搜索

[27290] 2021-07-16_“夜光”：使用域隐藏代替域前置

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-07-16_“夜光”：使用域隐藏代替域前置 “ 夜 光 ” ： 使 用 域 隐 藏 代 替 域 前 置 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 7 - 1 6 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   内 网 安 全 知 识 内 网 安 全 知 识 星 球 星 球 本 文 作 者 ： S p a r k （ M s 0 8 0 6 7   内 网 小 组 成 员 ）           众 所 周 知 ， 谷 歌 云 和 亚 马 逊 云 于 2 0 1 8 年 宣 布 停 止 支 持 域 前 置 技 术 。 在 去 年 8 月 的 D E F C O N 2 8 上 安 全 研   究 人 员 发 布 了 一 款 名 为 “ N o c t i l u c e n t ” （ 夜 光 ） 的 开 源 工 具 。 该 工 具 使 用 T L S 1 . 3 协 议 从 某 种 程 度 上   复 活 了 域 前 置 技 术 。 这 一 新 技 术 被 安 全 研 究 人 员 称 为 “ 域 隐 藏 ” 。 1 、 域 前 置 、 域 前 置                 域 前 置 是 一 种 隐 藏 连 接 真 实 端 点 来 规 避 审 查 的 技 术 ， 其 原 理 为 在 不 同 通 信 层 使 用 不 同 的 域 名 ： 在 明 文 的 D N S 请 求 和 T L S 服 务 器 名 称 中 使 用 无 害 的 域 名 来 初 始 化 连 接 ， 而 实 际 要 连 接 的 被 封 锁 域 名 仅 在 创 建 加 密 的 H T T P S 连 接 后 发 出 ， 使 其 不 以 明 文 暴 露 给 网 络 审 查 者 。 为 了 彻 底 地 理 解 域 前 置 ， 需 要 先 了 解 一 些 H T T P 和 H T T P S 的 基 础 知 识 。 1 . 0   S N I S N I （ S e r v e r   N a m e   I n d i c a t i o n ） 是 一 个 T L S 的 扩 展 ， 用 于 允 许 多 个 网 站 托 管 在 同 一 个 服 务 器   上 。 对 于 T L S 1 . 3 来 说 ， 这 个 扩 展 是 加 密 的 ， 也 就 是 E S N I （ E n c r y p t e d   S e r v e r   N a m e   I n d i c a t i o n ） 。 1 . 1   H T T P 基 础 基 础 在 一 次 H T T P 连 接 中 ， 用 户 的 第 一 个 外 部 请 求 是 向 D N S 请 求 目 标 w e b 服 务 器 的 I P 地 址   这 是 一 个 未 加 密 的 数 据 包 ， 发 送 到 U D P 协 议 的 5 3 端 口
D N S 会 返 回 一 个 包 含 目 标 w e b 服 务 器 I P 地 址 的 响 应 包 该 响 应 包 也 是 未 加 密 的 用 户 得 知 了 该 域 名 所 部 署 的 服 务 器 的 I P 地 址 后 ， 会 对 其 发 送 一 个 G E T 请 求 ， 并 将 域 名 作   为 “ H o s t ” 请 求 头 也 是 未 加 密 的 数 据 包 ， 通 过 T C P 协 议 发 送 至 8 0 端 口
服 务 器 返 回 H T M L 的 内 容 作 为 响 应 这 样 的 传 输 过 程 显 然 是 有 问 题 的 ： 没 有 任 何 数 据 是 加 密 的   D N S 和 H T T P 的 请 求 包 和 响 应 包 都 是 明 文 传 输 的 形 式  
为 了 解 决 以 上 的 问 题 ， H T T P S 诞 生 了 。 1 . 2   H T T P S 基 础 基 础 最 初 的 步 骤 与 H T T P 相 同 ， 用 户 向 D N S 请 求 目 标 w e b 服 务 器 的 I P 地 址   也 是 一 个 未 加 密 的 U D P 连 接 D N S 会 返 回 一 个 包 含 目 标 w e b 服 务 器 I P 地 址 的 响 应 包   该 响 应 包 也 是 未 加 密 的 （ 与 H T T P 相 同 ）
