[Proposition de projet] Pentesting Box

[Zhenn]

Salut à tous,

J'ai un petit projet que j'ai commencé dans mon coin et que je souhaiterais proposer à la communauté

J'ai pensé à la création d'une petite box de pentesting.

Elle serait assez puissante pour faire des tests mais aussi assez petite pour qu'elle soit transportable.

J'ai pour l'heure commencer par installer un raspberry pi 3 avec une clé usb wifi externe pour effectué les tests.

Pourquoi une clé usb externe ?

Tout simplement pour utiliser le wifi présent dans le Raspberry pi comme interface de connexion SSH depuis n'importe quel ordinateur, tablette ou smartphone.

Pour l'instant je n'en suis pas très loin, et je vous avouerais que avant début novembre je n'aurais pas le temps de trop m'y concentrer mais passé le 1er novembre je serais à fond sur ce projet

Voici une petite image de ce que j'ai fais pour l'instant



Si des personnes sont intéressé par ce projet n'hésitez pas à me faire un petit signe

Je tiens à souligné que ce projet est à but éducatif et qu'en aucun cas il a pour vocation de nuire à autrui.

[_47]

Hello, le projet m'intéresse j'ai tjr trouvé ça sympa, je le survolerai surement de temps en temps

À terme je suppose que la box est faite pour être déposée dans une zone 'cible' et contrôlée à distance ?

Il serait aussi intéressant de penser à concevoir un petit boitier furtif blanc proche d'une prise électrique, histoire de planquer la matos en condition réelle, soit, derrière une imprimante x)

Voir mieux : planquer la rasp dans un boitier de switch, qui serait quant à lui, idéalement fonctionnel (afin de préserver l'lillusion)

Plein de petites choses sympa à faire !


Je te conseille de rassembler d'abord les intéressés puis d'échanger les idées, voir lesquelles sont les plus simples à mettre en oeuvre (commencer par elles) et de répartir les tâches en fonction

[Zhenn]

À terme je suppose que la box est faite pour être déposée dans une zone 'cible' et contrôlée à distance ?

C'est le but principal

Il serait aussi intéressant de penser à concevoir un petit boitier furtif blanc proche d'une prise électrique, histoire de planquer la matos en condition réelle, soit, derrière une imprimante x)

Voir mieux : planquer la rasp dans un boitier de switch, qui serait quant à lui, idéalement fonctionnel (afin de préserver l'lillusion)

Je pensais justement par la suite créer des boitiers en impression 3D

Je te conseille de rassembler d'abord les intéressés puis d'échanger les idées, voir lesquelles sont les plus simples à mettre en oeuvre (commencer par elles) et de répartir les tâches en fonction

Ouaip, c'est pour ça que je venu proposer le projet

[Iddl3]

Il existe des petit PC beaucoup plus puissant et pratique qu'un raspberry pi pour du pentesting, perso je prendrais un thinkpad Helix 1ere génération i7 avec Bluetooth et 3G qui permet d'installer la version 64 bit de Kali Linux et dont la taille (11') permet de rentrer dans la pochette vue sur la photo.
Le clavier est escamotable et écran tactile il dispose en plus d'un disque dur SSD.

http://www.ldlc.be/fiche/PB00154358.html

On en trouve d'occasion à un prix raisonnable encore et le trio WIFI/Bluetooth/3G permet de faire du pentest approfondi (bluez/blueman) sur smartphone.
On peut y insérer une carte SIM

Si on doit rajouter toutes ces options sur un π le prix va également monter (raspberry pi + alim + boitier + hub USB + clé WIFI + clé 3G + Clé Bluetooth) Et les dimension du π également..

Maintenant si on veux utiliser le port GPIO je conseille le π

[Zhenn]

Il existe des petit PC beaucoup plus puissant et pratique qu'un raspberry pi pour du pentesting, perso je prendrais un thinkpad Helix 1ere génération i7 avec Bluetooth et 3G qui permet d'installer la version 64 bit de Kali Linux et dont la taille (11') permet de rentrer dans la pochette vue sur la photo.
Le clavier est escamotable et écran tactile il dispose en plus d'un disque dur SSD.

http://www.ldlc.be/fiche/PB00154358.html

On en trouve d'occasion à un prix raisonnable encore et le trio WIFI/Bluetooth/3G permet de faire du pentest approfondi (bluez/blueman) sur smartphone.
On peut y insérer une carte SIM

Si on doit rajouter toutes ces options sur un π le prix va également monter (raspberry pi + alim + boitier + hub USB + clé WIFI + clé 3G + Clé Bluetooth) Et les dimension du π également..

Maintenant si on veux utiliser le port GPIO je conseille le π

Salut Iddl, en fait mon objectif dans un second temps est d'utiliser par la suite un petit écran tactile pour traiter des informations ou des capteurs par GPIO. Et surtout l'interêt de cet appareil, est que tu lui colle une batterie externe tu te casse et tu reviens plus tard.

