ICMP攻击与基于ICMP的路由欺骗技术.doc

ICMP攻击和基于ICMP的路由欺骗技术一、 ICMP简介 ICMP的全称是Internet Control Message Protocol（网间报文控制协议），它是IP不可 分割的一部分，用来提供错误报告。一旦发现各种错误类型就将其返回原主机，我们平 时最常见的ping命令就是基于ICMP的。 　　　　|------------------------------------------------------------- 　　　　|　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　| 　　　　|　　　　　 ------　　 ICMP ECHO request　　 ------　　　　　| 　　　　|　　　　　 |HOST| -----------　|HOST|　　　　　| 　　　　|　　　　　 | A　| -----------------------　| B　|　　　　　| 　　　　|　　　　　 |　　|　 如果存活或者没有过滤　　|　　|　　　　　| 　　　　|　　　　　 ------　 将返回ICMP RCHO REPLY　 ------　　　　　| 　　　　|　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　| 　　　　-------------------------------------------------------------- 这种机制就是我们通常所用的ping命令来检测目标主机是否可以ping到。 　 ICMP的统计信息包含收发的各种类型的ICMP报文的计数以及收发错误报文的计数。 利用show statistics ICMP可以察看各个统计信息。 显示　说明 Message　消息 Errors　错误消息 Destination Unreachable　目标不可到达消息 Time Exceeded　超时消息 Parameter Problems　参数错误消息 Source Quenchs　源抑制消息 Redirecrs　重定向消息 Echos　Echo消息 Echo Replies　Echo 响应消息 Timestamps　时间戳消息 Timestamp Replies　时间戳响应消息 Address Masks　地址掩码请求消息 Address Mask Replies　地址掩码响应消息 二、 ICMP攻击及欺骗技术 1、 ICMP攻击导致拒绝服务（DoS） 　　 服务拒绝攻击企图通过使你的服务计算机崩溃或把它压跨来阻止你提供服务，服 务拒绝攻击是最容易实施的攻击行为。 　　 由于在早期的阶段，路由器对包的最大尺寸都有限制，许多操作系统对TCP/IP栈 的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头 里包含的信息来为有效载荷生成缓冲区，当产生畸形的，声称自己的尺寸超过ICMP上限 的包也就是加载的尺寸超过64K上限时，就会出现内存分配错误，导致TCP/IP堆栈崩溃， 致使接受方当机。这就是所说的ping of death，现在网络上很多号称能够致使系统死 机的软件都是基于这个原理，我们所熟悉的工具Winnuke就是一例。 　　 对路由器而言，向Intel Express Switch或其后的主机发送一畸形的ICMP包可能 导致系统崩。通过本地或远程发送的畸形包能蒙骗服务器。当服务器收到畸形的ICMP包 时，它将继续检查才对，然而它将丢失所有的路由功能，而且不将检查其它连接了。主 要影响Intel Express Switch 500 系列。 　　 另外，Windows也有拒绝服务漏洞，对 Win98 NT4/SP5,6 Win2K都有影响 ，当如 上系统受到非法碎片包包含不合法碎片 ICMP ECHOs (pings)和UDP packets攻击，Wind ows系统会拒绝服务。直至CPU占用率达到100%,最后系统崩溃。（参见原程序） 　　 ICMP重定向提供了一种相当有效的DoS。不象ARP入口，这些特定主机路由入口永 不过期。注意，攻击没有要求必须从局域网内发起，事实可以从广域网上发起。如果子 网所用DNS位于网关外，产生一个到该DNS的错误路由是很容易的， 　　 通过在Pwin98下测试，由ICMP重定向包产生的路由都是掩码为55的 特定主机路由，没有办法产生诸如这样掩码下的网络路由。此外，由ICMP重 定向包产生的路由还是会过期的，会被删除，但耗时很长。许多桌面操作系统线性搜索