基于ICMP的木马通信技术研究
计算机木马病毒研究与防范毕业设计
湖北大学高等教育自学考试本科毕业生论文评审表论文题目：计算机木马病毒研究与防范姓名：李宝君专业：计算机应用技术办学点：郧阳师范高等专科学校学生类型：独立本科段(助学班/独立本科段)2014年 12月 18日湖北大学高等教育自学考试办公室印制论文内容摘要目录第一章.木马病毒的概述 (5)1.1木马的的定义 (5)1.2木马的基本特征 (5)1.3木马的传播途径 (6)1.4木马病毒的危害 (6)第二章．木马病毒的现状 (7)2.1特洛伊木马的发展 (7)2.2 木马病毒的种类 (7)第三章.木马病毒的基本原理 (10)4.1木马病毒的加载技术 (10)4.1.1 系统启动自动加载 (10)4.1.2 文件劫持 (10)4.2 木马病毒的隐藏技术 (10)第四章.木马病毒的防范 (12)5.1基于用户的防范措施 (12)5.2基于服务器端的防范措施 (13)5.3加强计算机网络管理 (15)致谢 (16)参考文献 (17)第一章木马病毒的概述1.1木马的的定义木马的全称是“特洛伊木马”，是一种新型的计算机网络病毒程序，是一种基于远程控制的黑客工具，它利用自身具有的植入功能，或依附具有传播功能的病毒，进驻目标机器监听、修改。
窃取文件。
1.2木马的基本特征（1）隐蔽性是其首要的特征当用户执行正常程序时，在难以察觉的情况下，完成危害影虎的操作，具有隐蔽性。
它的隐蔽性主要体现在6个方面：1.不产生图标、2.文件隐藏、3.在专用文件夹中隐藏、4.自动在任务管理其中隐形、5.无声无息的启动、6.伪装成驱动程序及动态链接库（2）它具有自动运行性它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。
（3）木马程序具有欺骗性木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。
木马网络通信特征提取模型的设计与实现
ICMP 反弹式木马采用 ICMP 协议 [3]，把命令或数据封装 在 ICMP 报文中，并设置某些特定的标识符等特征与网络中正 常的 ICMP 报文相区别，由被控端发出 ECHO 请求 (ICMP_ ECHO)，并由木马的控制端进行响应 (ICMP_ECHOREPLY) 并 携带控制指令。如图 1 所示，由于控制端将数据包伪装为 ping 的 回 执 信 息 ，所 以 较 容 易 穿 透 防 火 墙 ，而 且 该 协 议 的 数 据 包 直 接封装在 IP 数据包中，不使用端口号，也较难于发现。
摘 要：由 于木马等窃密型 恶意程序对网 络安全的危害性 日益增加，为了提高网 络入侵检测系 统对木马的检测 效果，研究 分析 了木马的网络通 信形式和特点 ，结 合一种改进的 序列联配算法，设 计并实现了一个 木马网络通信特 征自动提取模 型。 该模 型提高了对木马 通信特征进行 分析的自动化程 度和准确性，实 例测试表明了该 模型的实用性 和有效性。 关键 词：特洛伊木马; 网络通信; 入侵 检测; 序列联配 ; 特征提取 中图 法分类号：TP393.08 文献标识码：A 文章编号：1000-7024 (2010) 20-4382-03
Design and implementation of model for network communications signatures automatic generation of Trojan horses
ICMP协议的应用及分析
ICMP协议的应用及分析ICMP（Internet Control Message Protocol）是一种用于在IP网络中传递控制消息的协议。
它被用于在网络中传输有关网络连接状态、网络错误和性能问题的各种信息。
ICMP协议主要用于网络故障排除和网络性能监测。
以下是ICMP协议的应用和分析。
1. 网络故障排除：ICMP协议的重要应用之一是网络故障排除。
当网络出现故障或连接问题时，可以使用ICMP协议的控制消息来诊断和定位问题。
例如，使用ICMP协议的“ping”命令可以向目标主机发送ICMP Echo Request消息，并等待接收ICMP Echo Reply消息。
如果目标主机成功回复，则表示网络连接正常，否则表示存在连接问题。
2. 网络性能监测：ICMP协议还可以用于监测网络的性能。
通过定期发送ICMP Echo Request消息，并测量对应的ICMP Echo Reply消息的往返时间（RTT），可以估计网络的延迟。
此外，ICMP协议还可以用于测量网络的丢包率，即发送一定数量的ICMP Echo Request消息，然后计算成功接收到ICMP Echo Reply消息的比例。
3. 路由故障检测：ICMP协议的另一个重要应用是路由故障检测。
当网络中的路由器出现故障或发生路由问题时，可以使用ICMP协议的控制消息来检测和报告问题。
例如，ICMP协议的“Traceroute”命令可以通过发送一系列的ICMP Echo Request消息，并在每一跳路由器上观察到对应的ICMP Echo Reply消息，从而确定消息的路径和网络瓶颈。
4. 错误报告和信噪比检查：ICMP协议还可以用于报告和检查网络中的错误。
例如，当封包无法被正确路由或丢失时，ICMP协议可以生成相应的错误消息，并将其返回给源主机。
