BeEF与Nginx反向代理配置：是否需正则/URL重写及404问题解决

在Debian服务器的Nginx虚拟主机上反向代理BeEF，要求所有客户端请求/响应均使用HTTPS，Nginx将443端口转发至BeEF监听的内部虚拟IP（172.31.5.154）的3000端口。预期实现：客户端访问https://my.domain/xxx时，Nginx将完整路径/xxx转发至http://172.31.5.154:3000/xxx。当前硬编码两个location规则后，客户端测试出现404错误。

提供的现有Nginx配置（/etc/nginx/sites-available/beefapp.conf）和BeEF config.yaml配置片段见下文。

1. Nginx路径匹配限制：硬编码的location /f1/f2和location /f仅能匹配特定路径，无法覆盖BeEF所需的所有API路径（如管理后台、钩子通信接口等），导致未匹配的请求返回404。
2. BeEF公网配置未生效：config.yaml中public配置块被注释，BeEF生成的钩子脚本会使用内部IP和端口，而非公网HTTPS地址，导致客户端无法正确与BeEF通信。
3. Proxy_pass路径处理错误：当proxy_pass带具体路径时，Nginx会将匹配的location路径替换为该路径，而非完整转发原始请求路径。

1. 调整Nginx反向代理配置 #

修改beefapp.conf，实现全路径转发，并单独处理钩子脚本的特殊路径：

server {
    listen 443 ssl;
    # listen [::]:443 ssl ipv6only=on; # 如需IPv6可启用
    ssl_certificate /etc/letsencrypt/live/mt.domain/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mt.domain/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    server_name my.domain;
    set $upstream 172.31.5.154:3000;

    # 处理钩子脚本请求：将/f转发为/f.js
    location = /f {
        proxy_pass http://$upstream/f.js;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        proxy_buffering off;
    }

    # 转发所有其他请求，保留完整路径
    location / {
        proxy_pass http://$upstream;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        proxy_buffering off;
        proxy_redirect off;
    }
}

• 使用location = /f精确匹配钩子脚本的短路径，转发至BeEF的/f.js。
• location /匹配所有其他请求，proxy_pass不带路径时，Nginx会自动将完整请求路径追加到上游地址后，实现预期的全路径转发。
• 添加X-Forwarded-Proto头，让BeEF知晓客户端使用的是HTTPS协议。

2. 修正BeEF配置 #

编辑config.yaml，取消public配置块的注释，并确保参数正确：

http:
    debug: false
    host: "172.31.5.154"
    port: "3000"
    xhr_poll_timeout: 1000

    # 启用公网反向代理配置
    public:
        host: "my.domain"
        port: "443"
        https: true

    allow_reverse_proxy: true

• 取消public块的注释，BeEF会根据此配置生成正确的钩子脚本，让客户端通过https://my.domain:443与BeEF通信。
• allow_reverse_proxy: true确保BeEF信任Nginx传递的X-Forwarded-For等头信息。

1. 重启Nginx：sudo systemctl restart nginx
2. 重启BeEF服务，确保配置生效。
3. 客户端访问https://my.domain/f，应能正常获取钩子脚本；访问BeEF管理后台（如https://my.domain/ui/panel），应能正常加载页面。

内容的提问来源于stack exchange，提问作者Infinitexistence