接 下 来 才 是 H T T P S 的 不 同 之 处 ： 用 户 会 发 送 一 个 C l i e n t H e l l o 来 开 始 一 个 T L S 握 手 目 标 w e b 服 务 器 使 用 接 收 到 “ s e r v e r _ n a m e ” （ 明 文 ） 来 查 询 如 何 响 应 服 务 器 返 回 一 个 带 有 证 书 的 响 应 包 S e v e r H e l l o 来 完 成 T L S 握 手 该 证 书 为 明 文 传 输 ， 但 T L S 1 . 3 除 外 握 手 后 客 户 端 和 服 务 端 便 会 使 用 同 样 的 加 密 算 法 加 密 数 据 以 及 交 换 s e s s i o n   k e y
H T T P S 的 认 证 过 程 比 H T T P 安 全 很 多 ， 但 是 整 个 D N S 的 过 程 以 及 证 书 交 换 的 过 程 仍 然 是 未 加 密 的 。 这   一 点 导 致 域 名 和 证 书 可 能 会 在 客 户 端 和 服 务 端 的 中 间 环 节 被 泄 露 。 1 . 3   域 前 置 原 理 域 前 置 原 理 通 过 混 淆 H T T P S 中 的 域 名 来 规 避 审 查   连 接 至 一 个 被 允 许 的 服 务 器 ， 但 是 将 H T T P 请 求 发 送 给 真 正 的 目 标   最 大 的 一 个 限 制 ， 真 假 域 名 必 须 来 自 在 相 同 的 域 名 供 应 商 G o o g l e   A p p   E n g i n e A m a z o n   S 3 / C l o u d F r o n t M i c r o s o f t   A z u r e   C D N O t h e r s 接 下 来 说 明 域 前 置 的 原 理 ： D N S 查 询 如 同 之 前 一 样 客 户 端 向 服 务 器 的 握 手 请 求 也 与 之 前 相 同 ， 但 是 在 握 手 时 ， 客 户 端 连 接 至 被 前 置 的 域 名 ， 而 不 是 真 正 的 域 名 握 手 的 响 应 过 程 与 之 前 相 同
客 户 端 将 包 含 了 真 实 域 名 的 “ H o s t ” 请 求 头 的 H T T P 请 求 发 送 至 真 实 目 的 服 务 器 上 只 要 目 的 服 务 器 的 域 名 也 在 该 服 务 商 上 ， C D N 就 会 分 发 该 请 求                               任 何 G A E 上 的 网 站 都 可 以 被 用 来 前 置 一 个 未 经 审 查 的 G A E 域 名 你 可 以 将 域 前 置 看 成 一 个 信 封 里 的 明 信 片 ： 客 户 端 在 信 封 上 写 上 C D N 的 域 名 ， 但 是 真 正 的 域 名 被 写 在 信 封 里 的 明 信 片 上 网 络 防 火 墙 或 者 审 计 设 备 好 比 快 递 员 ， 他 们 会 允 许 并 发 送 这 封 信 件 ， 因 为 信 封 上 的 域 名 是 被 允 许 的 当 C D N 收 到 信 封 后 ， 打 开 信 封 ， 并 将 明 信 片 送 给 真 正 的 域 名 这 种 技 术 在 所 有 主 流 的 C D N 上 都 是 可 行 的 ， 直 到 2 0 1 8 年 4 月 ， 俄 罗 斯 政 府 向 各 大 供 应 商 施 压 ， 试 图 阻   止 全 球 知 名 的 a p p — — T e l e g r a m 使 用 谷 歌 云 和 A W S 来 实 现 域 前 置 。 谷 歌 云 、 亚 马 逊 云 等 大 型 云 服 务 商 先 后 禁 止 了 该 服 务 。 虽 然 后 来 T e l e g r a m 找 到 了 其 他 的 方 法 来 躲 避 俄 罗 斯 政 府 的 审 查 ， 俄 罗 斯 政 府 也 取 消 了 该 禁 令 ， 但 是 各 大 云 服 务 商 再 也 没 有 恢 复 过 域 前 置 技 术 。 1 . 4   域 前 置 的 问 题 主 流 云 服 务 商 已 禁 用 该 技 术 前 置 的 域 名 有 局 限 性                               必 须 由 相 同 服 务 商 提 供 的 域 名 才 可 以 被 前 置 必 须 在 云 服 务 商 中 有 一 个 账 号 不 免 费                                             带 宽
