Nätverkspivotering med Chisel: en introduktion
CyberLord-teamet Författarprofil
Pivotering är en av de tekniker som avgör hur långt ett intrång egentligen når. När en testare har fått fäste på en värd inne i nätet kan trafiken dirigeras om genom den värden, och system som aldrig varit exponerade mot internet blir plötsligt åtkomliga. Det är samma mekanism som en angripare använder, och därför är den central i seriös säkerhetsprovning.
Artikeln beskriver hur tekniken fungerar, var verktyget Chisel kommer in, hur ni övar i en miljö ni äger och vilka krav som måste vara uppfyllda innan något körs i ett skarpt nätverk. Förutsättningen genomgående: skriftligt tillstånd, avgränsat uppdrag och en miljö där ni har rätt att agera.
Vad pivotering innebär
I de flesta företagsnät finns ingen direkt väg från internet till de system som betyder mest. Segmentering, brandväggar och separata zoner finns just för att ett intrång på en publik server inte ska ge fri rörlighet internt.
Pivotering innebär att en komprometterad värd används som relä: trafiken går till värden, som vidaresänder den mot interna mål. För målsystemet ser den ut att komma inifrån.
Från ingång till insida
Tekniken kräver inte mycket: en vanlig webbserver med utgående HTTPS-trafik eller en utvecklingsserver räcker ofta som brygga. Det är kombinationen av ett fäste och tillåten utgående trafik som skapar vägen inåt.
Varför segmentering testas just så här
Många organisationer utgår från att isolering skyddar. Frågan är om den håller när en enda värd i det yttre skiktet faller, och den går inte att besvara i ett designdokument — bara genom att försöka ta sig vidare.
Ett trovärdigt test mäter tre saker: vilka nät värden når, vilka tjänster som svarar och om någon larmar. Det tredje är oftast det mest värdefulla — ett tyst test betyder att ett riktigt intrång också skulle vara tyst.
Fyra sätt att nå ett internt nät
| Metod | Så fungerar den | Styrka | Begränsning |
|---|---|---|---|
| Vidarebefordran av enskild port | En lokal port kopplas till en intern adress och port | Enkelt och förutsägbart | Kräver att ni vet exakt mål och port i förväg |
| Dynamisk SOCKS-proxy | Ett proxygränssnitt skapas lokalt och trafiken leds genom reläet | Fungerar för många mål och verktyg samtidigt | Vissa protokoll och skannrar fungerar sämre |
| Omvänd tunnel | Reläet kopplar upp sig utåt och håller förbindelsen öppen | Fungerar bakom brandväggar som bara tillåter utgående trafik | Kräver en mottagande server ni kontrollerar |
| Gränssnitt på nätverkslagret | Ett virtuellt gränssnitt gör det interna nätet dirigerbart | Närmast en riktig anslutning, få begränsningar | Mer installation och mer att felsöka |
Vilken metod som passar beror på frågan. Ska en enda intern administrationstjänst granskas räcker portvidarebefordran; ska ett helt segment inventeras är ett gränssnitt på nätverkslagret enklare.
Var Chisel passar in
Chisel är ett tunnlingsverktyg som transporterar trafik över HTTP och HTTPS. Det består av två delar: en server som ni kör på en dator ni kontrollerar och en klient som startas på reläet. Klienten kopplar upp sig utåt mot servern, och servern exponerar sedan proxy- eller portvidarebefordran på er sida.
Eftersom trafiken ser ut som vanlig webbtrafik passerar den miljöer med hård utgående filtrering. Det gör verktyget användbart där ni vill pröva om egressfiltreringen håller — och det är samma egenskap som gör det intressant för en angripare.
Så startar en tunnel i labbet
Nedan är flödet i en isolerad labbmiljö, med adresser som inte finns i produktion. Kör det aldrig mot ett nät ni inte äger eller har skriftligt tillstånd att testa.
Server och klient
# Server på testmaskinen, omvänt läge
chisel server --reverse --port 9443
# Klient på reläet, kopplar upp och begär SOCKS-proxy
chisel client https://10.0.0.5:9443 R:socks
Flaggan för omvänt läge gör att servern accepterar förbindelser från klienten och låter klienten registrera vidarebefordringar. Argumentet för SOCKS skapar en proxy på serversidan, normalt på port 1080, och all trafik genom den proxyn färdas genom tunneln och ut från reläets perspektiv.
Använda tunneln
# Inventering av ett internt labbsegment genom proxyn
proxychains nmap -sT -Pn 10.10.10.0/24
# En enskild intern tjänst, utan full proxy
chisel client https://10.0.0.5:9443 R:8080:10.10.10.20:80
Den andra raden visar portvidarebefordran: en port på testmaskinen kopplas till en intern adress och port. Mindre flexibelt, men lättare att hålla reda på.
Fyra frågor en tunnel kan besvara
- Håller egressfiltreringen? Kan en intern värd nå en extern server över HTTPS? Går det, är datautflöde från den värden sannolikt möjligt.
- Vad exponeras internt? När vägen finns: vilka administrationstjänster, databasportar och API:er svarar, och vilka av dem kräver bara nätåtkomst?
- Var går segmentgränserna? Når en server i det yttre skiktet katalogtjänsten eller personalsystemet, trots att den inte borde?
