Aposemat 团队测试发现，恶意软件可利用 IPv6 协议头中鲜少被检查的字段，在正常流量掩护下将敏感数据传出网络。实验证实，通过流标签字段配合压缩编码，仅需 15 个数据包、约 2 秒即可跨互联网传出明文密钥，且过程极难被常规抓包分析发现。
IPv6teal：利用 20 位流标签字段隐写
IPv6teal 由发送端与接收端脚本组成，核心机制是向 IPv6 包头的 Flow Label 字段写入自定义比特。该字段固定 20 位，原本用于标识包序列，取值变化不影响路由转发，因此成为隐蔽存储的理想位置。为提升吞吐，工具先对载荷做 GZIP 压缩，再按魔数标记分帧：起始魔数、结束魔数及长度信息均嵌入流标签。实测向公网目标传输字符串 "THISISASECRET"，完整流程包含 15 个 IPv6 包，耗时约 2 秒。抓包可见包头其余字段均为合法值，仅流标签呈现非零模式，若无专用解码逻辑极难关联到数据窃取。
IPv6DNSExfil：借 DNS over IPv6 隧道传输
另一工具 IPv6DNSExfil 采用不同路径，将待窃数据编码进 DNS 查询名称，经 IPv6 网络发往受控权威服务器。该方式复用合法 DNS 协议，流量外观与普通解析无异，可绕过多数基于端口或协议的出站拦截。原文未给出具体包量、延迟或带宽数据，但指出其同样利用 IPv6 部署初期防护薄弱的窗口期，配合域名生成算法可进一步对抗域名黑名单。
对运维与网络工程师的启示
IPv6 头部保留字段与扩展头机制为隐蔽通道提供了天然载体，传统仅检查 IPv4 或仅做五元组匹配的防泄漏系统将失效。建议在边界部署深度包检测，重点解析 Flow Label、Hop-by-Hop 选项及 DNS over IPv6 流量；同时启用流量基线学习，对异常流标签分布、高频短查询 DNS 触发告警。原文未给出具体检测规则或开源签名，团队需自行构建针对性特征库。
原文: APNIC Blog（2020-12-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog