SiATodo es un laboratorio de ciberseguridad diseñado para realizar Pruebas de Concepto (PoC) de concientización. Demuestra visualmente cómo un atacante puede obtener acceso casi total a una cuenta de Google (Gmail, Drive, Fotos, Ubicación) si un usuario acepta permisos de OAuth2 sin revisarlos.
La herramienta se divide en dos componentes principales:
-
app.js(El Servidor de Captura): * Levanta un servidor Express que gestiona el flujo de OAuth2.- Utiliza
googleapispara interactuar con los servicios de la víctima. - Persistencia: Guarda las cuentas capturadas en un archivo local
data/users.json(incluyendo los Refresh Tokens para acceso persistente). - Dashboard: Incluye un panel administrativo protegido por contraseña (hash SHA-256) para visualizar los datos capturados.
- Utiliza
-
setup.js(El Asistente de Configuración):- Es un script interactivo que utiliza
readlineychild_process. - Automatización de Navegador: Abre automáticamente las secciones específicas de Google Cloud Platform (GCP) para que no tengas que buscarlas.
- Generador de Entorno: Al finalizar el proceso, crea automáticamente el archivo
.envcon las credenciales obtenidas.
- Es un script interactivo que utiliza
El script setup.js te guiará por estos 10 pasos críticos:
- Consola de GCP: Abre el panel principal de Google Cloud.
- Creación del Proyecto: Te indica cómo crear el proyecto "Si-A-Todo".
- Habilitación de APIs: Abre los enlaces directos para activar:
Google People API(Identidad)Gmail API(Lectura de correos)Google Drive API(Acceso a archivos/fotos)Cloud Resource Manager API(Gestión interna)
- Pantalla de Consentimiento (OAuth): Configura la app como "Externa" y define los Scopes (permisos) solicitados.
- Usuarios de Prueba: Agrega los emails de las "víctimas" de prueba (necesario mientras la app esté en modo Testing).
- OAuth 2.0 Client ID: Crea las llaves para una "Aplicación Web".
- URI de Redirección: Configura
http://localhost:3000/auth/google/callbackpara que Google sepa a dónde enviar los tokens capturados.
- Maps API (Opcional): Genera una API Key para visualizar la ubicación GPS en un mapa real.
- Generación de
.env: El script escribe todas las variables en el archivo de configuración. - Resumen: Te brinda los comandos finales para iniciar el laboratorio.
- Instalar dependencias:
npm install
- Ejecutar el Setup:
node setup.js
- Iniciar el servidor:
node app.js
- Acceder al Dashboard (Tu panel):
http://localhost:3000/dashboard - Enviar el Link de Login (Víctima):
http://localhost:3000/
Esta herramienta ha sido creada exclusivamente para la comunidad de ciberseguridad. El autor no promueve ni se responsabiliza por el uso de SiATodo para actividades que infrinjan los Términos de Servicio de cualquier plataforma o que violen leyes locales de acceso a sistemas informáticos.
La ética es el pilar fundamental del analista de seguridad.