美國服務(wù)器ICMP控制消息協(xié)議英文全稱(chēng)：Internet Control Message Protocol， Internet，是傳輸層的重要協(xié)議。它是 TCP/IP協(xié)議簇的一個(gè)子協(xié)議，用于IP主機、美國服務(wù)器路由器之間傳遞控制消息。今天美聯(lián)科技小編就來(lái)介紹t一下美國服務(wù)器ICMP協(xié)議的漏洞及防御方式。

美國服務(wù)器控制消息是指網(wǎng)絡(luò )通不通、主機是否可達、路由是否可用等網(wǎng)絡(luò )本身的消息，所以許多系統和防火墻并不會(huì )攔截ICMP報文，這給攻擊者帶來(lái)可乘之機。網(wǎng)上有很多針對ICMP的攻擊工具可以很容易達到攻擊目的，其攻擊實(shí)現目標主要為轉向連接攻擊和拒絕服務(wù)。

一、攻擊實(shí)現

1.ICMP轉向連接攻擊

攻擊者主要是使用ICMP【時(shí)間超出】或【目標地址無(wú)法連接】的消息。這兩種ICMP消息都會(huì )導致一臺美國服務(wù)器迅速放棄連接。攻擊只需偽造這些ICMP消息中的一條，并發(fā)送給通信中的兩臺美國服務(wù)器或其中的一臺，就可以利用這種攻擊，接著(zhù)通信連接就會(huì )被切斷。

當其中一臺美國服務(wù)器錯誤地認為信息的目標地址不在本地網(wǎng)絡(luò )中的時(shí)候，網(wǎng)關(guān)通常會(huì )使用ICMP轉向消息。如果攻擊者偽造出一條轉向消息，它就可以導致另外一臺美國服務(wù)器經(jīng)過(guò)攻擊者主機向特定連接發(fā)送數據包。

2.ICMP數據包放大

攻擊者向安全薄弱網(wǎng)絡(luò )所廣插的地址發(fā)送偽造的ICMP響應數據包，然后都向受害美國服務(wù)器系統發(fā)送ICMP響應的答復信息，占用了目標系統的可用帶寬并導致合法通信的服務(wù)拒絕。

3.死Ping攻擊

由于早期路由器對包的最大尺寸都有限制，許多操作系統對 TCP/IP的實(shí)現在ICMP包上都是規定64KB，并且在對包的標題頭進(jìn)行讀取之后，要根據該標題頭里包含的信息來(lái)為有效載荷生成緩沖區，當產(chǎn)生尺寸超過(guò)ICMP上限的包，也就是加載的尺寸超過(guò)64KB上限時(shí)，就會(huì )出現內存分配錯誤，導致 TCP/IP崩潰，致使接收方宕機。

4.ICMP Ping淹沒(méi)攻擊

大量的Ping信息廣播淹沒(méi)了目標美國服務(wù)器的系統，使得它不能夠對合法的通信作出響應。

5.ICMP nuke攻擊

nuke發(fā)送出目標美國服務(wù)器的操作系統無(wú)法處理的信息數據包，從而導致該系統宕機。

6.通過(guò)ICMP進(jìn)行攻擊信息收集

通過(guò)Ping命令來(lái)檢查目標美國服務(wù)器是否存活，依照返回的TTL值判斷目標美國服務(wù)器操作系統。

二、ICMP攻擊的防御方式

1.對ICMP數據包進(jìn)行過(guò)濾

雖然很多美國服務(wù)器防火墻可以對ICMP數據包進(jìn)行過(guò)濾，但對于沒(méi)有安裝防火墻的美國服務(wù)器，可以使用系統自帶的防火墻和安全策略對ICMP進(jìn)行過(guò)濾。

2.修改TTL值

許多入侵者會(huì )通過(guò)Ping目標美國服務(wù)器，用目標返回TTL值來(lái)判斷對方操作系統。既然入侵者相信T TL值所反映出來(lái)的結果，那么只要修改TTL值，入侵者就無(wú)法得知目標美國服務(wù)器操作系統了。

以上就是美國服務(wù)器ICMP協(xié)議的漏洞及防御方式，希望能幫助各位美國服務(wù)器用戶(hù)更好的保障網(wǎng)路安全。

關(guān)注美聯(lián)科技，了解更多IDC資訊！