此外，ICMP协议还可以用于检查信噪比，即通过发送ICMP Echo Request消息并测量响应的RTT，可以判断网络中的延迟和丢包情况。
木马(远程控制)系统的设计与实现
网络安全课设组成员：崔帅200800824114甘春泉200800824126课程设计组员分工如下：崔帅：木马主体程序甘春泉：木马测试、不兼容模块的修改、课程设计报告题目：木马（远程控制）系统的设计与实现1）任务参考同学们在课堂上的讨论，在Windows平台上设计并实现一个木马（远程控制）系统。
2）要求⏹实现木马的基本功能：自动安装、安装后文件删除、进程隐蔽、自动启动、远程控制等；⏹实现杀毒软件等安全防护软件的免杀。
一、木马的定义木马本质上是一种经过伪装的欺骗性程序, 它通过将自身伪装吸引用户下载执行, 从而破坏或窃取使用者的重要文件和资料。
木马程序与一般的病毒不同，它不会自我繁殖，也并不刻意!地去感染其他文件, 它是一种后台控制程序。
它的主要作用是向施种木马者打开被种者电脑的门户，使其可以任意毁坏、窃取被种者的文件，甚至远程操控其电脑。
二、木马的组成一般来说，完整的木马由两部分组成，即服务端Server 和客户端Client，也就是采用所谓的C/S 模式。
如下图2-1所示：图2-1木马的服务端和客户端一个完整的木马系统以下几部分组成:1、硬件部分建立木马连接所必须的硬件实体。
控制端：对服务端进行远程控制的一方。
服务端：被控制端远程控制的一方。
INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
2、软件部分实现远程控制所必须的软件程序。
控制端程序：控制端用以远程控制服务端的程序。
木马程序：潜入服务端内部，获取其操作权限的程序。
木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
3、建立连接的必要元素通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。
控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。
控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
概要介绍ICMPTCP及UDP三种高级扫描技术及原理
概要介绍ICMPTCP及UDP三种高级扫描技术及原理ICMPTCP（简称ICMP over TCP）是一种基于TCP封装的ICMP （Internet Control Message Protocol）扫描技术，UDP（User Datagram Protocol）是一种无连接的传输层协议。
这些高级扫描技术被广泛用于网络安全领域，可用于发现网络中的主机和开放的端口。
ICMPTCP原理：ICMPTCP利用了TCP协议中的已有特性和ICMP协议的灵活性。
它首先创建一个TCP连接，然后将ICMP消息嵌入TCP流中传送给目标主机。
目标主机收到ICMP消息后，会识别出ICMP消息，在其中获取IP头部和ICMP消息的数据，这样就可以扫描目标主机的开放端口。
ICMPTCP扫描技术可以绕过一些基于TCP的防火墙规则和IDS/IPS系统的检测，使得扫描更加隐蔽。
UDP原理：UDP是一种基于无连接的传输层协议，它没有像TCP那样的确认机制，因此适用于实时应用程序和对可靠性要求不高的应用。
UDP扫描技术则利用了UDP协议的特性进行主机和端口扫描。
UDP扫描技术主要分为三种类型：1.UDP扫描：UDP扫描技术通过向目标主机发送UDP数据包，并根据接收到的响应来判断目标主机的端口开放状态。
如果目标主机返回ICMP端口不可达（Destination Unreachable）错误消息，则表示该端口关闭；如果目标主机返回UDP协议没有响应（UDP Packet filtered）错误消息，则表示该端口可能被过滤，防火墙阻止了UDP数据包的传输；如果目标主机返回UDP数据包，说明该端口开放。
2. UDP圣诞树扫描（Christmas Tree Scan）：圣诞树扫描技术发送一个设置了TCP标志位（FIN、URG、PSH等）的数据包到目标主机的UDP端口。
如果目标主机返回ICMP端口不可达错误消息，则表示该端口关闭；如果目标主机没有返回错误消息，则表示该端口开放。
ICMP攻击技术分析
ICMP攻击技术分析ICMP（Internet Control Message Protocol）是一种用于在网络中传递错误消息和操作状态信息的协议。
通常，ICMP用于进行网络故障诊断和错误报告。
但是，由于其设计的一些漏洞和不安全的实现方式，ICMP 也被用于执行攻击。
1. ICMP洪水攻击（ICMP Flood Attack）：攻击者向目标发送大量的ICMP回显请求（ping）消息，使目标设备无法处理所有的请求，从而导致网络堵塞或系统崩溃。
2. Smurf攻击：在Smurf攻击中，攻击者发送一个伪造的ICMP回显请求（ping）消息到广播地址，这个消息的源地址欺骗性地设置为目标的IP地址。
然后，所有收到这个消息的主机都会向目标发送一个回应，这样就会造成目标网络的短时间洪泛，导致带宽被大量消耗或系统崩溃。
3. Ping of Death攻击：在Ping of Death攻击中，攻击者向目标发送一个超过标准大小（65,535字节）的ICMP回显请求消息。
当目标设备尝试处理这个过大的请求时，会导致设备崩溃、重启或变得不可用。
