hufrea/byedpi

```markdown ### 实现某些 DPI 绕过方法 该程序是一个本地 SOCKS 代理服务器。 使用示例： ``` ciadpi --disorder 1 --auto=torst --tlsrec 1+s ciadpi --fake -1 --ttl 8 ``` ### 参数说明 ``` -i, --ip Прослушиваемый IP, по умолчанию 0.0.0.0 -p, --port Прослушиваемый порт, по умолчанию 1080 -D, --daemon Запуск в режиме демона Поддерживается только в Linux и BSD системах -w, --pidfile Расположение PID-файла -E, --transparent Запуск в режиме прозрачного прокси, SOCKS работать не будет -c, --max-conn Максимальное количество клиентских подключений, по умолчанию 512 -I, --conn-ip Адрес, к которому будут привязаны исходящие соединения, по умолчанию :: При указании IPv4 адреса запросы на IPv6 будут отклоняться -b, --buf-size Максимальный размер данных, получаемых и отправляемых за один вызов recv/send Размер указывается в байтах, по умолчанию равен 16384 -g, --def-ttl Значение TTL для всех исходящий соединений Может быть полезен для обхода обнаружения нестандартного/уменьшенного TTL -N, --no-domain Отбрасывать запросы, если в качестве адреса указан домен Т.к. резолвинг выполняется синхронно, то он может замедлить или даже заморозить работу -U, --no-udp Не проксировать UDP -F, --tfo Включает TCP Fast Open Если сервер его поддерживает, то первый пакет будет отправлен сразу вместе с SYN Поддерживается только в Linux (4.11+) -A, --auto Автоматический режим Если произошло событие, похожее на блокировку или поломку, то будут применены параметры обхода, следующие за данной опцией Возможные события: torst : Вышло время ожидания или сервер сбросил подключение после первого запроса redirect: HTTP Redirect с Location, домен которого не совпадает с исходящим ssl_err : В ответ на ClientHello не пришел ServerHello или SH содержит некорректный session_id none : Предыдущая группа пропущена, например из-за ограничения по доменам или протоколам -L, --auto-mode <0-3> 0: кешировать IP только если имеется возможность переподключиться 1: кешировать IP также в том случае, если: torst - таймаут/соединение сброшено во время обмена пакетами (т.е. уже после первых данных от сервера) ssl_err - совершился лишь один круг обмена данными (запрос-ответ/запрос-ответ-запрос) 2: сортировать группы по количеству срабатываний триггера, от меньшего к большему 3: 1 и 2 одновременно -u, --cache-ttl Время жизни значения в кеше, по умолчанию 100800 (28 часов) -y, --cache-dump Выгрузить кеш в файл или stdout. Формат: -T, --timeout Таймаут ожидания первого ответа от сервера в секундах В Linux переводится в миллисекунды, поэтому можно указать дробное число -K, --proto Белый список протоколов: tls,http,udp,ipv4 -H, --hosts Ограничить область действия параметров списком доменов Домены должны быть разделены новой строкой или пробелом -j, --ipset Ограничитель по определенным IP/подсетям -V, --pf Ограничитель по портам -R, --round К каким/какому запросу применять запутывание По умолчанию 1, т.