P4wnP1 A.L.O.A.
P4wnP1 A.L.O.A. by MaMe82는 라즈베리 파이 제로 W를 유연하고 저렴한 침투 테스트, 레드 팀 작업, 물리적 공격 플랫폼으로 변환하거나 "약간 공격적인 기기(A Little Offensive Appliance)"로 만드는 프레임워크입니다.
0. 설치 방법
최신 이미지는 릴리스 탭에서 찾을 수 있습니다.
새로 설치된 P4wnP1 A.L.O.A.에 접근하는 가장 쉬운 방법은 스폰된 WiFi(PSK는 MaMe82-P4wnP1, URL은 http://172.24.0.1:8000) 또는 SSH(기본 비밀번호 toor)를 통해 웹 클라이언트를 사용하는 것입니다.
1. 기능
플러그 앤 플레이 USB 장치 에뮬레이션
- USB 기능:
- USB 이더넷 (RNDIS 및 CDC ECM)
- USB 시리얼
- USB 대용량 저장소 (플래시 드라이브 또는 CD-ROM)
- HID 키보드
- HID 마우스
- USB 스택의 런타임 재구성 (재부팅 불필요)
- 연결/해제 감지를 통해 P4wnP1 A.L.O.A.를 전원 공급 상태(외부 전원)로 유지하고, 에뮬레이션된 USB 장치가 새 호스트에 연결될 때 작업을 트리거할 수 있음
- CDC ECM과 RNDIS가 가상 브리지에 연결되어 있으므로 다양한 내부 이더넷 인터페이스를 다룰 필요 없음
- USB 설정에 대한 구성 템플릿의 영구 저장 및 로드
HIDScript
- 제한적인 DuckyScript의 대체
- 키보드 및 마우스 자동화를 위한 정교한 스크립팅 언어
- 최대 8개의 HIDScript 작업을 병렬로 실행 가능 (하나의 작업은 마우스를 흔들며 유지하고, 다른 작업은 필요시 시작하여 임의의 마우스 및 키 입력을 끊김 없이 주입)
- HIDScript는 JavaScript 기반이며, 일반적인 라이브러리를 사용할 수 있어 더 복잡한 스크립트(함수 호출, 마우스 계산에
Math 사용 등) 작성 가능
- 키보드
- UTF-8 기반이므로 ASCII 문자에 국한되지 않음
- NUM LOCK, CAPS LOCK, SCROLL LOCK의 LED 상태 변경을 읽어 호스트 실제 키보드의 피드백에 반응 가능 (대상 OS가 모든 연결된 키보드에 LED 상태를 공유하는 경우, OSX에서는 해당되지 않음)
- LED 피드백에 기반한 HIDScript 분기 결정 가능
- 마우스
- 상대 이동 (빠르지만 정밀하지 않음)
- 단계적 상대 이동 (느리지만 정확함, 마우스를 1 DPI 단계로 이동)
- 절대 위치 지정 (Windows에서, 대상 화면 크기를 알면 픽셀 단위 정확)
- 키보드와 마우스는 동일한 스크립팅 언어로 제어될 뿐만 아니라 동일한 스크립트에서 함께 사용 가능. 이를 통해 키보드나 마우스만으로는 달성할 수 없는 목표를 결합할 수 있음
- 현재 언어 레이아웃: br, de, es, fr, gb, it, ru, us
블루투스
- Bluez 스택과의 전체 인터페이스 (현재 원격 장치 검색/연결 미지원)
- 블루투스 네트워크 액세스 포인트(NAP) 실행 가능
- 사용자 정의 페어링 (PIN 기반 레거시 모드 또는 SSP)
