通过Cloudflare实现域名伪装

关于"域名伪装"的定义争议

从红队视角来看，域名伪装意味着将恶意网站的请求隐藏在看似指向无害站点的请求中。技术层面可描述为：将网络层建立与应用层虚拟主机请求解耦。维基百科将其定义为通过混淆真实请求域名来规避封锁的技术。

在Twitter讨论中，安全专家Nick认为使用ESNI（后文详述）与经典域名伪装存在差异。尽管存在术语争议，本文将坚持使用该术语。

技术验证过程

HTTP基础验证

通过cURL演示基础HTTP域名伪装：

1
2


$ curl -s -H $'Host: frontmecf.vuln-demo.com' http://cloudflare.com
<p>Vuln Demo site fronted by Cloudflare</p>

HTTPS挑战与SNI限制

尝试HTTPS时遭遇403禁止访问：

1
2


$ curl -s -H $'Host: frontmecf.vuln-demo.com' https://cloudflare.com
<html><title>403 Forbidden</title>...

通过Wireshark分析发现Cloudflare会校验SNI(Server Name Indication)字段与Host头是否匹配。

OpenSSL突破方案

使用OpenSSL强制匹配SNI与Host头：

1
2


$ (cat get_digininja.org;sleep 5) | openssl s_client -connect www.cloudflare.com:443 \
-servername digininja.org.uk

成功获取目标站点内容，但SNI字段仍以明文暴露。

ESNI加密方案实战

技术背景

ESNI(Encrypted SNI)作为TLS 1.3的扩展功能，可加密SNI字段。Cloudflare是ESNI的主要推动者。

实施步骤

编译支持ESNI的OpenSSL分支（Stephen Farrell实现版）
获取Cloudflare的ESNI资源记录：

1

ESNIRR=`dig +short txt _esni.www.cloudflare.com | sed -e 's/"//g'`

发起带ESNI的请求：

1
2
3
4


$ (cat get_digininja.org;sleep 5) | /path/to/openssl s_client \
-CApath /etc/ssl/certs/ -tls1_3 -connect www.cloudflare.com:443 \
-esni digininja.org.uk -esnirr $ESNIRR -esni_strict \
-servername www.cloudflare.com

Wireshark抓包显示SNI字段成功加密（0xFFCE扩展）。

安全影响

防御方不能信任DNS查询和SNI主机名
可在监控日志中植入虚假标记
该技术因隐私保护需求将长期存在

技术结论

通过组合ESNI和自定义Host头，实现在"良性"HTTPS请求中隐藏"恶意"请求。ESNI的隐私保护特性使该技术具有持久性。

通过Cloudflare实现域名伪装(ESNI技术解析)

本文详细解析了如何利用Cloudflare CDN和ESNI(加密SNI)技术实现HTTPS流量中的域名伪装，包括技术原理验证、OpenSSL实战及Wireshark抓包分析，揭示了TLS 1.3环境下新型流量隐藏技术。