е. к первому запросу -s, --split Разбить запрос по указанной позиции Позиция имеет вид offset[:repeats:skip][+flag1[flag2]] Флаги: +s: добавить смещение SNI +h: добавить смещение Host +n: нулевое смещение Дополнительные флаги: +e: конец; +m: середина Примеры: 0+sm - разбить запрос в середине SNI 1:3:5 - разбить по позициям 1, 6 и 11 Ключ можно указывать несколько раз, чтобы разбить запрос по нескольким позициям Если offset отрицательный и не имеет флагов, то к нему прибавляется размер пакета -d, --disorder Подобен --split, но части отправляются в обратном порядке -o, --oob Подобен --split, но часть отсылается как OOB данные -q, --disoob Подобен --disorder, но часть отсылается как OOB данные -f, --fake Подобен --disorder, только перед отправкой первого куска отправляется часть поддельного Количество байт отправляемого из фейка равно рамеру разбиваемой части ! На Windows может работать нестабильно -t, --ttl TTL для поддельного пакета, по умолчанию 8 Необходимо подобрать такое значение, чтобы пакет не дошел до сервера, но был обработан DPI -S, --md5sig Установить опцию TCP MD5 Signature для фейкового пакета Большинство серверов (в основном на Linux) отбрасывают пакеты с данной опцией Поддерживается только в Linux, может быть выключен в некоторых сборках ядра (< 3.9, Android) -O, --fake-offset Сместить начало фейковых данных Смещения с флагами вычисляются относительно оригинального запроса -l, --fake-data Указать свои поддельные пакеты Строка может содержать escape символы (\n,\0,\0x10) -e, --oob-data Байт, отсылаемый вне основного потока, по умолчанию 'a' Можно указать ASCII или escape символ -n, --fake-sni Динамично меняет SNI в фейковом пакете Если размер фейка больше размера запроса, то фейк уменьшается (изменяются размеры Padding, ECH или удаляются некоторые расширения) Символ "?" заменяется на случайную латинскую букву, "#" на цифру, "*" на букву или цифру Можно указывать несколько раз, для каждого запроса будет выбираться случайный SNI из указанных -Q, --fake-tls-mod rand - заполнить случайными данными поля SessionID, Random и KeyExchange orig - использовать в качестве фейка оригинальный ClientHello msize=n - максимальный размер фейка; отрицательное число уменьшает оригинальный размер на -n байт -M, --mod-http Всякие манипуляции с HTTP пакетом, можно комбинировать hcsmix: "Host: name" -> "hOsT: name" dcsmix: "Host: name" -> "Host: NaMe" rmspace: "Host: name" -> "Host:name\t" -r, --tlsrec Разделить ClientHello на отдельные записи по указанному смещению Можно указывать несколько раз -m, --tlsminor Меняет третий байт в TLS записи на указанный -a, --udp-fake Количество фейковых UDP пакетов -Y, --drop-sack Игнорировать SACK, вынуждая ядро переотправить уже доставленные пакеты Поддерживается только в Linux ``` ### 详细说明 `--split` 将请求拆分为多个部分。例如对于 30 字节的请求： - 参数：`--split 3 --split 7` - 发送顺序：1-3, 3-7, 7-30 位置应按升序指定。 `--disorder` 落入 disorder 范围的片段将以 TTL=1 发送，即实际上不会被转发到任何地方。 只有在发送后续片段后，服务器才会通过 SACK 报告丢失，此时系统才知道有片段丢失。 系统必须重新发送上一个包，从而破坏了正常顺序。 - 参数：`--disorder 7` - 发送顺序：7-30, 1-7 上述说明仅适用于 Linux。 