4. ICMP地址掩盖攻击（ICMP Address Mask Spoofing Attack）：在这种攻击中，攻击者发送伪造的ICMP地址掩盖消息给目标主机。
通过使用伪造的源地址，攻击者可以掩盖自己的真实IP地址，从而隐藏自己的身份。
5. ICMP路由发现攻击（ICMP Router Discovery Attack）：攻击者发送ICMP路由发现请求消息到目标网络，然后假扮目标网络的路由器发送响应。
这种攻击可能导致目标主机的路由表被劫持，使其网络数据流量被重定向到攻击者的主机。
为了防御ICMP攻击，可以采取以下措施：1.过滤ICMP流量：部署网络防火墙或入侵检测系统（IDS）以过滤掉异常的ICMP流量，如大量的ICMP回显请求或过大的ICMP消息。
2.源地址验证：使用防火墙或路由器配置源地址验证机制，阻止伪造的ICMP消息进入网络。
木马通信的隐蔽技术
引言木马通常需要利用一定的通信方式进行信息交流（如接收控制者的指令、向控制端传递信息等）。
系统和应用程序一般采用TCP/UDP通信端口的形式与控制端进行通信。
木马一般也是利用TCP/UDP端口与控制端进行通信。
通常情况下，木马进行通信时直接打开一个或几个属于自己的TCP/UDP端口。
早期的木马在系统中运行后都是打开固定的端口，后来的木马在植入时可随机设定通信时打开的端口，具有了一定的随机性。
可是通过端口扫描很容易发现这些可疑的通信端口。
事实上，目前的许多木马检测软件正是通过扫描本地和远程主机系统中打开的已知木马端口进行木马检测的。
木马通信端口成为暴露木马形踪一个很不安全的因素。
为此采用新技术的木马对其通信形式进行了隐蔽和变通，使其很难被端口扫描发现。
2木马通信形式的隐蔽技术木马为隐蔽通信形式所采用的手段有：端口寄生、反弹端口、潜伏技术，嗅探技术。
2.1端口寄生端口寄生指木马寄生在系统中一个已经打开的通信端口，如TCP80端口，木马平时只是监听此端口，遇到特殊的指令才进行解释执行。
此时木马实际上是寄生在系统中已有的系统服务和应用程序之上的，因此，在扫描或查看系统中通信端口时是不会发现异常的。
在Windows9X系统中进行此类操作相对比较简单，但是在WindowsNT/2K系统中实现端口寄生相对比较麻烦。
在控制端与木马进行通信时，如木马所在目标系统有防火墙的保护，控制端向木马发起主动连接就有可能被过滤掉。
2.2反弹端口反弹端口就是木马针对防火墙所采用的技术[1]。
防火墙对于向内的链接进行非常严格的过滤，对于向外的连接比较信任。
与一般的木马相反，反弹端口木马使用主动端口，控制端使用被动端口。
木马定时监测控制端的存在，发现控制端上线，立即主动连接控制端打开的被动端口。
为了隐蔽起见，控制端的被动端口一般开在TCP80。
这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCPUSERIP：1026CONTROLLERIP：80ESTABLISHED这种情况，用户可能误认为是自己在浏览网页。
icmp redirect攻击原理
icmp redirect攻击原理ICMP Redirect攻击原理ICMP（Internet Control Message Protocol）是一种用于在IP网络上进行通信的协议，它可以传递有关网络状态和错误信息。
而ICMP Redirect攻击则是一种利用ICMP协议的安全漏洞进行的攻击手法。
本文将介绍ICMP Redirect攻击的原理及其可能造成的影响。
1. ICMP Redirect攻击的原理ICMP Redirect是一种用于改变数据包路由的机制，它在某些情况下可以告诉源主机修改其路由表，以便将数据包发送到更合适的下一跳路由器。
然而，攻击者可以利用这一机制向目标主机发送伪造的ICMP Redirect消息，欺骗目标主机修改其路由表，将数据包发送到攻击者指定的路由器。
攻击者首先需要在目标主机和目标路由器之间插入自己的设备，成为数据包的中间人。
然后，攻击者发送伪造的ICMP Redirect消息给目标主机，消息中包含攻击者自己的IP地址作为新的下一跳路由器。
目标主机接收到这个消息后，会相信攻击者的欺骗，修改自己的路由表，将数据包发送给攻击者指定的路由器。
2. ICMP Redirect攻击的影响ICMP Redirect攻击可以导致以下几种影响：2.1 路由劫持：攻击者通过修改目标主机的路由表，将数据包发送到攻击者指定的路由器。
这样一来，攻击者可以拦截和篡改目标主机与其他主机之间的通信，甚至进行中间人攻击。
2.2 降低网络性能：由于数据包被重定向到攻击者指定的路由器，可能会增加网络延迟和丢包率，降低网络性能。
2.3 网络瘫痪：如果攻击者将数据包重定向到不存在的路由器或无法正常处理数据包的路由器，可能导致目标主机无法正常访问网络，造成网络瘫痪。
3. 防御措施为了防御ICMP Redirect攻击，可以采取以下几种措施：3.1 网络隔离：将重要的网络设备和主机放置在受控的网络环境中，限制物理接入和网络访问，减少攻击者的机会。
ICMP反弹式木马技术的研究与实现
ｗ ｌ ．Ｔ ｅ ｉ ｔｓ ｆｈｓ ａｅ ｓａｃ ｎ ｎ ｙｉ ＩＭＰｒｃ ｌ ｒ ａ ｃｎｌｇ ， ｎ ｅ ｉ ｄａ ＭＰｒｃ ｌ ｒｊｎｂ ａｓ ｈ ｎ ａｋｏ ｉｐ ｐｒ ｓｏｒ ｅｒｈａ ｄａａ ｓ Ｃ ａ ｏ ｎｔ ｈｏｏｙ ａｄｒ ｚ ｎＩ ａ ｏａ ｙ ｌ ｍａ ｔ ｉｔ ｅ ｌ ｓ ｅｌ Ｔ ｊ ｅ ｌ ａ ｅ Ｃ ｅｌ Ｔ
