy de Nexmon est inclus mais non supporté par P4wnP1. Le mode monitor est encore bogué et risque de planter le firmware si la configuration change.
• Configuration facile du point d’accès
• Configuration facile du mode station (connexion à un point d’accès existant)
• Mode de repli (s’il est impossible de se connecter au point d’accès cible, créer son propre point d’accès)
• Reconfiguration en temps réel de la pile WiFi
• Sauvegarde et chargement persistants de modèles de configuration pour les paramètres WiFi

Réseau

• Configuration simple des interfaces Ethernet pour
  • l’interface Bluetooth NAP
  • l’interface USB (si RNDIS/CDC ECM est activé)
  • l’interface WiFi
• Support d’un serveur DHCP dédié par interface
• Support du mode client DHCP
• Configuration manuelle
• Sauvegarde et chargement persistants de modèles de configuration pour chaque interface

Outillage

Peu de choses à dire ici, P4wnP1 A.L.O.A. est basé sur KALI Linux, donc tout est à portée de main (ou peut être installé via apt)

Configuration et contrôle via CLI, à distance si nécessaire

• Toutes les fonctionnalités mentionnées jusqu’à présent peuvent être configurées à l’aide d’un client CLI
• Le service central de P4wnP1 est un binaire unique exécuté comme une unité systemd qui préserve l’état d’exécution
• Le client CLI interface ce service via RPC (gRPC pour être précis) pour modifier l’état du noyau
• Comme le CLI utilise une approche RPC, il peut également être utilisé pour la configuration à distance
• Si P4wnP1 est accessible via SSH, le client CLI est disponible, attendant vos commandes (ou vos complétions par tabulation)
• Le CLI est écrit en Go (comme la majeure partie du code) et compile donc pour la plupart des plateformes et architectures majeures

Donc, si vous voulez utiliser un fichier batch sur un hôte Windows distant pour configurer P4wnP1… pas de problème :

1. Compilez le client pour Windows
2. Assurez-vous de pouvoir vous connecter à P4wnP1 d’une manière ou d’une autre (Bluetooth, WiFi, USB)
3. Ajoutez le paramètre host à vos commandes client
4. … et utilisez le CLI comme vous le feriez avec un accès local.

Configuration et contrôle via client web

Bien que cela n’ait pas été prévu initialement, P4wnP1 A.L.O.A. peut être configuré à l’aide d’un client web. Même si le client n’était pas prévu, il a évolué pour devenir un joli logiciel. En fait, il est devenu l’outil de configuration principal de P4wnP1 A.L.O.A. Le client web possède des capacités qui ne sont pas accessibles depuis le CLI (stockage de modèles, création de « TriggerActions »).

Les fonctionnalités principales :

• Devrait fonctionner sur la plupart des navigateurs mobiles et de bureau majeurs, avec une apparence cohérente (Quasar Framework)
• Utilise gRPC via websockets (pas d’API RESTful, pas de XHR, approche quasi identique au CLI)
• Grâce à cette interface, le client web ne repose pas uniquement sur un schéma requête&réponse, mais reçoit également des « événements push » du noyau P4wnP1. Cela signifie :
  • si vous (ou un script) modifiez l’état de P4wnP1 A.L.O.A., ces modifications seront immédiatement répercutées dans le client web
  • si vous avez plusieurs clients web en cours d’exécution, les changements d’état du noyau seront répercutés d’un client à tous les autres
• Inclut un éditeur HIDScript, avec
  • coloration syntaxique
  • auto-complétion (CTRL+ESPACE)
  • stockage et chargement persistants des HIDScripts
  • exécution à la demande des HIDScripts directement depuis le navigateur
  • un gestionnaire de tâches HIDScript (annuler les tâches en cours, inspecter l’état et les résultats des tâches)
• Inclut une vue d’ensemble et un éditeur pour les TriggerActions
• Support complet des modèles pour toutes les fonctionnalités décrites jusqu’à présent
• Le client web est une application monopage (SPA) : une fois chargée, tout s’exécute côté client, seules les requêtes gRPC sont échangées

Automatisation

L’approche d’automatisation de l’ancienne version de P4wnP1 (scripts bash statiques) n’est plus utilisable.