在 Windows 中，重传从发生丢失的位置开始（从服务器收到的最大 ACK）： - 参数：`--disorder 7` - 发送顺序：7-30, 1-30 因此建议同时使用 `split`： - 参数：`--split 7 --disorder 23` - 发送顺序：1-7, 23-30, 7-30 实践中推荐： * Linux：`--disorder 1` * Windows：`--split 1+s --disorder 3+s` `--fake` - 参数：`--fake 7` - 发送顺序：1-7 伪造, 7-30 原始, 1-7 原始 第一部分请求的数据将被伪造数据替换。 该部分应通过 DPI，但不应到达服务器。 由于这部分无法到达服务器，操作系统会重新发送它，从而改变顺序，类似于 disorder。 为了让伪造的数据包无法到达服务器，可以使用 `ttl` 和 `md5sig` 选项。 TTL 需要设置为一个值，使数据包能够通过所有 DPI 但无法到达服务器。 在 Linux 中有 `md5sig`。它会设置 TCP MD5 Signature 选项，使服务器无法接受该数据包。 不幸的是，md5sig 并非在所有编译版本中都有效。 在 Windows 中还有另一种避免服务器处理伪造数据的方法。 这是将 `fake` 与 `disorder` 结合： - 参数：`--disorder 1 --fake 7` - 发送顺序：2-7 伪造, 7-30 原始, 1-30 原始 如果伪造数据包到达服务器，它会因为完整重传而被覆盖。 实践中推荐： * Linux：`--fake -1 --md5sig` * Windows：`--disorder 1 --fake -1` `--oob` TCP 可以使用 URG 标志在主数据流之外发送数据，但每个包仅包含 1 字节。 该包中的所有数据都会传递给应用程序，除了最后一个字节，它就是带外（OOB）字节： - 参数：`--oob 3` - 发送：1-4 设置 URG 标志（1-3 为请求数据 + 第 4 字节将被截断），3-30 建议将该字节放置在 SNI 中：`--oob 3+s` `--disoob` 与 `--disorder` 类似，但部分数据通过 OOB 字节发送： - 参数：`--disoob 3` - 发送：3-30, 1-4 设置 URG 标志（1-3 为请求数据 + 将被截断的第 4 字节） 当与 `--fake` 或 `--disorder` 结合使用时，可能会得到一个 OOB 字节位于拆分位置的包： - 参数：`--disoob 3 --disorder 7` - 发送：3-30, 1-8 设置 URG 标志（1-3 + 将被截断的字节 + 4-8） `--tlsrec` 一条 TLS 记录可以拆分为多条，稍作修改头部。 在拆分位置插入新的头部，使请求大小增加 5 字节。 该头部可以放置在 SNI 中间，防止 DPI 正确读取： `--tlsrec 3+s` 虽然 `tlsrec` 和 `oob` 会混淆 DPI，但它们也可能让不支持完整 TCP/TLS 协议栈的中间设备混淆。 因此建议与 `--auto` 一起使用： `--auto=torst --timeout 3 --tlsrec 3+s` 示例中，仅在连接被重置或超时时应用 `tlsrec`，即很可能发生阻塞时。 也可以反过来，在服务器重置连接或丢弃包时取消 tlsrec： `--tlsrec 3+s --auto=torst --timeout 3` `-Y, --drop-sack` 强制内核忽略带有 TCP SACK 扩展的包。 该扩展允许确认单独的数据段。 如果请求的第一部分丢失，而第二部分到达服务器，服务器可以通过此扩展通知客户端。客户端得知第二部分已到达后，只会发送第一部分。 为什么要忽略此扩展？第二个段可能是伪造的。如果它到达服务器而客户端未察觉，客户端会尝试重新发送它。然而该段包含原始数据，会覆盖伪造数据，从而防止协议损坏。 由于快速确认无法工作，这会破坏 `disorder`，并增加重传前的延迟（约 200ms）。 `--auto`, `--hosts` 参数 `auto` 将选项分为若干组。 对每个请求，从左到右依次处理这些组。 首先检查 `auto` 中指定的触发器，然后依次检查 `pf`、`ipset`、`proto` 和 `hosts`。 可以通过该参数同时指定多个选项组。 位于 `--timeout` 之下的参数可以提取到独立组中。 #### 示例： ``` --fake -1 --ttl 10 --auto=ssl_err --fake -1 --ttl 5 ``` 默认使用 `fake` 且 ttl=10，出错时使用 ttl=5 的 `fake` ``` --hosts list.txt --disorder 3 --auto=none ``` 仅对 list.txt 中的域名应用混淆 ``` --hosts list.txt --auto=none --disorder 3 ``` 不对 list.txt 中的域名应用混淆 ``` --auto=torst --hosts list.txt --disorder 3 ``` 默认不执行任何操作，仅在发生阻塞且域名在 list.txt 中时应用 disorder ``` --proto=http,tls --disorder 3 --auto=none ``` 仅混淆 HTTP 和 TLS ``` --proto=http --fake -1 --fake-data=':GET /...' --auto=none --fake -1 ``` 为 HTTP 重写伪造数据包 ### 编译 编译需要： `make`、Linux 下的 `gcc/clang`、Windows 下的 `mingw` * Linux：`make` * Windows：`make windows CC=x86_64-w64-mingw32-gcc` ### Docker 镜像 Docker 镜像发布在 [DockerHub](https://hub.docker.com/r/hufrea/byedpi)。 容器配置示例可在 [dist/docker](dist/docker) 中找到。 ### 关于 DPI 的更多信息和灵感来源 * https://github.com/bol-van/zapret/blob/master/docs/readme.md * https://geneva.cs.umd.edu/papers/geneva_ccs19.pdf * https://habr.com/ru/post/335436 ```

标签：DPI绕过, IP绑定, Linux守护进程, SOCKS代理, TTL操纵, UDP过滤, 二进制发布, 协议绕过, 反检测, 可视化界面, 客户端加密, 开源工具, 数据包操作, 日志审计, 流量伪装, 流量规避, 网络工具, 网络穿透, 网络隐蔽, 请求拦截, 连接限制, 透明代理, 隧道技术