ｓｒｅ ｅｄｔ Biblioteka ｅｔ ｎ ｅＴｏ ｎｃｅｔ ｅｐｎｅ．Ｓ Ｃ ｅａ ｒｊ ｏ ｃａ ｅ ｎ ａ ａｅ ａ ｔ ｏ ｇ ｎ ｒ・ ｅｖｒ ｎ ｅｒ ｕｓ ａｄｔ ｒ ａ ｌ ｎ ｓｏｓｄ ｏＩＭＰｒｃｌＴｏａ ｃｎｅ ｓ ｌａ ｄｃｎｔ ｖｒｌ ｈ ｕｈｍａｙｆｅ ｓ ｈ ｅ ｈ ｊ ｉ ｒ ｌ ｎ ｌ ｗ ｌ ｒ ｓ ｒ ｉ
这样 即使木 马服务器端所 在主机被发现感染 了木马 ， 也很难
２ ２ 反弹式木马技术 ．
前面 已经提到 ， 统木 马的服务器端通常都是 利用一个 传 Ｔ Ｐ端 口来监 听控制端 的连接（ Ｃ 控制端主动连接服务器端 ） 。
一
旦控制端认证通过 ， 者便可以开始对服务器 端进行非 攻击
法控制（ 操作 ） 。但木 马服务 器和客 户端之 间的这 种通信方 式的隐蔽性很弱 ： 一是 因为用 于监 听的端 １很容 易被发 现 ； ： １ 二是 因为如果木马 的服务器端安装 了防火 墙 ， 防火墙会 对 则
木马的隐蔽性是木马的首要特征是指木马的设计者为了防止木马服务器端被发现会采用多种技术如捆绑技术加壳技术dll远程注入技术等木马隐藏技术来进行隐藏这样即使木马服务器端所在主机被发现感染了木马也很难确定其具体位置
第１卷 第２ ６ 期
Ｖ １ １ ｏ ． ６ Ｎｏ ２
北京 电子科技 学院学报
icmp unreachable attack的原理-概述说明以及解释
icmp unreachable attack的原理-概述说明以及解释1.引言1.1 概述ICMP（Internet Control Message Protocol）是TCP/IP协议簇中的一个重要协议，用于在网络中传递控制消息。
ICMP消息通常用于诊断网络故障、传递状态信息和进行错误处理。
ICMP Unreachable攻击是一种网络攻击手段，利用ICMP协议中的“Destination Unreachable”消息来对目标主机进行拒绝服务攻击。
本文将深入探讨ICMP Unreachable 攻击的原理、影响以及如何有效地防御此类攻击。
1.2 文章结构本文将首先介绍ICMP协议的基本概念和工作原理，包括其作用以及常见的类型。
然后将着重分析ICMP Unreachable攻击的原理，深入探讨攻击者如何利用该漏洞来实施攻击，并探讨其可能带来的影响。
最后，我们将介绍一些常见的防御措施，以帮助读者更好地保护自己的网络安全。
通过本文的阐述，读者将更好地理解ICMP Unreachable攻击的原理，增强网络安全意识，提高网络安全防护能力。
1.3 目的：本文旨在深入探讨ICMP Unreachable攻击的原理，帮助读者更全面地了解该类型的网络攻击手法。
通过对攻击原理的剖析，我们可以更好地理解网络安全风险，并为网络管理员提供有效的防御措施。
同时，本文还旨在引起人们对网络安全的重视，提高网络安全意识，进一步促进网络安全防护工作的落实。
通过本文的研究，我们希望能够为网络安全领域的学术研究和实践应用提供有益的参考和指导。
2.正文2.1 ICMP协议简介ICMP（Internet Control Message Protocol）是一种网络协议，用于在IP网络中传递控制消息和错误信息。
它是在IP层之上的一个协议，主要用于在网络设备之间进行通信和状态监控。
ICMP消息通常由网络设备发送到源设备，以通知源设备有关网络问题或错误的信息。
实验六基于ICMP协议的ping程序设计实验
实验六基于ICMP协议的ping程序设计实验一、实验目的⏹分析ICMP协议报文，理解和掌握ICMP协议报文头各字段的含义和作用；⏹熟悉原始套接字编程；了解网络结构与网络传输底层协议。
二、实验时数：4小时三、实验环境⏹连通的局域网络、若干PC机、Windows XP /2000等操作系统、Visual C等编程软件等。
四、实验要求⏹掌握ICMP协议报文格式和各字段含义；⏹在WINDOWS环境下设计与实现基于ICMP协议的PING程序，该程序可以用于测试网络连通性。
具体要求如下：在命令提示符下输入：PING ***.***.***.***其中***为目的主机的IP地址；不要求支持域名，对是否带有开关变量也不做要求，当不带开关变量时，要求返回4次响应。
返回信息的格式：REPL Y FROM ***.***.***.***或REQUEST TimeOut （无法PING通的情况）五、实验原理1、PING的工作原理ping 程序是用来探测主机到主机之间是否可通信，如果不能ping到某台主机，表明不能和这台主机建立连接。
ping 使用的是ICMP协议，它发送ICMP回送请求消息给目的主机。
ICMP协议规定：目的主机必须返回ICMP回送应答消息给源主机。
如果源主机在一定时间内收到应答，则认为主机可达。
ICMP协议通过IP协议发送的，IP协议是一种无连接的，不可靠的数据包协议。
因此，保证数据送达的工作应该由其他的模块来完成。
其中一个重要的模块就是ICMP(网络控制报文)协议。
当传送IP数据包发生错误，比如主机不可达，路由不可达等等，ICMP协议将会把错误信息封包，然后传送回给主机。
给主机一个处理错误的机会，这也就是为什么说建立在IP层以上的协议是可能做到安全的原因。
ICMP数据包由8bit的错误类型和8bit的代码和16bit的校验和组成。