J'ai pensé à un petit ordi, mais j'ai deja un Macbook 12" et une surface 3 avec un kali en dualboot le raspberry pi c'est vraiment pour le coté discret et pour démontrer à certaines personnes qu'il n'y a pas besoin d'avoir un ordi fixe ou un ordi surpuissant pour nuire (je répète que ce n'est pas mon cas hein) et aussi c'est plus FUN d'avoir des contraintes de puissance et les possibilités sont infinies avec un petit appareil, bon j'ai pris le raspberry pi mais il y a d'autres appareils dans la même veine

Sinon il y a les petits ordi comme les Intel NUC il me semble ou équivalent, ça pourrait aussi le faire

[Earthquake]

C'est marrant c'est sur ma wishlist de noel le raspberry pi avec écran tactile et clé usb wifi... Un beau cadeau !
Perso ce sera pour faire des "pranks" à mes amis et ma famille !
Au fait, le hélix machin... Il est super cher comparé au raspberry et je crois que vu son utilisation ce mini ordi tout pourri sera largement suffisant, et c'est ce qui fait son charme ! Faire beaucoup avec peu <3

[Iddl3]

Salut Iddl, en fait mon objectif dans un second temps est d'utiliser par la suite un petit écran tactile pour traiter des informations ou des capteurs par GPIO. Et surtout l'interêt de cet appareil, est que tu lui colle une batterie externe tu te casse et tu reviens plus tard.

J'ai pensé à un petit ordi, mais j'ai deja un Macbook 12" et une surface 3 avec un kali en dualboot le raspberry pi c'est vraiment pour le coté discret et pour démontrer à certaines personnes qu'il n'y a pas besoin d'avoir un ordi fixe ou un ordi surpuissant pour nuire (je répète que ce n'est pas mon cas hein) et aussi c'est plus FUN d'avoir des contraintes de puissance et les possibilités sont infinies avec un petit appareil, bon j'ai pris le raspberry pi mais il y a d'autres appareils dans la même veine

Sinon il y a les petits ordi comme les Intel NUC il me semble ou équivalent, ça pourrait aussi le faire

Perso j'avais tenté un chargeur solaire pour le π mais ça ne tien pas la route malheureusement, il consomme plus que ce que le soleil charge, donc à oublier. sinon j'avais pensé à le planquer dans un boîtier d'un kit CPL en panne mais c'est un poil trop juste pour tout contenir .
Sinon je suis arriver à planquer un X220 lenovo dans un boîtier de PlayStation 3 en panne avec alim est tout et rediriger les USB et le port HDMI sur celui du boîtier, il faudrait que je prenne des photos d'ailleurs à l'occase.

Au fait, le hélix machin... Il est super cher comparé au raspberry et je crois que vu son utilisation ce mini ordi tout pourri sera largement suffisant, et c'est ce qui fait son charme ! Faire beaucoup avec peu <3

Si tu en prend un neuf de 3e génération, oui c'est très cher, mais une première génération d'occase ça te reviens le prix d'un π avec tout ses accessoires.
De mon coté, je pense en récupérer un au taf.

[Anonyme77]

Côté puissance, pourquoi ne pas infecter toi même le pi avec meterpreter en reverse shell et utiliser les commandes de route de metasploit pour pivoter sur le reseau interne ? Ainsi ce n'est pas lui qui gère la charge et tu gères le tout sur un serveur externe qui a la puissance nécessaire.
En plus les commandes route de metasploit te permettent de te ballader sur le réseau interne de manière transparente.
Tu as aussi l'avantage de pas laisser de traces sur la pi si ton matis est découvert

[Zhenn]

Intéressante comme idée, je vais me renseigner sur ce dont tu viens de parler

[Anonyme77]

En gros, on infecté intentionnellement le système et on lui demande de se connecter vers nous.

Ca à aussi l'avantage qu'on vérifie moins le trafic sortant que le trafic entrant.

[hadama94]

ideé trés interesante et bonne continuation

[Zhenn]

En gros, on infecté intentionnellement le système et on lui demande de se connecter vers nous.

Ca à aussi l'avantage qu'on vérifie moins le trafic sortant que le trafic entrant.

Très intéressant

ideé trés interesante et bonne continuation

N'hésite pas a revenir jeter un coup d'oeil quand je pourrais me re-concentrer sur le projet et y apposé ta pierre sur l'édifice

[bobstay]

Bonjour,

Sympas ce projet.

Il faudrait juste fixer un scénarios par exemple:

On laisse le matos cacher derrière un meuble connecté a une prise réseau

ou

On laisse le matos dans un faux plafond pour ce laisse tous le temps d'attaquer le réseau wifi


dans les deux cas il faudrait un module 3g pour être sur de pouvoir prendre le control a distance.

Dommage que la carte wifi du raspberry ne support pas le mode monitoring.

[Supras]

Et pourquoi ne pas mettre une clé 3G sur le Pi, qui aurais donc une IP public accessible de n'importe où. Le SSH passeras par ici, et ensuite faire un pont entre la clé 3G (USB) et sa carte réseau (port RJ45 relié au LAN), pour ensuite se balader librement sur le réseau local (nmap, tcpdump, arpspoof, msfconsole etc etc) en passant par la connexion SSH.

EDIT : bobstay je viens juste de voir ton message concernant le module 3G

[bobstay]

Depuis l'attaque avec le botnet MIRAI, je me suis intéressé au objet connecté et j'ai découvert un super protocole "UPnP".
En deux mots avec l'UPnP activé sur un modem un objet connecté peut se rendre joignable depuis l’extérieur du réseau.

Je ne sais pas comment mettre cela en oeuvre mais il nous faut cela sur "la pentesting Box"
Si vous avez des info la dessus.