第1天E 02_ICMP协议分析

1、第二章 ICMP协议分析,2 ICMP协议分析,2.1 ICMP简介 2.2 ICMP报文 2.3 ICMP应用 2.4 ICMP攻击,ICMP简介,ICMP是（Internet Control Message Protocol）Internet控制报文协议。 ICMP协议是一种面向无连接的协议，它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递和网络安全具有极其重要的意义。,ICMP的两级封装,2 ICMP协议分析,2.1 ICMP简介 2.2

2、 ICMP报文 2.3 ICMP应用 2.4 ICMP攻击,ICMP数据包类型,IP协议全貌,ICMP数据包类型,ICMP报文的类型和代码字段的值与ICMP报文类型的对应关系,ICMP数据包类型,ICMP报文类型,ICMP数据包类型,ICMP报文类型,ICMP数据包类型,ICMP报文类型,ICMP差错报文的特点,报告IP数据报在传输中的差错是ICMP报文最基本的功能，ICMP差错报文有如下特点： (1) ICMP差错报文都是由路由器发送到源主机的，因为IP数据报中含有源主机的IP地址，报告给源主机是最可行的方案，另外，发出IP数据报的源主机最需要知道数据是否到达目标主机。 (2) ICMP差错

3、报文只提供IP数据报在传输过程中的差错报告，并不规定对各类差错应采取什么样的处理措施。具体对差错的处理，由收到ICMP差错报文的源主机将相应的差错与应用程序联系起来才能进行相应的差错处理。,ICMP差错报文的特点,(3) ICMP差错报文不享受任何优先权，也没有特别的可靠性保证措施，与普通的IP数据报一样进行传输，传输过程中可能被丢失、损坏，甚至被抛弃。 (4) ICMP差错报文是伴随着抛弃出错的IP数据报而产生的。 (5) 当路由器发送一份参数错误等的ICMP差错报文时，ICMP报文数据区始终包含产生ICMP差错报文的IP数据报的头部和其数据区的前8个字节(64位)。,ICMP差错报文的特点

4、,当路由器发送参数错误等的ICMP报文数据字段由两部分组成，一部分是收到的需要进行差错报告的IP数据报的首部，另一部分是IP数据报的数据字段的前8个字节，如图5-3所示。,ICMP差错报文的特点,(6) 在有些情况下，为了防止在网络中产生大量的ICMP差错报文(广播风暴)，影响网络的正常工作，即使发生差错，也不会产生ICMP差错报文，这些情况包括： ICMP报文发生差错。这是为了避免差错报文无休止产生而规定的(但ICMP查询报文可能会产生ICMP差错报文)。 目的地址是广播地址或多播地址(D类地址)的IP数据报。 作为链路层广播的数据报。 不是IP分片的第一片。 源地址不是单个主机的数据报。这

5、就是说，源地址不能为零地址、回送地址、广播地址或多播地址。,差错报告报文,信息不可达报文,网关在以下情况下发出信息不可到达报告 1） 信宿机硬件出现故障或关机； 2） 发送者指定的地址不存在； 3） 网关不知道去往信宿的路径； 信宿不可到达报告的格式,码域值： 0 12,进一步说明信宿不可到达的具体原因 码值 意 义 码值 意义 0 网络不可到达 1 主机不可到达 2 协议不可到达 3 端口不可到达 4 需分片,但DF置位 5 源路由失败 6 信宿网络未知 7 信宿主机未知 8 源主机被隔离 9 与信宿网络的通信被隔离 10 与信宿主机的通信被隔离 11 对请求的服务类型,网络不可到达 12

6、对请求的服务类型,主机不可到达,差错报告报文,信息不可达报文,差错报告报文,互连网寻址是路由器根据本地寻径表进行的；如果寻址出现错误，可能出现routing cycle（循环）; 为了避免报文无限制的在网中循环，IP 协议采用了两种措施： 在数据报头设置TTL域； 对分片数据报采用定时器技术； 报文超时出现时，路由器或信宿立即丢弃该数据报，并使用ICMP超时报文 向信源机发送报告；,超时报文,差错报告报文,1) 参数出错报文报告出错的报文头与错误的报文选项参数 2) 路由器或信宿机在丢弃参数出错的报文时，将向信源机发出参数出错报文； 3） 参数出错报文格式：,0 - 数据报某个参数错，指针域指

7、向出错的字节； 1 - 数据报缺少某个选项，无指针域；,参数出错报文,ICMP控制报文,ICMP控制报文 1拥塞控制与源站抑制报文 当一个路由器接收IP数据报的速度比其处理IP数据报的速度快，或一个路由器传入数据报的速率大于传出数据报的速率时，就会产生拥塞(Congestion)现象。 这时路由器可以通过发送源站抑制(Source Quench)报文来抑制源主机发送IP数据报的速率，避免可能产生的差错。,ICMP控制报文,源站抑制报文的类型字段为4，代码字段只能为0。源站抑制技术进行拥塞控制的方法如下： (1) 当路由器发生拥塞时，便发出ICMP源站抑制报文。拥塞的判别可以用三种方法：一是检查