而前16bit就组成了ICMP所要传递的信息。
PING利用ICMP协议包来侦测另一个主机是否可达。
基于ICMP的木马攻击技术和防范策略探讨
基于Ｉ ＭＰ Ｃ 的木马攻击技术和防范策 略探讨
史 记 张 乐 陆旭飞
（ 中国人民公安大学信息安全工程系， 北京 １２ ２ ） ０６ ３
摘 要 ： 文章 首先介 绍 了ＩＭ 协 议 的原 理以及 木 马的概念 。 ｃＰ 随后介 绍 了 基于ＩＭ 协议 的木 马的攻击原理并提 出了 ｃＰ 针对 于此类木 马 的防护措
码和再取反得到的。 它的作用顾名思义 ， 是为了检验传输 的报文 们可 以利用 了它对用户制造攻击 。
的正确性 。 其数据结构如下：
ｌｐｄ ｆ ｔｕｔ ＣＰＨＡＥ ｙ ｅ ｅ ｓ ｒ ｃ Ｉ Ｍ Ｅ Ｄ Ｒ
，
攻击者主要利用 了ＩＭ 隧道机制， ＣＰ 即通 过ＩＭ 协议穿过防 ＣＰ 火墙对用户进行非法攻击。 这是一种基于ｃ ｓ（ ／ 客户端／ 服务器 ） 模式 的攻击方式 。 攻击者将一个希望在 用户主机上执行 的命令
令之后， 攻击者所得 到的结果或信息会 通过ｅ ｈ ｅ ｌ数据包 ｃｏ ｒｐｙ
ＣＭＰ 协议 的木 马攻击 Ｃ ｎ ｒ ｌ ｅ ｓ ｇ Ｐ ｏｏ ｏ ） ｏ ｔ ｏ Ｍ ｓ ａ ｅ ｒ ｔ ｃ １ 的简称， 它是Ｔ Ｐ Ｉ 协议集 中的 ３ 基于 Ｉ ｃ／Ｐ
一
个子协议 ， 工作于网络层。 其作用主要是在节点与节点之间传
ＩＭ 木 马在攻击用户计算 机时， ＣＰ 其数据包会被 防火墙 的检
用作诊断消息传 输中的逻辑 问题， 它又是怎么 “ 帮助” 马入侵 木 我们的主机 的呢？ Ｉ Ｍ 包含 的类 型域 和 代码 域一起 决定了Ｉ Ｍ 消息的 发 ＣＰ ＣＰ
二、防火墙不允许 的服 络攻击者提供了多种攻击途径。 Ｃ Ｐ ＩＭ 数据 包封装于Ｉ 包的数据 部与外部 的信息交换 必须通 过防火墙 。 Ｐ
ICMP攻击实验
ICMP攻击实验应用场景随着计算机网络的普及和发展，人们利用网络可以方便快捷地进行各种信息处理，例如，网上办公、电子商务、分布式数据处理等。
但网络也存在不容忽视的问题，例如，用户的数据被篡改、合法用户被冒充、通信被中断等。
面临着大量的网络入侵事件，就必须要求在一个开放式的计算机网络物理环境中构造一个封闭的逻辑环境来保障敏感信息和保密数据不受到攻击。
为此迫切需要对网络安全作分类研究，把各种网络安全问题清楚有序地组织起来，从而构建一个合理、安全、高效的网络防御体系。
网络安全保护的核心是如何在网络环境下保证数据本身的秘密性、完整性与操作的正确性、合法性与不可否认性。
而网络攻击的目的正相反，其立足于以各种方式通过网络破坏数据的秘密性和完整性或进行某些非法操作。
网络及其应用的广泛发展，安全威胁呈现出攻击的种类、方法和总体数量越来越多、破坏性和系统恢复难度也越来越大。
这就要求我们对攻击方法有更进一步的研究;对安全策略有更完善的发展，建立起一个全面的、可靠的、高效的安全体系。
DDOS 全名是Distribution Denial of service (分布式拒绝服务攻击)，指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS 攻击，从而成倍地提高拒绝服务攻击的威力。
通常，攻击者使用一个偷窃帐号将DDoS 主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet 上的许多计算机上。
代理程序收到指令时就发动攻击。
利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。
不同方式的ICMP 洪水:1.直接Flood首要条件是带宽够大，然后要求有一个好用的ICMP Flooder，例如AnGryPing，发包速度达到6000‐9000 包/秒(512 Kbps ADSL)，默认是32bytes 的ECHO 报文洪水。
ICMP协议分析实验
ICMP协议分析实验ICMP协议（Internet Control Message Protocol）是一种用于在网络中传输控制消息的协议。
它主要用于网络故障排除、网络测量和网络管理等方面。
本文将进行ICMP协议分析的实验，包括协议介绍、实验目标、实验步骤以及实验结果分析等内容。
一、协议介绍ICMP协议是在IP协议的基础上，用于报告有关网络通信事件的信息。
它通过将控制信息封装在IP数据包中，并传递给发送目标，来提供错误检测和网络诊断功能。
ICMP消息可以用于发送ping请求（ICMP echo request）和接收ping应答（ICMP echo reply）。
二、实验目标本实验的目标是使用ICMP协议进行网络测量，在局域网中测试网络性能。
具体目标如下：1. 测试网络连接的稳定性：通过发送ping请求，查看网络中是否存在丢包或延迟等问题。
2. 测试网络带宽：通过测量ping请求和应答的时间差，计算网络延迟，并以此评估网络带宽。
3. 模拟网络拥塞：通过控制ping请求的发送速率，观察在网络负载过大时，网络的表现和响应时间。
三、实验步骤1.配置网络环境：确保实验所需的网络环境正常，包括正确连接计算机和路由器，并设置正确的IP地址和网关。
2. 打开命令提示符：在Windows系统中，通过按下Win+R键，输入“cmd”并点击“确定”来打开命令提示符。
在Linux系统中，使用Ctrl+Alt+T组合键打开终端。
