Pivoteo y túneles hacia la red interna

La red interna que asomó al enumerar el host de la frontera no es alcanzable desde tu estación: internet no la enruta, y por eso no existía desde fuera. Tu máquina de ataque puede hablar con la frontera —la comprometiste por su cara expuesta—, pero no con lo que hay detrás de su segunda interfaz. Escanear la interna directamente desde tu estación no devuelve nada, porque los paquetes no tienen camino hasta allí. Entender esto es el paso previo a abrir la ruta: el problema no es de permisos de la herramienta, es de ruta de red.

En Arrecife, desde tu estación ves la frontera pero no el segmento interno que cuelga de su segunda interfaz. Lanzar el escáner directo contra la interna no da resultado: falta construir el camino.

El pivoteo abre esa ruta usando el host de la frontera como paso. Hay varias formas —un proxy que reenvía conexiones, una redirección de un puerto concreto, un túnel que lleva todo tu tráfico a través del host comprometido— pero todas comparten la idea: tus herramientas, en tu estación, hablan como si estuvieran dentro, porque el tráfico sale por la máquina que sí ve la interna. Un proxy montado sobre el pivote deja encadenar tus herramientas habituales a través de él sin instalarlas en el objetivo.

En Arrecife, el servidor de la frontera ve la interna por su segunda interfaz. Montar un túnel o un proxy a través de él es lo que hace que tu escáner y tus clientes alcancen los objetivos internos desde tu estación.

Abrir un túnel hacia la interna amplía lo que puedes tocar, y ahí es fácil olvidar que el alcance sigue mandando. La interna que aparece al pivotar está dentro del engagement solo si estaba en el alcance firmado; si asoma un segmento que el cliente no autorizó —una red de un tercero, un entorno que no entró—, se documenta pero no se pivota hacia él. El pivote es una capacidad potente, y justamente por eso se usa con la misma disciplina de alcance que todo lo demás: lo que no está dentro, no se toca, aunque el túnel llegue.

En Arrecife, la interna que cuelga de la frontera está dentro del alcance, así que pivotar hacia ella es parte del trabajo. Si por la segunda interfaz asomara un segmento ajeno al alcance, se anotaría como observación y no se cruzaría el túnel hasta él.

El pivote no es el fin: es el medio para alcanzar la máquina interna que guarda lo que importa. Una vez abierta la ruta, se enumera la interna a través del túnel, se prioriza igual que en la DMZ —exposición, versión, valor— y se llega al objetivo premiado, que suele ser la base de datos con los datos sensibles. Y muchas veces el acceso final no es un exploit nuevo: es una credencial hallada antes que se reutiliza, ahora alcanzable porque el túnel la pone a tiro. La cadena —frontera, credencial, pivote, dato interno— es el hallazgo central.

En Arrecife, el túnel a través de la frontera deja alcanzar la base de datos interna. Con una credencial reutilizada se entra a ella por un servicio remoto legítimo, cerrando la cadena hasta el dato que el cliente creía protegido dentro.

El túnel por la frontera pone a tiro el objetivo interno que importa. Abre el laboratorio y revisa la evidencia del pivote: en la configuración del host de la frontera está la conexión a la base de datos interna, con la dirección del host al que apunta. Aísla la dirección IP de ese host de base de datos interno.