一、一块深色的布：I2P匿名网络背后的黑暗世界

从攻击者的角度来看，匿名网络是一个理想的隐匿环境。无论是为了隐藏 C2（Command and Control）服务器，还是为了掩盖攻击流量来源，匿名网络都为红队活动提供了天然的掩护。而在这些匿名网络中，I2P 是一个非常有趣且独特的存在。

I2P（Invisible Internet Project）是一个去中心化的匿名网络，它专注于为用户提供点对点的隐私保护。与 Tor 不同，I2P 更加适合在内部构建匿名服务，例如隐藏 HTTP 服务器、文件共享节点和通信平台。对于攻击者来说，I2P 是一个用来搭建隐匿基础设施的强大工具。但要真正掌握它的威力，我们需要了解它的工作机制、流量特征以及如何在实际攻击中应用。

---

二、洞察隐藏：I2P背后的匿名机制

I2P 的核心是基于 “洋葱路由” 设计的双向隧道系统。与 Tor 的单向路由不同，I2P 使用了一种双向通信模型：发送与接收数据时分别使用不同的隧道，从而增强了隐私保护和抗流量分析的能力。

I2P 的关键技术点

  1. 双向隧道：

    2. 每个节点在 I2P 网络上都建立了两种隧道——“入站隧道”和“出站隧道”。数据通过多层加密逐跳传递，只有每一跳的节点才能解密自己负责的那部分数据。

  1. 分布式路由表：

    2. I2P 使用类似 Kademlia 的分布式哈希表（DHT）来定位节点和服务。攻击者可以利用这一特性在网络中创建持久的匿名服务，例如隐藏自己的 C2。

  1. “荧光灯”协议：

    2. 数据传输采用了多种自定义协议（如 I2NP、NTCP、SSU），它们伪装成随机流量以逃避检测。

  1. 内嵌服务：

    2. I2P 支持用户在网络内部直接部署 eepSites（I2P 内部站点）。这对红队来说，等于有了一个隐蔽的攻击平台。

---

三、实验室搭建：打造你的隐匿空间

为了复现 I2P 的使用场景，我们首先需要搭建一个基础实验环境。这不仅有助于理解它的工作原理，也方便后续测试如何利用该网络隐藏攻击流量。

环境准备

  • 操作系统：Ubuntu 或 Kali Linux（攻击机）
  • I2P 路由器：Go-I2P（轻量化实现，适合实验）
  • 工具：curl、nmap、Wireshark（分析流量用）

搭建步骤

安装 Go-I2P

<pre><code class="language-shell"># 安装必要依赖 sudo apt update sudo apt install -y openjdk-11-jre-headless wget unzip

下载 Go-I2P

wget https://github.com/i2p/i2p.i2p/releases/download/i2p-1.9.0/i2pinstall_1.9.0.jar

黑客示意图

安装 I2P

java -jar i2pinstall_1.9.0.jar -console</code></pre>

启动和配置

  1. 启动 I2P 路由器：

    2. <pre><code class="language-shell"> # 启动 I2P 后台服务 ./i2prouter start ` 服务启动后，将在本地监听 http://127.0.0.1:7657 作为控制台。

  1. 配置隧道：

    2. 在控制台中创建一个“入站隧道”和“出站隧道”，将其与本地服务绑定。

---

四、伪装与逃逸：如何隐藏C2服务器

I2P 的匿名特性让它成为隐藏 C2 服务器的绝佳选择。通过在 I2P 网络内部部署 eepSite，攻击者可以让 C2 完全脱离公网，大幅提升检测难度。

构建一个 I2P eepSite

配置 HTTP 服务

在 I2P 中部署 HTTP 服务通常是首选。以下是一个基于 Python 的简单示例：</code></pre>python from http.server import SimpleHTTPRequestHandler, HTTPServer

port = 8080 server_address = ('', port) httpd = HTTPServer(server_address, SimpleHTTPRequestHandler)

print(f"Running eepSite on port {port}") httpd.serve_forever() `

将服务绑定到 I2P 隧道

  1. 打开 I2P 控制台，导航到 “Local Tunnels” 页面。
  2. 新建一个 Server Tunnel，绑定到本地的 HTTP 服务（例如 127.0.0.1:8080）。
  3. I2P 会生成一个 .i2p 域名，例如 example.i2p。

验证服务

使用 I2P 浏览器访问生成的 .i2p 地址，确认 eepSite 是否正常运行。

黑客示意图

流量伪装技巧

I2P 的协议流量天生就很难被深度包检测（DPI）发现，但为了进一步增强隐匿性，可以采取以下措施：

  • 使用混淆工具（如 obfsproxy）对 I2P 流量进行二次加密。
  • 将流量伪装成常见协议，如 HTTPS 或 DNS。

---

五、反侦察技术：如何规避I2P网络中的流量分析

黑客示意图

虽然 I2P 提供了较高的匿名性，但它并非无懈可击。对于一名红队成员来说，了解网络的局限性同样重要，因为这可以帮助我们更好地规避检测。

常见的 I2P 检测方法

  1. 流量指纹分析：

    2. I2P 的协议流量具有特定的特征。例如 NTCP 和 SSU 的握手包大小相对固定，容易被 ML 模型捕捉。

  1. 访问模式分析：

    2. 如果一个节点长时间保持固定的访问模式（例如周期性发送心跳包），可能会暴露它的行为。

  1. DNS 泄露：

    2. eepSite 的域名解析通过 I2P 网络完成，但如果配置不当，可能会导致 DNS 请求泄露到公网。

防御策略

  • 定期更换隧道入口和出口节点。
  • 使用动态的流量生成工具模拟随机行为。
  • 启用多层代理，增加流量混淆难度。

---

六、从攻击到防御：I2P在实际战场中的应用

在实际红队行动中，I2P 的主要应用场景包括：

  1. 隐藏 C2 基础设施：

    2. 通过 I2P 实现完全脱离公网的 C2 通信。

  1. 敏感数据传输：

    2. 使用 I2P 作为中转网络，安全地传输受控数据。

  1. 钓鱼站点伪装：

    2. 将钓鱼页面部署在 eepSite 中，有效规避公网检测。

对于防御者来说，检测和阻止 I2P 流量依然是一个难题，但通过结合流量分析、行为建模和协议标记，我们可以逐步缩小攻击者的隐匿空间。

---

七、一些思考：匿名网络的双刃剑

黑客示意图

I2P 提供了一个深不可测的匿名世界。对于攻击者来说，它是一个隐蔽的工具；而对于防御者来说，理解其机制并制定有效的检测策略，则是另一场斗争。

在使用工具之前，请务必明确自己的目标和底线。毕竟，技术本身是中立的，如何使用它完全取决于我们自己。