3. 发送ping请求：在命令提示符中输入“ping 目标IP地址”来发送ICMP echo request命令。
如“ping 192.168.0.1”。
观察ping应答时间、丢包率等信息。
4. 测试网络带宽：通过ping命令的返回时间来评估网络带宽。
使用较大的ping数据包和较频繁的ping请求，以提供更准确的带宽估计。
5. 模拟网络拥塞：通过在命令提示符中连续发送ping请求来模拟网络拥塞。
ICMP攻击技术分析
ICMP攻击技术分析ICMP( Internet Control Message Protocol) 是一种用于在 IP 网络上发送控制消息的协议。
它主要用于网络设备间的通信和诊断。
然而，由于 ICMP 的设计缺陷和滥用，它也被黑客用来进行攻击。
下面将对ICMP 攻击技术进行详细分析。
1. ICMP Flooding:ICMP flooding 是一种常见的 DoS(拒绝服务)攻击。
黑客会发送大量的 ICMP 请求到目标主机，目的是消耗其网络带宽和系统资源。
当目标主机无法处理大量请求时，会导致网络无法正常运行或服务不可用。
2. ICMP Redirect:ICMP Redirect 是一种利用网络路由协议的攻击方法。
黑客会通过发送 ICMP Redirect 消息给目标计算机，欺骗其改变发送数据的路由。
这样一来，黑客可以实施中间人攻击和数据篡改。
3. ICMP Smurf Attack:Smurf 攻击是一种利用 ICMP Echo Reply 消息泛洪目标网络的攻击方法。
黑客会发送大量的 ICMP Echo 请求到广播地址，而广播地址会将请求发送到整个网络中的所有主机。
这会导致网络带宽消耗、网络堵塞和目标主机服务不可用。
4. ICMP Blind Spoofing:ICMP 盲作伪是一种通过解析 ICMP Echo 请求来判断目标主机是否在线的攻击方法。
黑客会发送 ICMP Echo 请求到目标主机，并根据 ICMPEcho Reply 的响应时间来判断目标主机是否在线。
通过多次尝试和分析响应时间，黑客可以确定目标主机的在线时间和使用的操作系统。
5. ICMP Port Unreachable:ICMP Port Unreachable 是一种常见的端口扫描技术。
黑客会发送ICMP Port Unreachable 的消息到目标主机的未开放端口，以便确定目标主机上哪些端口是开放的。
6. ICMP Timestamp Request:ICMP Timestamp Request 是一种攻击方法，黑客通过发送 ICMP Timestamp Request 消息到目标主机，来获取目标主机的系统时间。
网络实验指导ICMP协议的分析与实现
网络实验指导----ICMP协议的分析与实现网络实验指导——ICMP协议的分析与实现一、实验目的本实验旨在深入理解 Internet Control Message Protocol (ICMP) 的工作原理，通过分析 ICMP 报文，了解其在网络通信中的作用，并掌握 ICMP 在网络故障诊断和排除中的应用。
二、实验背景ICMP 是 TCP/IP 协议族中的一种辅助协议，用于传递控制消息，提供错误报告和诊断信息。
当在 IP 网络中遇到问题时，ICMP 可以帮助诊断和解决问题。
因此，对 ICMP 的深入理解对于网络管理员和安全专家来说至关重要。
三、实验工具/环境1.操作系统：Windows 或 Linux2.网络工具：Wireshark3.编程语言：Python（用于编写 ICMP 客户端和服务端程序）四、实验步骤与记录步骤 1：捕获 ICMP 报文1.在实验机器上安装 Wireshark 并启动。
2.通过 Wireshark 捕获 ICMP 报文。
可以在 Wireshark 的过滤器中输入“icmp” 来只显示 ICMP 报文。
3.分析捕获到的 ICMP 报文，观察其结构、字段和用途。
步骤 2：实现 ICMP 客户端和服务端程序1.使用 Python 编写一个简单的 ICMP 客户端程序，发送 ICMP Echo 请求报文到目标 IP 地址。
2.编写一个 ICMP 服务端程序，监听来自客户端的 ICMP Echo 请求，并发送ICMP Echo 回复报文。
3.运行客户端和服务端程序，观察是否能成功实现 ICMP Echo 请求和回复。
步骤 3：利用 ICMP 进行网络故障诊断与排除1.分析网络故障，确定可能的问题所在。
如网络连接中断、无法访问特定网站等。
2.使用 Wireshark 和 Python 编写的 ICMP 客户端程序，进行故障诊断和排除。
3.根据捕获到的 ICMP 报文和程序运行结果，判断故障原因，提出解决方案。
木马实验的实验总结
木马实验的实验总结木马实验是计算机安全领域中经常进行的一种实验，通过模拟木马攻击来测试系统的安全性和对抗能力。
本文将对木马实验进行总结和分析，以便更好地理解木马攻击的原理和防范措施。
木马实验是一种模拟攻击的实验方法，旨在测试系统的安全性。
通过模拟真实的木马攻击行为，可以评估系统的抵抗能力和安全性水平。
实验过程中，攻击者会利用木马程序来入侵目标系统，获取敏感信息或者控制系统。
而被攻击的系统则需要及时发现并阻止这种入侵行为，保障系统的安全。
木马实验的目的是为了测试系统的防御能力。
通过模拟木马攻击，可以检验系统的反病毒、入侵检测和安全防护等功能是否有效。
