模拟攻击者利用“域前置”（Domain Fronting）技术逃避审查（重定向、CDN）

前情提要

今年3月份，FireEye公司曾发表过一篇报道：《APT29 Domain Fronting with TOR》，里边描述了一种攻击者经常使用的逃避审查机制的技术 Domain Fronting。本文重点介绍一下“域前置”（Domain Fronting，也被意译为“域名幌子”）技术的基本原理和适用场景，国内在这方面的资料不多，抛砖引玉，欢迎大家交流讨论。

“域前置”技术的工作原理

“域前置”技术是一种审查规避技术，主要用于隐蔽通信中的远程端点。“域前置”发生在应用层，主要适用了HTTPS协议进行通信，通信中的远程端点原本是被禁止的，通过使用“域前置”技术，让检测器误认为是一个其他的合法地址，进而绕过检测。核心思想是在不同的通信层使用了不一样的域名。在一个HTTPS请求中，通信外层使用了一个域名：DNS请求和TLS SNI （Server Name Indication）；而在通信内层，则使用了另一个域名：HTTP Host Header，这个域名由于在HTTPS加密之下，所以对检测器而言是不可见的。如下图所示：