提升Xray挖洞能力-反连平台部署

一、为什么我们需要反连平台

在进行漏洞检测的时候，我们会发现有很多的漏洞在执行了一些命令后，从表面上看没有任何回应的，比如命令执行漏洞，可以让目标执行读取文件的命令等，但由于前端并没有对应的展示，导致我们并不能知道文件是否成功读取，也就不知道命令是否执行成功。
同时还有向经典的log4j rce，fastjson，ssrf，XXE等，都是没有回显的漏洞，那么当面对这类的漏洞，我们就需要一个反连平台，通过让目标执行ping、curl等命令，对反连平台发起请求，反连平台在接受到请求后，就能告诉我们，命令触发了，也就代表了漏洞存在了。
所以当我们想要比较完备的对一个系统进行测试，反连平台的利用一定是必不可少的。所以本文将着重讲述xray的反连平台如何部署搭建，配置文件如何修改，如何进行调试，并使用实际存在的漏洞进行举例。

二、开始部署

需要预先准备一台VPS，安装CentOS系统，最好的方式是开放全端口。如果担心安全风险，可只开放要使用的端口。

xray下载：
通过如下官方地址下载xray到VPS中，下载Linux版本：
https://stack.chaitin.com/tool/detail/1

VPS上配置环境：

先直接yum安装libpcap-devel：
yum install libpcap-devel
yum  -y install mlocate
updatedb
locate libpcap

然后配置相关环境：
cd /usr/lib64
ln -s libpcap.so.1.5.3 libpcap.so.0.8

这里如果都顺利的话就可正常运行了，进入xray目录下执行：

./xray version

然后参考官方文档配置一下服务端config.yaml：

//反连平台配置，更多解释见 https://docs.xray.cool/#/configration/reverse
//注意: 默认配置为禁用反连平台，这是无法扫描出依赖反连平台的漏洞，这些漏洞包括 fastjson，ssrf 以及 poc 中依赖反连的情况等
reverse:
  db_file_path: "reverse.db"                      # 反连平台数据库文件位置, 这是一个 KV 数据库
  token: "自己设置token"                             # 反连平台认证的 Token, 独立部署时不能为空
  http:
    enabled: true
    listen_ip: 0.0.0.0
    listen_port: "33899"
    ip_header: ""                       # 在哪个 http header 中取 ip，为空代表从 REMOTE_ADDR 中取
  dns:
    enabled: true
    listen_ip: 0.0.0.0 
    domain: "自己购买的域名"                          # DNS 域名配置
    is_domain_name_server: true       # 是否修改了域名的 ns 为反连平台，如果是，那 nslookup 等就不需要指定 dns 了
    resolve:                            # DNS 静态解析规则
    - type: A                           # A, AAAA, TXT 三种
      record: ns1
      value: VPSIP
      ttl: 60
    - type: A                           # A, AAAA, TXT 三种
      record: ns2
      value: VPSIP
      ttl: 60
  client:
    remote_server: false                # 是否是独立的远程 server，如果是要在下面配置好远程的服务端地址
    http_base_url: "http://VPSIP:33899/"                   # 默认将根据 ListenIP 和 ListenPort 生成，该地址是存在漏洞的目标反连回来的地址, 当反连平台前面有反代、绑定域名、端口映射时需要自行配置
    dns_server_ip: "VPSIP"                   # 和 http_base_url 类似，实际用来访问 dns 服务器的地址

三、修改后启动返连平台

安装screen，并使用screen创建一个新的视窗，并将反连平台运行在新的视窗中，这样在退出ssh连接后，反连平台将一直保持运行，操作如下

yum install screen -y
screen -S xxx   任意命名，要后台执行任务的名字

这样将进入到名为xxx的视窗中，执行./xray reverse启动反连平台，可以输入exit退出视窗

使用screen -ls可以查看当前存在的视窗，并使用screen -r {{id}} 进入视窗

启动返连平台：

./xray reverse

生效测试

可以手动访问一下平台测试是否正常：

http://VPS的IP地址:33899/cland/

HTTP

本地电脑使用cmd执行curl -v http://vps:33899/p/2395c7/SyQ9/

DNS

1、前期准备

1、需要一个可以自定义DNS host的域名，example.com。
2、需要一个可以运行xray的服务器 VPSIP。

2、VPS防火墙配置

放通全部端口

3、域名配置

1、解析记录配置
增加ns1、ns2的A记录（ns1/2可以是别的名称，可自定义），其记录值为VPS的公网地址。

2、自定义DNS host

3、 DNS 修改
创建自定义的DNShost 之后将Dns修改为自定义的DNS服务器。

等待10分钟后

4、 反连平台DNS测试

如果是刚部署好，可以首先使用nslookup进行测试

如果已经有一段时间了，则可以使用ping命令

四、修改本地xray配置

//反连平台配置，更多解释见 https://docs.xray.cool/#/configration/reverse
//注意: 默认配置为禁用反连平台，这是无法扫描出依赖反连平台的漏洞，这些漏洞包括 fastjson，ssrf 以及 poc 中依赖反连的情况等
reverse:
  db_file_path: ""                      # 反连平台数据库文件位置, 这是一个 KV 数据库
  token: "自己设置的token"                             # 反连平台认证的 Token, 独立部署时不能为空
  http:
    enabled: false
    listen_ip: 0.0.0.0 
    listen_port: ""
    ip_header: ""                       # 在哪个 http header 中取 ip，为空代表从 REMOTE_ADDR 中取
  dns:
    enabled: false
    listen_ip: 0.0.0.0 
    domain: "自己购买的域名"                          # DNS 域名配置
    is_domain_name_server: false        # 是否修改了域名的 ns 为反连平台，如果是，那 nslookup 等就不需要指定 dns 了
    resolve:                            # DNS 静态解析规则
    - type: A                           # A, AAAA, TXT 三种
      record: localhost
      value: 127.0.0.1
      ttl: 60
  client:
    remote_server: true                # 是否是独立的远程 server，如果是要在下面配置好远程的服务端地址
    http_base_url: "http://VPSIP:33899/"                   # 默认将根据 ListenIP 和 ListenPort 生成，该地址是存在漏洞的目标反连回来的地址, 当反连平台前面有反代、绑定域名、端口映射时需要自行配置
    dns_server_ip: "VPSIP"                   # 和 http_base_url 类似，实际用来访问 dns 服务器的地址

完成以上操作就算部署完毕了。

五、漏洞测试

1、log4j插件测试

使用vps上的vulhub起一个log4j2靶场

漏洞地址为：http://vps:8983/solr/admin/cores?action=123

本地xray执行以下命令：

xray.exe webscan --poc poc-go-apache-log4j2-rce --url http://vps:8983/solr/admin/cores?action=123

2、fastjson插件测试

使用vps上的vulhub起一个fastjson靶场

本地xray执行以下命令：

xray.exe webscan --plug fastjson --url http://ip:8090/ 

3、ssrf插件测试

这里使用phpstudy+pikachu靶场演示

本地xray执行以下命令：

xray.exe webscan --plug ssrf --url http://127.0.0.1/pikachu/vul/ssrf/ssrf_curl.php?url=http://127.0.0.1/pikachu/vul/ssrf/ssrf_info/info1.php

4、xxe插件测试

这里使用VPS+phpstudy+pikachu/php_xxe靶场演示

php_xxe

本地xray执行以下命令：

xray.exe webscan --plugins xxe --listen 0.0.0.0:7777

pikachu

5、xstream插件测试

这里使用VPS+vulfocus靶场演示

本地xray执行以下命令：

xray.exe webscan  --url http://vps:端口/ --plugins xstream