实验者可以利用各种类型的木马程序，观察系统的反应和应对措施，从而评估系统的安全性能。
如果系统能够及时发现并阻止木马攻击，那么说明系统的安全防护措施是有效的。
木马实验中，攻击者会选择合适的木马程序进行攻击。
木马程序通常隐藏在合法的程序中，具有潜伏性和隐蔽性。
攻击者通过各种途径将木马程序传播到目标系统中，例如通过网络传输、邮件附件或者可移动存储介质等。
一旦木马程序成功运行并取得系统的控制权，攻击者就可以进行各种恶意操作，如窃取个人信息、破坏系统文件或者进行远程控制等。
针对木马攻击，系统需要采取一系列的防范措施。
首先，及时更新操作系统和应用程序的补丁，以修复已知漏洞。
其次，安装可靠的防病毒软件，并定期更新病毒库。
第三，限制系统的访问权限，避免非授权人员对系统进行操作。
第四，加强网络安全防护，设置防火墙、入侵检测系统等。
此外，还可以对系统进行加固，如禁用不必要的服务、设置强密码、定期备份数据等。
在木马实验过程中，需要注意保护系统和数据的安全。
实验者在进行木马攻击时，应确保攻击范围仅限于实验环境，避免对其他系统造成损害。
同时，实验者需要遵守相关法律法规，不得利用木马攻击进行非法活动。
另外，实验完成后，应及时清除木马程序和相关痕迹，以免留下安全隐患。
木马实验是一种测试系统安全性的重要方法。
网络安全实验5-ICMP欺骗(重定向)攻击
受害者
ICMP重定向
默认网关 攻击者
1、基于ICMP重定向的“半中间人”监听
实验过程：
虚拟机构造攻击环境，如图。 注意观察受害者主机中路由表的变化。
工具netwox数据包。
2、基于DNS和ICMP重定向的监听
ICMP报文
查询报文 地址掩码请求和应答
路由器询问和通告
5.1 ICMP攻击类型
ICMP超时攻击
利用ICMP超时消息，攻击防火墙。 发送TTL=n的包，当它到达防火墙时正好TTL=0，当发 送大量的此类包时就可能构成DDOS攻击。
ICMP头部攻击
ICMP包中净荷部分是出错的IP头部，当这里的目的地址与 ICMP包中的源地址不匹配时，数据包出问题。
6.3 实验目的
1、了解ICMP重定向原理和攻击原理； 2、熟悉ICMP重定向攻击的实现过程和危害。
6.4 实验内容
1、基于ICMP重定向的“半中间人”监听 2、基于DNS和ICMP重定向的监听
1、基于ICMP重定向的“半中间人”监听
攻击原理：
攻击者通过伪造ICMP重定向报文欺骗受害者，使得受害者 主机的路由表中增加一条指向攻击者主机的路由，从而攻击 者可以截获受害者发送的报文，但是返回给受害者的报文不 经过攻击者。攻击者只能监听到从一个主机到网关的通信， 因此叫“半中间人”。
5.2 ICMP重定向攻击
ICMP重定向攻击原理
攻击者通过发送ICMP重定向报文可以在受害者 主机路由表中添加一条到达特定主机的路由信息， 使得受害者发往特定主机的数据包被发往攻击者 主机，攻击者进而实施监听、欺骗等攻击行为。 ICMP重定向攻击中，受害者和攻击者处于同一 网络环境中。 核心是欺骗路由表。通过添加特定路由表实施。 特定主机路由优先级高于默认路由。 （能不能修改默认路由表？）
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
该连接指木马的服务端程序监听 ,客户端进行 主动连接的一种通信技术 。服务端首先在目标机器 上开放一个 TCP (或 UDP) 端口 , 并在此端口上监 听 ,然后等待客户端连接 ,在对客户端的连接认证之
后 ,客户端即可与服务端通讯 ,对服务端进行控制操 作 。由于目前防火墙技术的广泛应用 ,客户端对服 务端的连接容易被防火墙发现并报警 。因此该技术 通常为早期木马所采用 。
载 w insock库 ,第 2 步创建 ICM P 原始套接字 ,第 3
1期
林小进等 :基于 ICM P的木马通信技术研究
·83·
步设置 ICM P包的目的地址 ,第 4 步将木马的控制 命令和数据写入 ICM P数据包中 ,第 5 步向服务端 发送 ICM P 数 据包 , 第 6 步接 收从服 务端 返 回 的 ICM P数据包 ,从中获取被控制机器的相关信息 ,之 后再转入第 4步循环进行 。
4 隐蔽通道技术
隐蔽通道是指能让木马进程以违反系统安全策 略的方式传递消息的信息通道 。如果在网络上通信 双方之间建立起一个隐蔽通道 ,它会使得木马的客 户端程序与服务端程序之间可进行任意信息的交 流 。在 TCP / IP协议中有很多协议设计上不是非常 的安全 ,如 TCP, ICM P 等 ,可以被用来建立隐蔽通 道 。隐蔽通道还具有穿越防火墙的特点 ,极大地提 高了双方通信的成功率 。
B a se d o n ICM P
L IN Xiao - jin, Q IAN J iang
( S chool of Inform a tion S cience and Eng ineering, N an jing U n iversity of Technology, N an jing 210009, Ch ina)
术研究 (英文 ) [ J ]. 微电子学与计算机 , 2006, 23 ( 2) :
193 - 197. [ 2 ] 张新宇 ,卿斯汉 ,马恒太. 特洛伊木马隐藏技术研究
[ J ]. 通信学报 , 2004, 25 (7) : 153 - 159. [ 3 ] 夏耐 ,林志强 ,茅兵 ,等. 隐蔽通道发现技术综述 [ J ].
