Integración de Sliver C2 + n8n

Notificaciones en tiempo real para callbacks de implants de Sliver C2 mediante Discord y Slack

Descripción general

Este proyecto integra Sliver C2 (framework de Comando y Control) con n8n (automatización de flujos de trabajo) para proporcionar notificaciones en tiempo real cuando se establecen nuevas conexiones de implants. Cuando una máquina objetivo se conecta a tu servidor Sliver (mediante beacon o sesión interactiva), recibirás inmediatamente alertas con código de color en Discord y Slack con información detallada del objetivo.

Caso de uso: Operaciones de red team, compromisos de pruebas de penetración, investigación en seguridad y evaluaciones de seguridad autorizadas.

Arquitectura

Servidor Sliver C2
    ↓
Monitor Python (consulta cada 5 segundos)
    ↓
Webhook de n8n
    ↓
Notificaciones Discord + Slack (en paralelo)

Características

• Alertas en tiempo real cuando se conectan beacons o sesiones
• Notificaciones con código de color (Rojo para sesiones, Verde para beacons)
• Información detallada del objetivo: hostname, nombre de usuario, SO, dirección IP, arquitectura
• Seguimiento de estado persistente para evitar alertas duplicadas al reiniciar
• Se ejecuta como servicio systemd para inicio automático
• Entrega de notificaciones en paralelo a múltiples plataformas

Inicio rápido

Para usuarios experimentados que ya tengan Sliver y Python configurados:

1. Instalar n8n:

   root@kitploit:~

   npm install n8n -g
   n8n start
   

2. Instalar dependencias de Python:

   root@kitploit:~

   pip install sliver-py requests
   

3. Desplegar el script monitor:

   root@kitploit:~

   wget https://raw.githubusercontent.com/0x0Trace/sliver-n8n-notifications/main/sliver_beacon_monitor.py
   chmod +x sliver_beacon_monitor.py
   

4. Importar el flujo de trabajo de n8n:

   • Copiar n8n_workflow_template.json
   • Importar en la interfaz de n8n: Workflows → Import from File
   • Configurar credenciales de Discord/Slack

5. Actualizar la configuración:

   • Editar sliver_beacon_monitor.py con tu URL de webhook y la ruta de configuración de Sliver
   • Ejecutar: python3 sliver_beacon_monitor.py

Para instrucciones detalladas paso a paso, consulta INSTALLATION.md

Documentación

• Guía de instalación - Recorrido completo de configuración
• Guía de inicio rápido - Configuración resumida para usuarios experimentados
• Solución de problemas - Problemas comunes y soluciones

Requisitos previos

• Servidor Sliver C2 instalado y en ejecución
• Archivo de configuración del cliente de Sliver (~/.sliver-client/configs/)
• Python 3.7+ con pip
• URL de webhook de Discord (creada en la configuración del servidor de Discord)
• Espacio de trabajo de Slack con permisos de aplicación (opcional)

Visualización del flujo de trabajo

Ejemplos de notificaciones

Discord (Beacon - Verde | Sesión - Rojo)

Slack

Detalles de la notificación:

• Incrustaciones con código de color (Rojo = Sesión, Verde = Beacon)
• Hostname, nombre de usuario, IP remota
• Sistema operativo y arquitectura
• Marca de tiempo de la conexión

Estructura del proyecto

/home/zerotrace/projects/n8n_sliver_implant_callback/
├── README.md                      # Este archivo
├── INSTALLATION.md                # Guía de instalación completa
├── QUICK_START.md                 # Configuración rápida para usuarios avanzados
├── TROUBLESHOOTING.md             # Problemas comunes y soluciones
├── sliver_beacon_monitor.py       # Demonio de monitorización en Python
├── n8n_workflow.json              # Configuración del flujo de trabajo de n8n
├── sliver-monitor.service         # Archivo de unidad de servicio systemd
├── beacon_state.json              # Archivo de estado generado automáticamente

Consideraciones de seguridad

• Solo autorización: Esta herramienta es para pruebas de penetración autorizadas e investigación en seguridad
• Mantén las URL de webhook de Discord/Slack privadas (no las subas a Git)
• Restringe n8n a localhost o usa autenticación si lo expones externamente
• El archivo beacon_state.json contiene IDs de conexión pero ningún dato sensible
• Los registros del monitor pueden contener información del objetivo: asegura los archivos de registro adecuadamente
• El servicio se ejecuta con permisos de nivel de usuario (configurable en la unidad systemd)

Cómo funciona

1. Servicio monitor Python (sliver_beacon_monitor.py)

   • Se conecta al servidor Sliver C2 usando la configuración del cliente
   • Consulta nuevos beacons y sesiones cada 5 segundos
   • Mantiene un estado persistente para evitar alertas duplicadas
   • Envía solicitudes POST de webhook a n8n en nuevas conexiones

2. Flujo de trabajo de n8n (n8n_workflow.json)

   • El endpoint de webhook recibe datos de conexión
   • Formatea datos para Discord (incrustaciones con código de color) y Slack (texto)
   • Envía notificaciones a ambas plataformas en paralelo
   • Devuelve una respuesta de éxito al llamante

3. Servicio systemd (sliver-monitor.service)

   • Ejecuta el monitor como demonio en segundo plano
   • Se inicia automáticamente al arrancar y después del servicio Sliver
   • Se reinicia automáticamente en caso de fallo con un retardo de 5 segundos

Contribuciones

¡Las contribuciones son bienvenidas! Por favor, asegúrate de:

• Todo el código sigue las convenciones de estilo existentes
• La documentación se actualiza para nuevas características
• Se mantienen las mejores prácticas de seguridad
• Las pruebas se realizan únicamente en entornos autorizados

Licencia

Este proyecto está licenciado bajo la Licencia MIT; consulta el archivo LICENSE para más detalles.

Referencias

• Documentación de Sliver C2
• Documentación de n8n
• Guía de Webhooks de Discord
• Documentación de la API de Slack

Soporte

Para problemas, preguntas o sugerencias:

• Abre un issue en GitHub
• Consulta TROUBLESHOOTING.md para problemas comunes
• Revisa INSTALLATION.md para ayuda con la configuración

Aviso legal: Esta herramienta está destinada únicamente para pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal. Úsala de manera responsable y ética.