SockTail

SockTail es un pequeño binario que une un dispositivo a una red Tailscale y expone un proxy SOCKS5 local en el puerto 1080. Está pensado para operaciones de red team donde necesitas acceso de red a un sistema objetivo sin tener que montar redirecciones de puertos extrañas, demonios persistentes ni túneles ruidosos.

Características

• Proxy SOCKS5 en el puerto 1080 sobre Tailscale
• Soporta direcciones IPv4, IPv6 y de dominio
• Unión a Tailscale mediante tsnet, sin dependencias externas
• La clave de autenticación puede estar embebida (ofuscada con XOR para evadir el análisis estático) o proporcionarse en tiempo de ejecución
• Totalmente autónomo, sin archivos de configuración ni (escrituras en disco)

Esto no está pensado para persistencia. Es un dropper SOCKS de un solo uso para operaciones de red team.

Crédito de la imagen: "The SOCKS We Have at Home" de TrustedSec — gracias por los memes.

Uso

Usage: ./SockTail [hostname] [authkey] [control-url]

  hostname:    Optional. Auto-generated if not specified
  authkey:     Optional. Uses embedded key if not specified
  control-url: Optional. Uses Tailscale default or build-time URL if not specified
  port:        Fixed at 1080

Examples:
  ./SockTail
    - Auto hostname, embedded key, default control server

  ./SockTail vpn-srv-01
    - Custom hostname, embedded key, default control server

  ./SockTail shellbox-7 tskey-auth-1fXXXXXXXXXXXXXXXXXXXXXXXXXX
    - Custom hostname and runtime auth key, default control server

  ./SockTail my-proxy tskey-auth-1fXXXXXXXXXXXXXXXXXXXXXXXXXX https://headscale.example.com
    - All custom: hostname, auth key, and control server (e.g., Headscale)

Cómo funciona

1. Al inicio, SockTail crea un tsnet.Server usando la clave de autenticación de Tailscale proporcionada (o embebida) y el nombre de host.
2. Se une a la Tailnet y comienza a escuchar en localhost:1080.
3. La negociación SOCKS5 se gestiona sin autenticación (método estándar NO_AUTH).
4. Cualquier solicitud CONNECT (IPv4, IPv6, dominio) se acepta y se reenvía mediante tsnet.Dial.
5. Los datos se retransmiten bidireccionalmente hasta que se cierra la conexión.

No hay persistencia. Una vez que el binario sale, la conexión con tu Tailnet se pierde.

Ofuscación

El proyecto incluye ofuscación basada en XOR para la AuthKey con el fin de evadir detecciones estáticas. Puedes embeber tu clave de autenticación en tiempo de compilación usando flags del compilador: ¡no se requiere edición manual!

var xorKey = []byte("747sg^8N0$")

La clave se ofuscará con XOR y se incrustará automáticamente durante el proceso de compilación si no se pasa ninguna clave por línea de comandos.

Compilación

Escrito en Go, sin dependencias externas:

# Build with embedded fallback key
make build

# Build with your custom auth key (recommended)
make build-with-key AUTH_KEY=tskey-auth-client-xxxxx-your-key

# Build with custom auth key and control server (for Headscale, etc.)
make build-with-config AUTH_KEY=tskey-auth-client-xxxxx-your-key CONTROL_URL=https://headscale.example.com

# Build for all platforms with your key
make build-all-with-key AUTH_KEY=tskey-auth-client-xxxxx-your-key

# Build for all platforms with custom control server
make build-all-with-config AUTH_KEY=tskey-auth-client-xxxxx-your-key CONTROL_URL=https://headscale.example.com

El sistema de compilación ofusca automáticamente con XOR tu clave de autenticación e incrusta tanto la clave como la URL de control en tiempo de compilación: ¡no se requiere editar el código fuente manualmente!

Servidores de control personalizados: Perfectos para soluciones Tailscale autoalojadas como Headscale. Solo especifica la URL de tu servidor de control y la clave de autenticación adecuada para esa instancia.

Notas

• El tráfico está cifrado de extremo a extremo mediante Tailscale/WireGuard.
• Puedes usar esto para pivotar hacia una red, tunelizar C2 o acceder a servicios internos sin exponer puertos externamente.
• Las ACL de Tailscale siguen aplicándose. Asegúrate de que tu Tailnet permita el acceso correcto hacia y desde el nodo SockTail.