基于ICMP的网络管理模块

基于ICMP的网络管理模块
ICMP：Internet控制报文协议
主要内容



什么是ICMP ICMP的重要性 应对ICMP攻击 ICMP封包格式 ICMP报文类型 ICMP编程
1 什么是ICMP协议

对TCP/IP协议你一定非常熟悉，但是对ICMP协议可能就不太熟悉了。 ICMP协议工作在网络层，是一个非常重要的协议，它对于网络安全具有 极其重要的意义。 ICMP是“Internet Control Message Protocol”（Internet控制消息协议） 的缩写。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间 传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可 用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于 用户数据的传递起着重要的作用。 我们在网络中经常会使用到ICMP协议，只不过我们觉察不到而已。比如 我们经常使用的用于检查网络通不通的Ping命令，这个“Ping”的过程 实际上就是ICMP协议工作的过程。还有其他的网络命令如跟踪路由的 Tracert命令也是基于ICMP协议的。
4 ICMP封包格式


ICMP经常被认为是IP层的一个组成部分。它传递差错报文以及其 他需要注意的信息。 ICMP报文通常被IP层或更高层协议（TCP或UDP）使用。封装到 IP包中传输。


ICMP报文的正式规范参见RFC792[Posterl1981b]。 ICMP报文的格式如下页图所示。类型字段可以有15个不同的值， 以描述特定类型的ICMP报文。
在Windows 2000 Server中设置ICMP过滤

Windows 2000 Server提供了“路由与远程访问”服务，但是 默认情况下是没有启动的，因此首先要启动它：点击“管理工具” 中的“路由与远程访问”，启动设置向导。在其中选择“手动配 置服务器”项，点击[下一步]按钮。稍等片刻后，系统会提示“路 由和远程访问服务现在已被安装。要开始服务吗？”，点击[是]按 钮启动服务。
ICMP主机与网络不可达差错

当路由器收到一份IP数据报但又不能转发时， 就要发送一份ICMP“主机不可达”差错报文。

ICMP时间戳请求与应答


ICMP时间戳请求允许系统向另一个系统查询当前的 时间。返回的建议值是自午夜开始计算的毫秒数，协 调的统一时间（CoordinatedUniversalTime,UTC） （早期的参考手册认为UTC是格林尼治时间）。 这种ICMP报文的好处是它提供了毫秒级的分辨率， 而利用其他方法从别的主机获取的时间（如某些Unix 系统提供的rdate命令）只能提供秒级的分辨率。由于 返回的时间是从午夜开始计算的，因此调用者必须通 过其他方法获知当时的日期，这是它的一个缺陷。

ICMP的检验和是必需的。
ICMP封包格式
ICMP报文
比特0 类型（0或8） 7 8 15 16 检验和 未使用 数据 比特31
代码（0）
IP包的头部()
IP包的头部( 数据结构)

typedef struct _iphdr { unsigned char h_lenver; //4位首部长度+4位IP版本号 unsigned char tos; //8位服务类型TOS unsigned short total_len; //16位总长度（字节） unsigned short ident; //16位标识 unsigned short frag_and_flags; //3位标志位 unsigned char ttl; //8位生存时间 TTL unsigned char proto; //8位协议 (TCP, UDP 或其他) unsigned short checksum; //16位IP首部校验和 unsigned int sourceIP; //32位源IP地址 unsigned int destIP; //32位目的IP地址 }IP_HEADER;


2 ICMP的重要性

ICMP协议对于网络安全具有极其重要的意义。ICMP协议本身的特点决 定了它非常容易被用于攻击网络上的路由器和主机。 例如：在1999年8月海信集团“悬赏”50万元人民币测试防火墙的过程 中，其防火墙遭受到的ICMP攻击达334050次之多，占整个攻击总数的 90%以上！可见，ICMP的重要性绝不可以忽视！ 比如，可以利用操作系统规定的ICMP数据包最大尺寸不超过64KB这一 规定，向主机发起“Ping of Death”（死亡之Ping）攻击。“Ping of Death” 攻击的原理是：如果ICMP数据包的尺寸超过64KB上限时，主机 就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使主机死机。 此外，向目标主机长时间、连续、大量地发送ICMP数据包，也会最终使 系统瘫痪。大量的ICMP数据包会形成“ICMP风暴”，使得目标主机耗 费大量的CPU资源处理，疲于奔命。
ICMP差错报文对广播分组响应所带来的广播风暴。




类型：标识生成的错误报文，它是ICMP报文 中的第一个字段； 代码：进一步地限定生成ICMP报文。该字段 用来查找产生错误的原因； 校验和：存储了ICMP所使用的校验和值。 未使用：保留字段，供将来使用，起值设为0 数据：包含了所有接受到的数据报的IP报头。 还包含IP数据报中前8个字节的数据；
5 ICMP报文类型