20第09 年1 期2 月
微 处 理 机
M ICROPROCESSORS
No. 1
Feb. , 2009
基于 ICMP的木马通信技术研究
林小进 ,钱 江
(南京工业大学信息科学与工程学院 ,南京 210009)
摘 要 :首先介绍了传统的木马工作原理 ,然后对现有的几种木马通信技术进行了分析介绍 , 最后提出了基于 ICM P协议的通信技术 。它不仅能够实现隐蔽通道 ,而且能穿越防火墙 ,大大提高 了木马两端间通信的成功率 。
3 反向连接技术
反向连接 ,顾名思义 ,与正向连接相反 ,是由客 户端程序监听 ,服务端对客户端进行主动连接的技 术 。这一技术是随着防火墙技术的出现而发展变化 的 。被入侵计算机安装了防火墙之后 ,相当于在其 和外部网络之间设了一层屏障 ,它会严格过滤外部 网络对本地计算机的连接 ,所以一旦客户端程序对 安装了防火墙的服务端计算机尝试连接 ,防火墙就 会发现并立刻报警 。但防火墙也有其弱点 ,即对内 部通往外部的连接疏于防范 。因为本地计算机如果 要上网 ,如 W EB 访问 , HTTP协议要通过 80端口进 行正常工作 ; FTP访问 , FTP协议要通过 21 端口进 行工作 。这就使得防火墙必须对这些端口上的数据 流动放行 。因此采用反向连接技术的木马就应运而
作者简介 :林小进 (1978 - ) ,男 ,江苏扬州人 ,硕士研究生 ,主研方向 :网络安全 。 收稿日期 : 2007 - 09 - 12
·82·
微 处 理 机
2009年
生 ,它采用服务端程序主动连接客户端的技术 ,再配 合以动态插入技术 ,将木马服务端进程插入系统进 程 (如 Exp lorer等 ) ,从而躲过防火墙的拦截 ,成功实 现两端通信 。
Worm s - A Proposed Taxonomy of Software W eapons
[ C ]. Proceedings of the IEEE W orkshop on Information
A ssurance United States M ilitary Academy, W est Point:
其中 ICM P包类型为 echo rep ly,代码为 0,进程 号为当时木马服务器端程序的进程号 ,初始化的校 验和为 0,序列号为 0。向选项数据域中填入木马的 控制命令与数据信息 ,计算校验和并将其重新填入 , 设置时间戳 ,重新设置它的序列号 ,之后即可发送数 据包 。
校验和域在自定义的 ICM P报文中具有重要的 作用 ,可用来检验数据包在网络传输中是否出差错 , 其计算方法为 :将数据以字为单位累加到一个双字 中 ,如果数据长度为奇数 ,最后一个字节将被扩展到 字 ,累加的结果是一个双字 ,最后将这个双字的高 16bit和低 16bit相加后取反 ,便得到了校验和 。
加载 winsock库
↓
创建 ICMP原始套接字
↓
设置 ICMP包目的地址
→↓
|
将木马的控制命令和数
|
据写入 ICMP头部
| |
↓
|
发送 ICMP数据包给
|
服务端
|
↓
| | |
接收服务端返回的 ICM P数据包
| |
图 3 客户端
6 结 束 语
随着计算机技术和网络技术的不断发展 ,网络 攻击事件日益增多 ,而木马越来越成为主要的攻击
程直接处理 ,不通过端口 ,所以就不会占用任何端
口 ,难以被发觉 。同时另一个优点在于可穿透防火
墙 ,目前大部分的防火墙会阻拦外部通向内部的连
接 ,而 ICM P _ECHOREPLY包是用来携带用户进行 p ing操作得到的返回信息 ,所以它往往不会出现在
防火墙的过滤规则中 ,因而可以顺利地穿透防火墙 ,
5 基于 ICM P的通信技术
ICM P ( Internet Control M essage Protocol) , 是因 特网控制报文协议 ,主要用来向 IP (和高层协议 )提
Hale Waihona Puke 供网络层的差错和流量控制情况 ,返回关于网络问
题的诊断信息 。用来测试网络是否通畅的 p ing命
令就是基于该协议中的两种报文进行工作的 ,因此
从而极大的提高了攻击的成功率 。
木马利用 ICM P 进行通讯首先要加载 w insock
库 ,创建 ICM P原始套接字 ,使用原始套接字可以自
已设定 ICM P数据包的格式 ,填写 ICM P数据包的信
息 , ICM P数据报文头部格式如图 1所示 。
0 7 8 15 16 31
关键词 :木马 ;通信技术 ; ICM P协议 中图分类号 : TP309. 5 文献标识码 : A 文章编号 : 1002 - 2279 (2009) 01 - 0081 - 03
R e se a rch o n the Comm un ica tio n Te chno lo gy o f Tro ja n Ho rse
Abstract: First, the working p rincip le of Trojan horse is introduced, then several p resent communication technologies of current Trojan horse are analyzed and introduced. Finally, this paper p resents a m ethod of technology based on ICM P p rotocol. This technology not only can realize the covert channel, but also can penetrate the firewall, greatly enhance communication success ratio between both sides of Trojan horse.
加载 winsock库
↓
创建 ICMP原始套接字
→↓
| |
接收客户端的 ICMP包并 进行相应处理
|
|
↓
| 读取服务端相关信息写入
| |
ICM P数据包中
|
↓
| |
向客户端发送 ICMP包
| |
图 2 服务端
木马客户端程序的工作流程如图 3 所示 ,第 1 步加
手段 ,木马的开发技术也变得更加专业化 。本文介 绍了木马的工作原理及各种通信技术 ,目的是能够 对木马通信技术有更深层次的了解 ,以有效保护计 算机和内部网络免受木马的侵害 。知已知彼 ,方能 百战百胜 。希望此研究能对木马防杀提供一丝帮
助。
参考文献 : [ 1 ] 罗红 ,慕德俊 ,戴冠中 ,等. 端口反弹型木马的通信技
Key words: Trojan horse; Comm unication technology; ICM P
1 引 言
木马 ,全称特洛伊木马 ,是一种基于 C / S (客户 / 服务器 )模式的计算机程序 。它常常会在用户未知 的情况下实施一些用户不期望的行为 。通常木马程 序分为两个部分 :客户端和服务器端 。客户端程序 运行在入侵者计算机上 ,服务器端则位于被入侵者 的计算机上 。木马工作原理是入侵者先将服务端程 序植入目标机器 ,再在自己机器上运行客户端程序 , 接着客户端通过网络与服务端建立起连接 ,有效连 接后入侵者就可以对目标机器进行一些远程操作 。 在此过程中建立起连接显得非常重要 ,因此有必要 对木马的通信技术进行研究 。