SockTail

SockTail é um pequeno binário que conecta um dispositivo a uma rede Tailscale e expõe um proxy SOCKS5 local na porta 1080. Foi projetado para operações de red team onde você precisa de acesso à rede em um sistema alvo sem configurar encaminhamentos de porta complicados, daemons persistentes ou túneis ruidosos.

Funcionalidades

• Proxy SOCKS5 na porta 1080 via Tailscale
• Suporta endereços IPv4, IPv6 e domínios
• Conexão ao Tailscale via tsnet, sem dependências externas
• Chave de autenticação pode ser embutida (obfuscação XOR para evasão de análise estática) ou fornecida em tempo de execução
• Totalmente autocontido, sem arquivos de configuração ou (escritas em disco)

Isso não foi feito para persistência. É um "dropper" SOCKS de uso único para operações de red team.

Crédito da imagem: "O SOCKS que Temos em Casa" por TrustedSec — obrigado pelos memes.

Uso

Usage: ./SockTail [hostname] [authkey] [control-url]

  hostname:    Opcional. Gerado automaticamente se não for informado
  authkey:     Opcional. Usa chave embutida se não informado
  control-url: Opcional. Usa URL padrão do Tailscale ou URL de construção se não informado
  port:        Fixo em 1080

Exemplos:
  ./SockTail
    - Hostname automático, chave embutida, servidor de controle padrão

  ./SockTail vpn-srv-01
    - Hostname personalizado, chave embutida, servidor de controle padrão

  ./SockTail shellbox-7 tskey-auth-1fXXXXXXXXXXXXXXXXXXXXXXXXXX
    - Hostname personalizado e chave de autenticação em tempo de execução, servidor de controle padrão

  ./SockTail my-proxy tskey-auth-1fXXXXXXXXXXXXXXXXXXXXXXXXXX https://headscale.example.com
    - Tudo personalizado: hostname, chave de autenticação e servidor de controle (ex: Headscale)

Como Funciona

1. Na inicialização, o SockTail cria um tsnet.Server usando a chave de autenticação do Tailscale fornecida (ou embutida) e o hostname.
2. Ele se conecta ao Tailnet e começa a escutar em localhost:1080.
3. A negociação SOCKS5 é feita sem autenticação (método padrão NO_AUTH).
4. Qualquer requisição CONNECT (IPv4, IPv6, domínio) é aceita e encaminhada usando tsnet.Dial.
5. Os dados são retransmitidos bidirecionalmente até que a conexão seja encerrada.

Não há persistência. Assim que o binário é encerrado, a conexão com seu Tailnet é perdida.

Obuscação

O projeto inclui obfuscação baseada em XOR para a AuthKey, a fim de evitar detecções estáticas. Você pode embutir sua chave de autenticação no momento da construção usando flags do compilador — sem necessidade de edição manual!

var xorKey = []byte("747sg^8N0$")

A chave será obfuscada com XOR e embutida automaticamente durante o processo de construção se nenhuma chave for passada na linha de comando.

Construção

Escrito em Go, sem dependências externas:

# Construir com chave de fallback embutida
make build

# Construir com sua chave de autenticação personalizada (recomendado)
make build-with-key AUTH_KEY=tskey-auth-client-xxxxx-your-key

# Construir com chave de autenticação personalizada e servidor de controle (para Headscale, etc.)
make build-with-config AUTH_KEY=tskey-auth-client-xxxxx-your-key CONTROL_URL=https://headscale.example.com

# Construir para todas as plataformas com sua chave
make build-all-with-key AUTH_KEY=tskey-auth-client-xxxxx-your-key

# Construir para todas as plataformas com servidor de controle personalizado
make build-all-with-config AUTH_KEY=tskey-auth-client-xxxxx-your-key CONTROL_URL=https://headscale.example.com

O sistema de construção obfusca automaticamente sua chave de autenticação com XOR e embute tanto a chave quanto a URL de controle em tempo de compilação — sem necessidade de editar o código fonte manualmente!

Servidores de Controle Personalizados: Perfeito para soluções Tailscale auto-hospedadas como Headscale. Basta especificar a URL do seu servidor de controle e a chave de autenticação adequada para essa instância.

Notas

• O tráfego é criptografado de ponta a ponta via Tailscale/WireGuard.
• Você pode usar isso para pivotar em uma rede, tunelar C2 ou acessar serviços internos sem expor portas externamente.
• As ACLs do Tailscale ainda se aplicam. Certifique-se de que seu Tailnet permita o acesso correto de e para o nó SockTail.