不同类型由报文中的类型字段和代码字段来共同决定。 图中的最后两列表明ICMP报文是一份查询报文还是一份差错报文， 不同报文需要进行区分。 例如，在对ICMP差错报文进行响应时，永远不会生成另一份 ICMP差错报文（如果没有这个限制规则，可能会遇到一个差错产 生另一个差错的情况，而差错再产生差错，这样会无休止地循环 下去）。 当发送一份ICMP差错报文时，报文始终包含IP的首部和产生 ICMP差错报文的IP数据报的前8个字节。这样，接收ICMP差错报 文的模块就会把它与某个特定的协议（根据IP数据报首部中的协 议字段来判断）和用户进程（根据包含在IP数据报前8个字节中的 TCP或UDP报文首部中的TCP或UDP端口号来判断）联系起来。

ICMP重定向的例子

重定向一般用来让具有很少选路信息的主机逐 渐建立更完善的路由表。 ICMP重定向允许TCP/IP主机在进行选路时不 需要具备智能特性，而把所有的智能特性放在 路由器端。

ICMP地址掩码请求与应答


ICMP地址掩码请求用于无盘系统在引导过程中获取自己的子网掩码。 系统广播它的ICMP请求报文（这一过程与无盘系统在引导过程中用 RARP获取IP地址是类似的）。无盘系统获取子网掩码的另一个方法是 BOOTP协议，ICMP地址掩码请求和应答报文的格式如图6-4所示。


5.1不产生ICMP差错报文的情况：

1) ICMP差错报文（ICMP查询报文可能会产生ICMP差错报文）。 2) 目的地址是广播地址或多播地址 5) 的IP数据报。3)作为链路层广播的数据报。
4) 不是IP分片的第一片。
5) 源地址不是单个主机的数据报。这就是说，源地址不能为零地址、 环回地址、广播地址或多播地址。这些规则是为了防止过去允许
类型
0 3 4 5 8 9 10 11 12
描述
回应应答（Ping应答，与类型8的Ping请求一起使用） 目的不可达 源消亡 重定向 回应请求（Ping请求，与类型8的Ping应答一起使用） 路由器公告（与类型10一起使用） 路由器请求（与类型9一起使用） 超时 参数问题
13
14 15
时标请求（与类型14一起使用）
下面仅作选择介绍：

ICMP重定向差错

当IP数据报应该被发送到另一个路由器时，收到数据报的路由器就要 发送ICMP重定向差错报文给IP数据报的发送端。 1)我们假定主机发送一份IP数据报给R1。这种选路决策经常发生，因 为R1是该主机的默认路由。 2)R1收到数据报并且检查它的路由表，发现R2是发送该数据报的下 一站。当它把数据报发送给R2时，R1检测到它正在发送的接口与数 据报到达接口是相同的（即主机和两个路由器所在的LAN）。这样就 给路由器发送重定向报文给原始发送端提供了线索。 3)R1发送一份ICMP重定向报文给主机，告诉它以后把数据报发送给 R2而不是R1。
网络对时


作用： ICMP时间戳请求允许系统向另一个系 统查询当前的时间。 原理：返回的建议值是自午夜开始计算的毫秒 数，协调的统一时间（Coordinated Universal Time, UTC）早期的参考手册认为UTC是格林尼治时 间）。这种ICMP报文的好处是它提供了毫秒 级的分辨率，而利用其他方法从别的主机获取 的时间（如某些Unix系统提供的rdate命令） 只能提供秒级的分辨率。


3 应对ICMP攻击
虽然ICMP协议给黑客以可乘之机，但是ICMP攻击也并非无药 可医。只要在日常网络管理中未雨绸缪，提前做好准备，就可以 有效地避免ICMP攻击造成的损失。 对于“Ping of Death”攻击，可以采取两种方法进行防范：第 一种方法是在路由器上对ICMP数据包进行带宽限制，将ICMP占 用的带宽控制在一定的范围内，这样即使有ICMP攻击，它所占用 的带宽也是非常有限的，对整个网络的影响非常少；第二种方法 就是在主机上设置ICMP数据包的处理规则，最好是设定拒绝所有 的ICMP数据包。 设置ICMP数据包处理规则的方法也有两种，一种是在操作系 统上设置包过滤，另一种是在主机上安装防火墙。具体设置如下：

用途：确定主机是不是存在 原理：发送一个ICMP回显请求到感兴趣的主 机，通常会返回一个信息。除非关闭ICMP响 应。 Ping of death。
ping
TraceRT


作用：查看封包所走过的路径。 原理：发送UDP包到目标主机，先把TTL设成 1，这样到达第1个路由器后封包死掉，由其返 回一个ICMP超时；再次发送，把TTL加1……， 重复过程，直到到达主机。 这样沿途的路由器依次会有ICMP消息传回， 从而得到了封包途径。