【远程取证篇】一文揭秘暗网取证！

原创美美美亚柏科

收录于合集

日前北京顺义区人民法院审理了一起侵犯公民个人信息案件，被告人李某通过暗网非法购买公民个人信息900余万条并出售牟利。

来源：顺义法院网

很多人都听过暗网

似近非远？

不明觉厉？

越是神秘的事物

越能激发人们的好奇心

本期【远程取证篇】技术分享

为大家揭秘暗网！

暗网是什么？

我们所处的互联网其实是一个多层结构，如以下互联网冰山图所示：互联网主要分为两部分：表层网络与深网（含暗网）。

互联网冰山图

表层网络

处于互联网表层，能够通过标准搜索引擎进行访问浏览的网站，如我们经常看到的各类新闻、购物网站和论坛贴吧等，而这部分内容仅为“冰山一角”，约占整个互联网的4%左右。

深网

深网藏在表层网络之下，其中的内容无法通过常规搜索引擎进行访问浏览。比如：我们的微信聊天记录、微博私信记录和邮件信息等内容都属于深网的范畴，生活中我们每时每刻都在和深网打交道。甲的聊天记录对乙来说就是深网，别人的朋友圈对我进行屏蔽，对我来说他的朋友圈就是个深网。其实深网是一个仅针对搜索引擎的概念，表示不能被其抓取到的私有内容。

暗网

暗网是深网的一个子集，它能够被访问，但是需要通过特殊工具。通过加密传输、P2P对等网络、多点中继混淆等技术，为用户提供匿名的互联网信息访问，其最突出的特点就是匿名性。

暗网往往使用特殊加密技术刻意隐藏相关互联网信息使得身份无法被追踪，因此被不法分子广泛运用于网络犯罪，进而对防范新型网络诈骗、危害国家安全等犯罪行为提出了严峻挑战。

如何访问暗网？

暗网识别最直接的方式就是查看域名，站点可以通过“.onion”域名识别。

而暗网的访问无法通过普通的网络进行连通，只能通过特殊路由或I2P（隐形网计划）等网络访问。目前访问暗网使用较为广泛的方式通过特殊浏览器进行。目前有如下几类：

⊱直连：即使用特殊浏览器进行直接访问，通过内部预设的配置直接连接到Tor中继网络从而进行访问暗网。

⊱配置代理：在特殊浏览器中配置代理相关信息，通过代理作为中间跳板连接到Tor中继网络然后进行暗网访问。

⊱网桥：是一种在链路层实现中继，常用于连接两个或多个网络互联设备。通俗说就是把桥的两端连接起来，但是不是所有的流量都能通过，只有目标的MAC地址匹配才行。目前在特殊浏览器中用到的网桥有以下几种：

（1） Obfs4：为了使用Tor创建专用网络路径，用户软件或客户端通过网络上的中继以增量方式构建加密连接电路。电路一次扩展一个跃点，沿途的每个中继只知道哪个中继向它提供数据，以及它向哪个中继提供数据。

（2） Snowflake：是一种可插拔的传输，它使用WebRTC通过临时代理流量，WebRTC是一种具有内置NAT打孔的对等协议。

（3）Meek-azure：一种使用微软azure云服务器作为代理，并且利用“域前置”技术把Tor流量伪装成基于https加密的云服务流量，从而有效抵御网络审查。

域前置（Domain fronting）：又译为域名幌子，是一种隐藏连接真实端点来规避互联网审查的技术。在应用层上运作时，域前置让用户能通过HTTPS连接到被屏蔽的服务，而表面上像在与另一个完全不同的站点通信。

暗网访问拓扑图

暗网访问揭秘

通过上述当中的一种方式我们访问了一个武器买卖的网站，从页面上看与国内买卖普通商品的站点功能是比较相似的，并没有特殊限制。

暗网访问示例仅供了解

从中也能感受到，正是暗网对不法行为的放纵，因此需要我们对其进行更为谨慎的事前防控与更为缜密的事后取证。

总而言之，暗网和普通网站在网页结构上并无本质区别，只是在访问方式上更加隐秘。从取证的角度来看，只要能连通暗网网络，其取证方式与普通网页取证别无二致。

作为网络空间安全

与社会治理领域国家队

美亚柏科致力于维护社会安全与稳定

助力执法部门打击“暗网”犯罪

公司明星产品“网捕手”

可针对暗网进行访问及固证

↓↓↓

网捕手介绍

CN-2420 网捕手网络远程取证系统（简称“网捕手”）是一款针对网站、社交媒体、网页邮箱等的取证、存证及出证一体化产品。可实现页面截图（附带 URL）、屏幕录像、实时哈希计算、生成取证报告等功能，所获取证据文件无缝对接第三方电子数据存证云平台进行哈希值存证，当需司法鉴定报告时，可在线提交申请并由具有法定资质的司法鉴定机构出具司法鉴定报告。