通过Cloudflare实现域名伪装(ESNI技术详解)

原创于 2025-08-18 11:05:18 发布 · 307 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #域名伪装 #ESNI #TLS 1.3 #人工智能 #web安全 #安全

通过Cloudflare实现域名伪装

术语定义争议

从红队视角看，"域名伪装"意味着将恶意网站请求隐藏在看似无害的请求中。技术层面可描述为：将网络层建立与应用层虚拟主机请求解耦。维基百科定义其为通过混淆真实请求域名来规避拦截的技术。

在Twitter讨论中，Nick认为使用ESNI（加密SNI）与传统域名伪装存在差异。虽然技术实现不同，但最终效果相似——都能隐藏真实请求目标。

HTTP环境下的验证

通过cURL演示基础HTTP请求伪装：

$ curl -s -H $'Host: frontmecf.vuln-demo.com' http://cloudflare.com
<p>Vuln Demo site fronted by Cloudflare</p>

实验设置：

将digininja.org.uk域名完全迁移至Cloudflare
添加vuln-demo.com域名但保持"Pending Nameserver Update"状态

HTTPS挑战与SNI检测

HTTPS请求失败示例：

$ curl -s -H $'Host: frontmecf.vuln-demo.com' https://cloudflare.com
<html><title>403 Forbidden</title>...

原因分析：Cloudflare会同时校验SNI字段和Host头。SNI（Server Name Indication）在TLS握手阶段发送，用于服务器选择正确证书。

OpenSSL深度探索

通过定制SNI字段绕过检测：

$ (cat get_digininja.org;sleep 5) | openssl s_client -connect www.cloudflare.com:443 \
-servername digininja.org.uk

成功返回目标站点内容，但SNI字段仍以明文暴露请求域名。

ESNI加密方案实战

使用修改版OpenSSL实现加密SNI：

编译Stephen Farrell的ESNI分支
获取Cloudflare的ESNI RR记录：

ESNIRR=`dig +short txt _esni.www.cloudflare.com | sed -e 's/"//g'`

建立加密连接：

$ (cat get_digininja.org;sleep 5) | ./openssl s_client \
-CApath /etc/ssl/certs/ -tls1_3 -connect www.cloudflare.com:443 \
-esni digininja.org.uk -esnirr $ESNIRR -servername www.cloudflare.com

Wireshark抓包验证显示SNI信息已被加密（扩展类型0xFFCE），且可任意设置伪装SNI值（如"8=====D"）。

防御视角启示

监控系统不能仅依赖DNS查询和SNI字段进行安全判断，攻击者可完全控制这些表面信息。ESNI作为TLS 1.3的隐私增强特性，将持续提供这种隐蔽通信能力。

更多精彩内容请关注我的个人公众号公众号（办公AI智能小助手）
公众号二维码
外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传