- Larmar någon? Utlöser tunneln IDS-, SIEM- eller EDR-larm? Uteblir alla larm är det i sig ett fynd.
Den sista punkten skiljer en genomförd granskning från en halv: ett test som bara letar sårbarheter men aldrig mäter upptäckt ger en ofullständig bild.
Labbmiljö som ni äger
Färdigheten byggs bäst i miljöer där ingen annan påverkas.
- Egna virtuella maskiner. En testmaskin, ett relä och ett internt mål i separata virtuella nät. VirtualBox och VMware klarar flera nätverk på samma värd.
- Övningsplattformar. HackTheBox och TryHackMe har banor där pivotering är en del av uppgiften, uttryckligen avsedda för övning.
- Active Directory-labb. En komplett katalogtjänstemiljö med flera subnät ger en realistisk kedja från första fäste till domänkontrollant, och låter er öva både angrepp och försvar.
Ett labb ni själva sätter upp har en annan fördel: ni kan repetera exakt samma scenario efter en åtgärd och se om kontrollen faktiskt stoppar det.
Vanliga fynd i en riktig granskning
Svag segmentering, allvarlig. Om en värd i det yttre skiktet når domänkontrollanter, databasservrar eller personalsystem har isoleringen brustit. Fyndet dokumenterar vägen, vilka system som nåddes och vad som hade kunnat läsas eller ändras.
Tillåtande utgående trafik, hög. Kan interna värdar nå godtyckliga externa adresser över HTTPS är både datautflöde och fjärrstyrning möjligt. Åtgärden är proxy för utgående trafik med kategorifilter, inspektion av krypterad trafik och loggning av avvikelser.
Ingen upptäckt av tunneltrafik, medelhög till hög. Går tunneln hela uppdraget utan att något larm utlöses finns en detektionslucka. Rekommendationen är beteenderegler för långvariga utgående förbindelser från värdar som inte borde ha dem, samt larm på trafik till okategoriserade destinationer.
Så upptäcker försvaret en tunnel
- Utgående proxy med inspektion. Låt all webbtrafik gå genom en proxy som kategoriserar, inspekterar och loggar. Då blir långlivade förbindelser synliga.
- Beteendelarm i SIEM eller NDR. En klient som håller en förbindelse mot samma externa adress i timmar är avvikande.
- Applikationskontroll på slutpunkten. Begränsa vilka processer som får skapa utgående förbindelser. Det stoppar inte allt, men höjer kostnaden för den som redan har fäste.
- Segmentering som är testad, inte bara ritad. Regler på papper skyddar ingenting. Verifiera dem och dokumentera när de senast prövades.
Juridik och etik: det som måste finnas på papper
Samma verktyg som hjälper en testare att verifiera segmentering kan användas för att röra sig genom ett nätverk utan lov. Gränsen går inte vid verktyget eller avsikten, utan vid tillståndet.
Innan något körs mot ett nätverk ni inte äger ska följande finnas:
- En undertecknad uppdragsbeskrivning som anger källadresser, tillåtna vägar, vilka system som omfattas och vilka verktyg som får användas.
- En tydlig tidsram med start- och sluttid, och vad som gäller utanför den.
- En avbrottsrutin med namn och nummer, så att testet kan stoppas omedelbart om något oväntat inträffar.
- Överenskommelse om loggning och ändringshantering, inklusive hur fynd och bevis hanteras efteråt.
- Kontaktväg till den som äger systemen, inte bara till beställaren.
Utan ramverket är det olagligt att köra verktyget mot någon annans nätverk, oavsett avsikt. Sverige reglerar intrång i datasystem i brottsbalken, och motsvarande lagstiftning finns i de flesta länder. En muntlig inbjudan ersätter inte ett skriftligt uppdrag.
Vanliga frågor
Vad skiljer Chisel från SSH-tunnlar? SSH kräver en SSH-tjänst på reläet, vilket ofta är stängt eller loggat. Chisel använder HTTP och HTTPS, som nästan alltid är tillåtet utåt, och består av en enda binärfil.
Är Chisel samma sak som Ligolo-ng? Ligolo-ng skapar ett virtuellt gränssnitt som gör det interna nätet dirigerbart, medan Chisel ger en proxy eller portvidarebefordran. För enstaka portar är Chisel enklare, för hela segment bekvämare med gränssnitt.
Räcker det att jag testar mitt eget företags nät? Bara om ni har mandat att göra det. Ägarskap i sig avgör inte frågan — den som driver miljön och den som ansvarar för driften måste ha godkänt testet skriftligt, och omfattningen ska vara dokumenterad.
Vilka certifieringar tar upp pivotering? OSCP innehåller flerhoppsscenarier, och både PNPT, eJPT och eCPPT behandlar ämnet i olika djup. Kombinera gärna med egna labb, eftersom själva övningen är det som bygger färdigheten.
Hur upptäcker vi tunnlar i vår egen miljö? Leta efter långvariga utgående förbindelser från värdar utan legitim anledning, processer som oväntat skapar nätverkstrafik och ovanliga datamängder. Inspektion i proxyn är den mest pålitliga punkten.
Vill ni prova om er segmentering håller? Prata med teamet om ett avgränsat uppdrag med skriftlig omfattning och tydlig avbrottsrutin.