（8.3）【网络协议中的数据隐藏】延迟包修改、协议中的数据隐藏

最新推荐文章于 2024-07-18 13:53:24 发布

黑色地带（崛起）

最新推荐文章于 2024-07-18 13:53:24 发布

阅读量602

点赞数

分类专栏： # 数据隐藏文章标签：网络协议网络

本文链接：https://blog.csdn.net/qq_53079406/article/details/125127385

版权

数据隐藏专栏收录该内容

29 篇文章 18 订阅

订阅专栏

一、延迟包修改方法

1.1、数据隐藏方法：

这个方法充分利用了RTP包作为核心元素偶尔会发生延时、失序或者丢失的特性。

1.2、利用：

（1）在发送数据流之前先系统地从数据流提取出特定数据包，故意让这些数据包不能按时发送到接收方。

（2）接收数据包的应用程序，不管是VoIP还是音频播放器，都会自动填充这些空白，以补充延时的数据包。

RTP延迟包修改方法

1.3、优点：

因为大多数RTP报文都只包含几微秒的语音，听语音对话甚至音乐流时很难察觉到其中有填充内容。

一旦将报文从数据流中提取出来，数据隐藏应用程序就会在整个有效载荷区域中嵌入隐藏消息片段，然后再把报文放回到数据流中（但是会有几秒钟的延迟）。数据包到达目的地时（已有明显延迟），接收应用程序就会丢弃这些数据包，并永不使用，因为延迟而导致的空白区域已经填充过了。然而，VoIP的侦听应用程序会识别并提取延迟包，进而恢复有效载荷，重构其中的原始秘密信息。

二、IP 层数据隐藏， TTL 字段

2.1、概述：

OSI模型的每层协议几乎都有嵌入数据的可能

在这就选择IP包路由的主力(IP层）作为研究对象，IP数据包是UDP和TCP报文的主要组成部分

从标准IP报文头字段布局中，可以看到IP报文头定义了20个字节,这20个字节没有可选值，但都有各自的特殊用途

eg：指定源地址和目标地址、定义服务类型、校验和或者下层协议。

还有个有趣的字段就是8 位(1个字节）的TTL(T ime to live, 存活时间）字段。

IP协议

2.2、TTL字段：

分析可行性：

因为IP是个很“尽最大努力” 的协议。也就是说，IP层会尽它的最大努力把报文发送到最终目的地，因此就出现了所谓的报文生命周期机制，以便在报文无法送达目的地的情况下丢弃该报文。IP报文在路由器间穿梭，不断寻找到达目的地的路径。它每经过一个路由器，TTL值就减1, 当TTL值变为0时，就丢弃该报文。这个机制使IP报文不会持续循环传输，进而造成网络拥塞。

如今，网络路由十分智能，大多数报文从源地址到达目的地址通常只需经过几跳。虽然尚无针对典型IP报文路由跳数的确切统计数据，美国本土的网络流量中平均报文跳数为8 ~ 15, 比TTL允许的最大值255小得多，因此除非目标不可达，否则在报文到达目的地前几乎不可能耗尽生存时间(TTL)。

利用：

所以我们可以用TTL值的前两位来隐藏数据，而不会影响报文传输。嵌入数据的报文格式如下，我们将所有报文的默认TTL值定为3F（十六进制），即63跳，剩余的前两位则用来嵌入隐藏数据。

通过分割TTL字段来隐藏数据

2.3、TTL字段隐藏数据：

示例

用在IP流中隐藏单词“ HIDE”

过程：

（1）将每个字符转换成十六进制的ASCII码值，比如，H = 48。

（2）再转换成二进制，每2位分成一组，这些两位组将会分别嵌入到各个报文的TTL值的前两位中。

（3）TTL值的低6位值默认为3F, 即xxllllll。其中xx将被替换为两位组。替换完成后就形成了一个新的IP报文序列（共16个IP包），然后就可以传递隐藏信息"HIDE"了

TTL数据隐藏计划的详细信息

2.4、总结：

通过这种方法发送1MB的隐藏文件可能会有些不可思议，因为每个IP 报文只能嵌入1/4 个字节，那么要隐藏1MB 的数据就需要大约4百万个报文。但是，要知道流媒体传输过程需要大量的报文，比如，一小时的流媒体（音乐或视频流）传输，你知道其中会有多少个IP 报文吗？

三、协议中的数据隐藏分析

3.1、概述：

如果从调查取证的角度分析协议，我们则需要使用网络协议分析工具或嗅探器， Wireshark 就是个不错的工具。如果你怀疑网络协议中嵌入了数据，那么就可以用Wireshark 抓取两个通信实体间的RTP 报文。然后，通过分析报文载荷区域的头部信息就可以检测到隐藏信息。这种方法听起来可能不太现实，但实际上， Wireshark 还有很强大的搜索和过滤功能，而且报文头格式是很规律的，稍微花点功夫就可以检测到可疑的报文。

如果要检测延迟报文中的数据隐藏，就需要先找到延迟报文的序列号，将报文根据时间戳排序，然后写一个简单的python 脚本来识别延迟超过几秒的报文。如果你很熟悉SNORT 或其他入侵检测工具，可以采用一些策略和触发条件来持续监控网络通信，进而发现异常行为。

3.2、Wireshark

简介：

Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是截取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进

下载（官网）：

Wireshark · Go Deep.https://www.wireshark.org/

使用：