3、可选的头标/值/标志（最主要的是去判断Accept这个字段，在同一个host时候，统计这个Accept是否变化了，一般情况是不会发生变化的，这个我们也可以做一个初步的解析，根据我们所掌握的可能的调制的二进制数字，大概解析一下它这个解析的值的大概的意思，给用户一个提示作用，这个隐蔽信道可能是调制一种啥信息出去，这个不一定是正确，也就是给用户一个提示作用，让用户能够感觉到这个信息确实是在传送隐蔽信息）
4、添加新头标：
这里最主要的识别出那些不是RFC上面的请求与响应字段，一般的http的请求字段有：Authorization，Date，From，If-Modified_Since，MIME-Version，Pragma Referer，User-Agent
响应字段：Date，Location，MIME-Version，Pragma，Server，WWW-Authenticate 对于如果是添加了其他头标，则比较可疑（备注：添加了新头标过后http还是能够正常请求处理的，如果是标准的http软件是不能够进行监听这些隐蔽信息，对于这个添加了新头标的，直接告警，因为正常的HTTP协议是不会搞出这样的不正常的头标的（这个可以依据HTTP协议的规范来，没有的协议头部这个是不正常的，由于HTTP协议本身的特点，它对这个自定义的这些头部是不会干涉的，所以就会对这些自定义的这些信息放行通过），一些隐蔽信道就可以通过这样的一些的增加头标的方式来传送隐蔽信息，如果是没加密的信息直接把这个新头标的信息给出，如果是加密的乱码我们直接提示出这个东西是加密了的（这里就涉
及到了加密与没加密的判断了））
（针对添加了新头标的这种，我们需要做的就是判断，给RFC规定的http的协议类型做对比，如果是在http的协议报头出现了我们不能够识别的协议报头则可以报警处理，并且输出其中的信息，尝试解调出信息的内容）
5、利用连续的空白字符串+制表符进行隐蔽消息的传送
我们在用http的时候，对于其头部标识形如，在这些标识后面还有一个空格符，首部字段名: 空格 字段值 ，由于对于web浏览器看来，这样的一个或者多个空格它是不会有所影响的，这样就为隐蔽信道的实现提供了可能，这样我们需要检测其中的空格符+制表符的多少，正常情况下，这些是不会出现的，如果是异常则有可能在进行隐蔽信息的传输，具体传输如下所示，这里我们也可以调制出它所要表达的意思来，比如说我们要调制信息
Hi,就可以用如下的方式来调制，用这些空格，制表符，与换行符来调制这些值