8、路由器缓存区是否已满；二是给缓存区输出队列设置一个阈值，判断队列中数据报的个数是否超过阈值；三是检测某输入线路的传输率是否过高。 (2) 源主机收到抑制报文后，按一定的速率降低发往目标主机的数据报传输率。 (3) 如果在一定的时间间隔内源主机没有收到抑制报文，便认为拥塞已解除，源主机可以逐渐恢复到原来数据报的流量。,ICMP控制报文,2. 路由控制与重定向报文 假如源主机要向目标主机发送IP数据报，源主机的默认路由是路由器1，则源主机先把IP数据报送到路由器1，再由路由器1进行路由选择。路由器1经过选路后，把IP数据报送到路由器2。 同时路由器1也发现源主机要发送到目标主机的IP数据报以后可以

9、直接发送到路由器2(因为路由器1和路由器2同在一个网络中)，则路由器1向源主机发送一个ICMP重定向报文，告诉它可以直接把IP数据报送到路由器2。这样，就使源主机始终保持着一个动态的、既小且优的路径表。,ICMP控制报文,ICMP重定向例子,ICMP控制报文,重定向优缺点与报文格式 优点：保证主机有一个动态、小而优的寻径表 缺点：只能用于同一网络内的网关与主机之间的路径信息交换而不能用于网关之间的路径信息交换；,码值： 1 - 对主机重定向报文； 2 - 对服务类型和网络的重定向报文 3 - 对服务类型和主机的重定向报文 ICMP差错报告与控制报文是单向传输的报文,请求与应答报文,回送请求与应

10、答报文,1）目的：测试信宿机或路由器是否可以到达； 2）报文格式：,1）标识符与序号用来确定是哪一台主机发出的回应请求； 2）回应请求与应答报文以IP数据报方式在互连网中传输，如果成功接收到应答报文的话，则说明数据传输系统、 IP与 ICMP软件工作正常，信宿机可以到达； 3）TCP/IP实现中，用户的ping命令就是利用回应请求与应答报文测试信宿机是否可以到达；,请求与应答报文,1）目的:同步互连网中各个主机的时钟; 2）方法： 首先利用该报文从其它主机处获得其时钟的当前时间, 根据时戳请求与应答报文接收的时间,计算出两地的往返延迟, 以此数据来同步时钟,因此这种时钟同步能力是有限的; 3）

11、时戳请求与应答报文的格式:,时戳请求与应答报文,请求与应答报文,地址掩码请求与应答报文,1)用于无盘系统在引导过程中获取自己的子网掩码。 2)主机启动时，会广播一个地址掩码请求报文。路由器收到地址掩码请求报文后，回送一个包含本网使用的32位地址掩码的应答报文。,2 ICMP协议分析,2.1 ICMP简介 2.2 ICMP报文 2.3 ICMP应用 2.4 ICMP攻击,ICMP应用,ICMP应用 - Ping,Ping这个单词源自声纳定位，而这个程序的作用也确实如此，它利用ICMP协议包来侦测另一个主机是否可达。原理是用类型码为0的ICMP发请 求，受到请求的主机则用类型码为8的ICMP回应。

12、Ping程序来计算间隔时间，并计算有多少个包被送达。用户就可以判断网络大致的情况。我们可以看到， Ping给出来了传送的时间和TTL(Time To Live:生存时间) 的数据。,ICMP应用 - Tracert,Tracert（Trace Route的缩写）是路由跟踪实用程序，用于确定 IP 数据报访问目标所采取的路径。Tracert 命令用 IP 生存时间 (TTL) 字段和 ICMP 错误消息来确定从一个主机到网络上其他主机的路由。,2 ICMP协议分析,2.1 ICMP简介 2.2 ICMP报文 2.3 ICMP应用 2.4 ICMP安全性,ICMP安全性,ICMP协议对于网络安全具

13、有极其重要的意义。ICMP协议本身的特点决定了它非常容易被用于攻击网络上的路由器和主机。例如，在1999年8月海信集团“悬赏”50万元人民币测试防火墙的过程中，其防火墙遭受到的ICMP攻击达334050次之多，占整个攻击总数的90%以上！可见，ICMP的重要性绝不可以忽视！,Ping Of Death,利用操作系统规定的ICMP数据包最大尺寸不超过64KB这一规定，向主机发起“Ping of Death”（死亡之Ping）攻击。“Ping of Death” 攻击的原理是：如果ICMP数据包的尺寸超过64KB上限时，主机就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使主机死机。（现在的操作系统已经取消了发送ICMP数据包的大小的限制）,应对措施,对于“Ping of Death”攻击，可以采取两种方法进行防范：,ICMP洪水攻击,洪水，顾名思义，是速度极快的，当一个程序发送数据包的速度达到了每秒1000个以上，它的性质就成了洪水产生器，洪水数据是从洪水产生器里出来的，但这样还不够，没有足够的带宽，再猛的洪水也只能像公路塞车那样慢慢移动，成了鸡肋。要做真正的洪水，就需要有一条足够宽的高速公路才可以。,由于ping.exe无法提速，这就需要专门的工具来做洪水了。足够快的数据包速度足够的带宽，这才是洪水。,