Pivoting

Définition

Le pivoting est une technique de post-exploitation permettant à un attaquant de passer par un système compromis pour atteindre des segments réseau initialement inaccessibles depuis sa position d'attaque. C'est une étape centrale du mouvement latéral : le système compromis agit comme un 'pivot' entre le réseau de l'attaquant et les segments cibles protégés. Les scénarios typiques incluent : un serveur DMZ compromis permettant d'accéder au réseau interne (non accessible directement depuis Internet), un poste utilisateur compromis utilisé pour atteindre des segments VLAN de production, ou une machine compromise dans une infrastructure cloud utilisée pour pivater vers d'autres VPC ou tenants. Les techniques de pivoting incluent : le port forwarding SSH (tunnels locaux et distants via ssh -L et ssh -R), les proxies SOCKS4/5 (via SSH dynamique ssh -D, ou des outils dédiés), les reverse shells avec port forwarding intégré (Meterpreter dispose de modules de pivoting robustes), et des outils spécialisés comme Chisel (tunneling HTTP/HTTPS), Ligolo-ng (tunneling rapide avec interface virtuelle), rpivot, et Socat. Ligolo-ng est particulièrement apprécié car il crée une interface réseau virtuelle sur la machine de l'attaquant permettant d'accéder directement aux réseaux cibles sans configuration de proxychains ou de redirections port par port. L'agent Ligolo s'exécute sur le pivot et crée un tunnel vers le serveur Ligolo de l'attaquant. Chisel crée des tunnels TCP multiplexés sur HTTP/HTTPS, particulièrement utile dans des environnements où seul le trafic web est autorisé en sortie. Sa configuration serveur/client permet à la fois le pivoting local→distant et le reverse pivoting (pivot initie la connexion vers l'attaquant). Proxychains est l'outil complémentaire côté attaquant : il redirige les connexions des outils (Nmap, Metasploit, navigateurs) via les proxies SOCKS configurés, permettant d'utiliser n'importe quel outil comme si on était directement sur le pivot.