观成科技安全研究团队近期发现加密通信工具——Shadow-TLS发布了0.20版本(以下简称Shadow-TLS-V2)。与之前版本相比，Shadow-TLS-V2主要在两个方面做出改进：一是针对客户端转发流量进行混淆处理，将转发信息封装成TLS协议Application Data消息形式，以规避流量检测设备的检测；二是针对Shadow-TLS服务端增加校验，将来自非客户端访问进行重定向，返回可信网站的响应结果，以达到规避主动探测的目的，降低服务端被发现的概率。

阶段1：

由终端向客户端发起连接请求，在TCP载荷中传递请求数据，长度分别为101字节和250字节，共351字节。

阶段2：

客户端与服务端“Shadow” TLS握手后，将终端请求数据封装发出（39.144.93.96是客户端外网IP）。可以看到此时转发数据已加Application Data消息头，协议软件识别为TLS协议Application Data消息。另外，在Application Data消息中，前8字节为客户端运算好的HMAC校验(红框部分)，因此数据载荷总长度为351+8=359字节。