samyk/poisontap

Exploits locked/password protected computers over USB, drops persistent WebSocket-based backdoor, exposes internal route

PoisonTap 是一款由知名安全研究员 Samy Kamkar 开发的硬件攻击工具，专为针对已锁屏或受密码保护的计算机设计。其核心硬件载体是售价仅5美元的树莓派 Zero，配合 Node.js 运行时环境，通过 USB 模拟以太网设备实现攻击。当攻击者将 PoisonTap 插入目标计算机后，即使屏幕处于锁定状态，操作系统仍会自动识别该虚拟网卡并分配 IP 地址。PoisonTap 利用 DHCP 响应中的子网掩码技巧，宣称整个 IPv4 地址空间都属于本地网络，从而劫持所有本应发往互联网网关的流量。该工具能够窃取 Alexa 排名前100万网站的 HTTP Cookie 和会话信息，通过 DNS 重绑定和 WebSocket 暴露内部路由器，并在数百个常用域名和 JavaScript CDN 的 HTTP 缓存中植入持久化后门。即使攻击者拔除设备，后门依然有效，可远程强制受害浏览器以用户身份发起 GET 和 POST 请求。PoisonTap 突破了锁屏保护、路由表优先级、同源策略、X-Frame-Options、HttpOnly 和 SameSite Cookie 属性、双因素认证、DNS 固定、CORS 以及未启用 Secure 标志和 HSTS 的 HTTPS 保护等多项安全机制。该工具主要适用于物理渗透测试场景，例如在办公环境中趁员工离开工位时快速植入，或用于红队评估企业内网的安全性。其技术栈基于树莓派硬件、Linux 内核的 USB Gadget 驱动以及 Node.js 编写的攻击脚本，展示了物理访问权限与网络协议漏洞结合所能产生的巨大破坏力。