                                            C P U 时 间                   复 杂 的 注 册 方 式                                           身 份 认 证                                             手 机 号                                             信 用 卡 2 . 域 隐 藏 域 隐 藏             为 了 解 决 上 述 的 问 题 ， 安 全 人 员 开 发 了 域 隐 藏 技 术 。 域 隐 藏 能 实 现 域 前 置 的 隐 藏 真 实 域 名 的 目 的 。 它   比 域 前 置 更 灵 活 ， 只 需 要 把 域 名 D N S 记 录 托 管 在 C l o u d f l a r e ， 而 主 机 服 务 器 可 以 托 管 在 任 何 地 方 。 2 . 1   D N S   o v e r   T L S / H T T P S                 在 探 究 T L S 1 . 3 的 结 构 之 前 ， 需 要 使 D N S 传 输 更 加 安 全 如 果 将 域 名 直 接 写 在 D N S 请 求 中 ， 防 火 墙 或 者 审 计 者 很 轻 松 地 就 可 以 拦 截 我 们 的 请 求   同 时 安 全 的 D N S 传 输 也 是 E S N I 的 基 础 解 决 办 法 就 是 将 D N S 查 询 包 装 在 T L S 连 接 中 。 可 以 使 用 D N S   o v e r   H T T P S （ D o H ） 来 实 现 这 一 目 的 。 D o H 可 以 绕 过 一 些 防 火 墙 和 审 计 设 备 ， 并 且 该 技 术 正 被 广 泛 地 使 用 。 2 . 2   T L S 1 . 3 + E S N I             解 决 了 D N S 查 询 的 加 密 问 题 后 ， 还 可 以 使 用 D o H 为 域 名 获 取 一 个 服 务 器 的 E S N I 公 钥 ， 并 用 该 公 钥 加   密 C l i e n t H e l l o 包 中 的 s e r v e r _ n a m e 。 当 s e r v e r _ n a m e 被 加 密 后 ， 防 火 墙 或 者 审 计 设 备 便 无 法 根 据   s e r v e r _ n a m e 来 阻 断 非 法 域 名 的 请 求 。 客 户 端 使 用 D N S   o v e r   T L S / H T T P S 来 请 求 I P 地 址 和 E S N I 公 钥
带 有 E S N I 的 T L S 1 . 3 连 接 中 必 须 拥 有 服 务 器 的 公 钥 ， 用 以 加 密 C l i e n t H e l l o 中 的 s e r v e r _ n a m e 。 获 取 该   公 钥 的 方 式 是 使 用 D N S 查 询 T X T 记 录 中 的 _ e s n i 记 录 。 D N S 通 过 D N S   o v e r   T L S / H T T P S 来 返 回 I P 地 址 和 一 个 b a s e 6 4 加 密 过 的 E S N I 公 钥 ， 客 户 端 可 以 使   用 该 公 钥 生 成 一 个 s e s s i o n   k e y 来 加 密 s e r v e r _ n a m e 各 大 云 服 务 商 会 定 时 刷 新 该 公 钥 ， 例 如 C l o u d F l a r e 每 小 时 会 刷 新 公 钥
之 后 客 户 端 发 送 一 个 T L S   C l i e n t H e l l o 请 求 ， 其 中 的 s e r v e r _ n a m e 已 被 加 密 W e b 服 务 器 返 回 一 个 带 有 加 密 证 书 的 S e r v e r H e l l o ， 这 一 点 是 T L S 1 . 3 与 之 前 版 本 的 不 同 之 处 3 . 示 例 示 例 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / S i x G e n I n c / N o c t i l u c e n t 将 C S 的 代 理 设 为 本 地 的 9 9 9 9 端 口 ， 使 用 夜 光 斗 篷 （ N o c t i l u c e n t   C l o a k ， 详 见 g i t h u b ） 配 合   s h a d o w s o c k s ， 可 以 实 现 域 隐 藏 。 该 示 例 中 ， 利 用 w w w . b i t d e n f e n d e r . c o m 作 为 被 隐 藏 的 域 名 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理