- 고속 지원 (802.11 프레임을 사용하여 WiFi급 전송 속도 구현)
- 블루투스 스택의 런타임 재구성
- 참고: PANU도 가능하지만 현재 지원되지 않음 (원격 장치 연결 없음)
- 블루투스 설정에 대한 구성 템플릿의 영구 저장 및 로드
WiFi
- 수정된 펌웨어 (Nexmon 프레임워크로 빌드)
- KARMA 지원 (원격 장치가 프로브한 액세스 포인트에 유효한 응답을 스푸핑하고 연결 허용)
- 추가 비콘 브로드캐스트로 여러 SSID 에뮬레이션
- WiFi 은닉 채널
- 참고: Nexmon 레거시 모니터 모드가 포함되어 있지만 P4wnP1에서는 지원되지 않음. 모니터 모드는 여전히 버그가 있으며 구성 변경 시 펌웨어 충돌 가능성 높음
- 쉬운 액세스 포인트 구성
- 쉬운 스테이션 모드 구성 (기존 AP에 연결)
- 장애 조치 모드 (대상 액세스 포인트에 연결할 수 없는 경우 자체 AP 시작)
- WiFi 스택의 런타임 재구성
- WiFi 설정에 대한 구성 템플릿의 영구 저장 및 로드
네트워킹
- 다음에 대한 쉬운 이더넷 인터페이스 구성:
- 블루투스 NAP 인터페이스
- USB 인터페이스 (RNDIS/CDC ECM 활성화 시)
- WiFi 인터페이스
- 인터페이스별 전용 DHCP 서버 지원
- DHCP 클라이언트 모드 지원
- 수동 구성
- 각 인터페이스에 대한 구성 템플릿의 영구 저장 및 로드
도구
여기서 할 말이 많지 않습니다. P4wnP1 A.L.O.A.는 KALI Linux를 기반으로 하므로 필요한 모든 것을 바로 사용할 수 있습니다 (또는 apt를 사용하여 설치 가능)
CLI를 통한 구성 및 제어, 필요시 원격으로
- 지금까지 언급된 모든 기능은 CLI 클라이언트를 사용하여 구성 가능
- P4wnP1 핵심 서비스는 단일 바이너리로, systemd 유닛으로 실행되어 런타임 상태를 유지
- CLI 클라이언트는 RPC(구체적으로 gRPC)를 통해 이 서비스와 상호작용하여 핵심의 상태를 변경
- CLI는 RPC 방식을 사용하므로 원격 구성에도 사용 가능
- SSH를 통해 P4wnP1에 접근하면 CLI 클라이언트가 명령을 기다리고 있음 (또는 탭 완성 쿵푸)
- CLI는 (대부분의 코드처럼) Go로 작성되었으며, 따라서 주요 플랫폼과 아키텍처에서 컴파일 가능
따라서 원격 Windows 호스트에서 배치 파일을 사용하여 P4wnP1을 구성하려면 문제 없습니다:
- Windows용 클라이언트 컴파일
- 어떠한 방법으로든 P4wnP1에 연결 가능해야 함 (블루투스, WiFi, USB)
- 클라이언트 명령에
host 매개변수 추가
- ... 로컬 접근과 동일하게 CLI 사용
웹 클라이언트를 통한 구성 및 제어
처음에는 계획되지 않았지만 P4wnP1 A.L.O.A.는 웹 클라이언트를 사용하여 구성할 수 있습니다.
클라이언트가 계획되지 않았음에도 불구하고 꽤 훌륭한 소프트웨어로 발전했습니다. 실제로 P4wnP1 A.L.O.A.의 주요 구성 도구가 되었습니다.
웹 클라이언트는 CLI에서 접근할 수 없는 기능(템플릿 저장, "TriggerActions" 생성)을 제공합니다.
