LOOT-US

Les cartes · Cible embarquée · Web

LOOT-US Web

LOOT-US Web n'est pas une carte : c'est l'interface Web que sert chaque cible, comme le tableau de bord d'une caméra ou la supervision d'un automate. Ses pages, son API et son authentification sont volontairement vulnérables, pour s'entraîner aux attaques Web sur un objet connecté réel plutôt que sur un site de démonstration.

Exemple d'interface Web embarquée : le tableau de bord d'une caméra connectée, avec l'image en direct, le Wi-Fi, la version du micrologiciel et le stockage. Exemple d'interface Web embarquée : la supervision d'un automate de ligne, avec sa cuve, sa vanne et sa pompe, ses mesures, une alarme active et les boutons marche et arrêt.

Sa place dans le kit

Où elle tourne

Dans la Platform et la Linux Platform : on y accède depuis le navigateur, sur le réseau de la cible. Rien à installer.

Ce qu'on attaque

Les pages, l'API et les mécanismes d'authentification de l'objet, avec les outils habituels du test d'intrusion Web.

Avec la Scanner

Ce que l'on découvre par le matériel (micrologiciel, mémoires) éclaire l'attaque Web, et inversement.

Ce qu'on y travaille : Authentification et sessionsAPIInjectionConfiguration de l'objetMicrologiciel et interface

L'écosystème LOOT-US

Un kit reproduit une vraie situation d'audit : un poste d'attaque, un outil matériel et un objet connecté vulnérable. Les exercices guident chaque exercice, de la découverte de la faille à sa correction.

  1. Votre ordinateur Le navigateur et vos outils habituels : OpenOCD, GDB, Python, outils Web.
  2. Carte d'analyse LOOT-US Scanner L'outil de l'attaquant : il lit, écrit et débogue la cible par ses bus.
  3. Cible embarquéeLOOT-US Platform Système embarqué d'entraînementLOOT-US Linux Platform Système embarqué disposant d’un LinuxLOOT-US Web servie par la cible sur le réseau
  4. Les exercices Guidés pas à pas : découvrir la faille, l'exploiter, puis la corriger.