핵심 기능:
- 대부분의 주요 모바일 및 데스크톱 브라우저에서 일관된 모양과 느낌으로 작동해야 함 (Quasar Framework)
- 웹소켓을 통한 gRPC 사용 (RESTful API 없음, XHR 없음, CLI와 거의 동일한 접근 방식)
- 이 인터페이스 덕분에 웹 클라이언트는 요청-응답 방식에만 의존하지 않고 P4wnP1 핵심에서 "푸시 이벤트"를 수신합니다. 즉:
- 사용자(또는 스크립트)가 P4wnP1 A.L.O.A.의 상태를 변경하면 이러한 변경 사항이 즉시 웹 클라이언트에 반영됨
- 여러 웹 클라이언트가 실행 중이면 핵심 상태의 변경이 한 클라이언트에서 다른 모든 클라이언트로 반영됨
- HIDScript 편집기 포함:
- 구문 강조
- 자동 완성 (
CTRL+SPACE)
- HIDScript의 영구 저장 및 로드
- 주문형 실행 - 브라우저에서 직접 HIDScript 실행
- HIDScript 작업 관리자 (실행 중인 작업 취소, 작업 상태 및 결과 검사)
- TriggerActions 개요 및 편집기 포함
- 지금까지 설명된 모든 기능에 대한 완전한 템플릿 지원
- WebClient는 단일 페이지 애플리케이션으로, 로드되면 모든 것이 클라이언트 측에서 실행되며 gRPC 요청만 교환됨
자동화
이전 P4wnP1 버전의 자동화 접근 방식(정적 bash 스크립트)은 더 이상 사용할 수 없습니다.
P4wnP1 A.L.O.A.의 자동화 접근 방식은 다음 요구 사항을 충족해야 했습니다:
- 사용 및 이해가 쉬움
- 웹 클라이언트에서 사용 가능
- 동시에 일반적이고 유연함
- 이전 "bash 스크립트" 접근 방식으로 가능한 모든 작업이 여전히 가능해야 함
- 모든 하위 시스템(USB, WiFi, 블루투스, 이더넷 인터페이스, HIDScript...)에 접근 가능
- 재사용 가능한 부품으로 모듈식
- 추가 코드 작성 없이 (간단한) 논리적 작업 지원 가능
- GPIO 포트를 활용한 물리적 컴퓨팅 허용
소위 "TriggerActions"를 도입하고 이를 템플릿 시스템(모든 하위 시스템에 대한 영구 설정 저장)과 결합함으로써 모든 요구 사항을 충족할 수 있었습니다. TriggerActions에 대한 자세한 내용은 WorkFlow 섹션에서 확인할 수 있습니다.
사용법 튜토리얼
2. 워크플로우 1부 - HIDScript
P4wnP1 A.L.O.A.는 정적 구성이나 페이로드와 같은 개념을 사용하지 않습니다. 실제로 정적 워크플로우가 전혀 없습니다.
P4wnP1 A.L.O.A.는 가능한 한 유연하게 설계되어 가능한 모든 시나리오(P4wnP1 A.L.O.A.를 만들면서 생각하지 못한 시나리오 포함)에서 사용할 수 있도록 의도되었습니다.
그러나 이 섹션에서 살펴볼 기본 개념이 몇 가지 있습니다. 적절한 (비디오) 문서 없이 모든 것을 설명하기는 어렵기 때문에, 몇 가지 일반적인 사용 사례와 예제를 통해 설명해야 할 내용을 설명하겠습니다.
그럼에도 불구하고 완전한 문서를 제공할 시간은 없을 것 같습니다. 그러므로 모든 분들이 이 README에 링크할 수 있는 튜토리얼과 아이디어를 제공해 주시기를 권장합니다
이제 가장 기본적인 작업 중 하나부터 시작하겠습니다:
2.1 USB로 P4wnP1이 연결된 호스트에 대해 키 입력 주입 실행
이 목표를 달성하기 위한 최소 구성 요구 사항은:
- USB 하위 시스템이 적어도 키보드를 에뮬레이션하도록 구성됨
- 키 입력 주입을 시작하기 위해 P4wnP1에 (원격으로) 접근할 수 있는 방법이 있어야 함
P4wnP1의 기본 구성(수정되지 않은 이미지)은 이미 이러한 요구 사항을 충족합니다:
- USB 설정이 키보드, 마우스 및 USB를 통한 이더넷(RNDIS 및 CDC ECM 모두)을 제공하도록 초기화됨
- P4wnP1은 다음 방법 중 하나를 사용하여 이미 원격으로 접근 가능:
- WiFi
- 액세스 포인트 이름은 명확해야 함
- 비밀번호는
MaMe82-P4wnP1
- P4wnP1의 IP는
172.24.0.1
- USB 이더넷
- 블루투스
- 장치 이름
P4wnP1
- PIN
1337
- IP는
172.26.0.1
- 참고: PIN 페어링을 강제하기 위해 Secure Simple Pairing이 꺼져 있습니다. 이는 고속 모드도 꺼져 있음을 의미합니다. 따라서 블루투스 연결이 매우 느리며 SSH 접근에는 문제가 덜하지만 웹 클라이언트 요청은 최대 10분이 걸릴 수 있습니다 (고속 모드가 활성화된 경우 몇 초와 대조적).
- SSH 서버는 위에 언급된 모든 IP에서 접근 가능
- KALI Linux의 SSH 사용자는
root, 기본 비밀번호는 toor
- 웹 클라이언트는 세 연결 모두에서 HTTP 포트 8000을 통해 접근 가능
참고:
HTTPS 연결 배포는 현재 프로젝트 범위에 포함되지 않습니다. 따라서 웹 클라이언트에서 WiFi 자격 증명과 같은 민감한 데이터를 처리하는 경우 이 점을 염두에 두시기 바랍니다. 전체 프로젝트는 보안을 고려하여 구축되지 않았습니다(그리고 이것이 요구 사항이 될 가능성은 낮습니다). 따라서 적절한 조치를 배포하시기 바랍니다(예: 액세스 포인트가 개방 인증으로 구성된 경우 iptables로 웹 클라이언트 접근 제한; PIN 보호 없이 블루투스 검색 가능 및 연결 가능 상태를 유지하지 마십시오 등)
이 시점에서 다음을 가정합니다:
- P4wnP1을 USB를 통해 대상 호스트에 연결했습니다 (라즈베리의 가장 안쪽 마이크로 USB 포트 사용)
- USB 호스트에서 키 입력을 수신할 수 있고 현재 키보드 입력 포커스가 있는 응용 프로그램(예: 텍스트 편집기)이 실행 중입니다
- SSH를 통해 P4wnP1에 원격으로 연결되어 있습니다 (가장 좋은 방법은 WiFi), SSH 연결은 P4wnP1 A.L.O.A.가 USB로 연결된 호스트와 다른 호스트에서 실행되는 것이 좋습니다
SSH 세션에서 CLI 클라이언트를 실행하려면 다음 명령을 실행하십시오:```
root@kali:~# P4wnP1_cli
The CLI client tool could be used to configure P4wnP1 A.L.O.A.
from the command line. The tool relies on RPC so it could be used
remotely.
Version: v0.1.0-alpha1
Usage:
P4wnP1_cli [command]
Available Commands:
db Database backup and restore
evt Receive P4wnP1 service events
help Help about any command
hid Use keyboard or mouse functionality
led Set or Get LED state of P4wnP1
net Configure Network settings of ethernet interfaces (including USB ethernet if enabled)
system system commands
template Deploy and list templates
trigger Fire a group send action or wait for a group receive trigger
usb USB gadget settings
wifi Configure WiFi (spawn Access Point or join WiFi networks)
Flags:
-h, --help help for P4wnP1_cli
--host string The host with the listening P4wnP1 RPC server (default "localhost")
--port string The port on which the P4wnP1 RPC server is listening (default "50051")
Use "P4wnP1_cli [command] --help" for more information about a command.
The help screen already shows, that the CLI client uses different commands to interact with the various subsystems of P4wnP1 A.L.O.A. Most of these commands have own sub-commands, again. The help for each command or sub-command could be accessed by appending `-h` to the CLI command:```
root@kali:~# P4wnP1_cli hid run -h
Run script provided from standard input, commandline parameter or by path to script file on P4wnP1
Usage:
P4wnP1_cli hid run [flags]
rogandawes/p4wnp1_aloa
