什么是互聯(lián)網(wǎng)控制消息協(xié)議（ICMP）？

互聯(lián)網(wǎng)控制消息協(xié)議 (ICMP) 是網(wǎng)絡設備用來診斷網(wǎng)絡通信問題的網(wǎng)絡層協(xié)議。ICMP 主要用于確定數(shù)據(jù)是否及時到達其預期的目的地。通常，ICMP 協(xié)議用于網(wǎng)絡設備，例如路由器。ICMP 對于錯誤報告和測試至關重要，但它也可用于分布式拒絕服務 (DDoS) 攻擊。

ICMP 的用途是什么？

ICMP 的主要目的是報告錯誤。當兩個設備通過互聯(lián)網(wǎng)連接時，ICMP 會生成錯誤以與發(fā)送設備共享，以防任何數(shù)據(jù)未到達其預期目的地。例如，如果數(shù)據(jù)包對于路由器來說太大，路由器將丟棄該數(shù)據(jù)包并將 ICMP 消息發(fā)送回數(shù)據(jù)的原始源。

ICMP 協(xié)議的第二個用途是執(zhí)行網(wǎng)絡診斷；常用的終端實用程序 traceroute 和 ping 都使用 ICMP 運行。Traceroute 實用程序用于顯示兩個互聯(lián)網(wǎng)設備之間的路由路徑。路由路徑是請求到達目的地之前必須經(jīng)過的連接路由器的實際物理路徑。一個路由器與另一個路由器之間的旅程稱為“躍點”，跟蹤路由還報告沿途每個躍點所需的時間。這對于確定網(wǎng)絡延遲來源可能很有用。

ping 實用程序是 traceroute 的簡化版本。ping 將測試兩個設備之間的連接速度，并準確報告數(shù)據(jù)包到達其目的地并返回發(fā)送者設備所需的時間。盡管 ping 不提供有關路由或躍點的數(shù)據(jù)，但它仍然是衡量兩個設備之間延遲的有用指標。ICMP 回顯請求和回顯回復消息通常用于執(zhí)行 ping。

不幸的是，網(wǎng)絡攻擊可以利用這個過程，制造破壞手段，例如 ICMP 洪水攻擊和死亡之 ping 攻擊。

ICMP 如何運作？

與互聯(lián)網(wǎng)協(xié)議 (IP) 不同，ICMP 不與 TCP 或 UDP 等傳輸層協(xié)議相關聯(lián)。這使得 ICMP 成為無連接協(xié)議：一個設備在發(fā)送 ICMP 消息之前不需要打開與另一個設備的連接。正常的 IP 流量使用 TCP 發(fā)送，這意味著任何兩個交換數(shù)據(jù)的設備都將首先執(zhí)行 TCP 握手，以確保兩個設備都準備好接收數(shù)據(jù)。ICMP 不會以這種方式打開連接。 ICMP 協(xié)議也不允許針對設備上的特定端口。

在 DDoS 攻擊中如何使用 ICMP？

ICMP 洪水攻擊

ping 洪水攻擊或 ICMP 洪水攻擊是指攻擊者試圖用 ICMP 回顯請求數(shù)據(jù)包淹沒目標設備。目標必須處理和響應每個數(shù)據(jù)包，這會消耗其計算資源，最終導致合法用戶無法接收服務。

ICMP 洪水攻擊：

死亡之 Ping 攻擊

死亡之 Ping 攻擊是指攻擊者向目標機器發(fā)送大于數(shù)據(jù)包最大允許大小的 ping，導致機器死機或崩潰。數(shù)據(jù)包在到達其目標的途中被分段，但當目標將數(shù)據(jù)包重新組裝成其超出最大值的原始大小時，數(shù)據(jù)包的大小會導致緩沖區(qū)溢出。

如今，死亡之 Ping 攻擊基本上已成過去。但是，較舊的網(wǎng)絡設備仍然可能受到它的影響。

Smurf 攻擊

在 Smurf 攻擊中，攻擊者發(fā)送帶有欺騙性源 IP 地址的 ICMP 數(shù)據(jù)包。網(wǎng)絡設備回復數(shù)據(jù)包，將回復發(fā)送到欺騙性 IP 并用多余的 ICMP 數(shù)據(jù)包淹沒受害者。就像“死亡之 Ping”一樣，如今的 Smurf 攻擊只能針對舊設備。

ICMP 不是第 3 層 DDoS 攻擊中使用的唯一網(wǎng)絡層協(xié)議。例如，攻擊者過去也使用過 GRE 數(shù)據(jù)包。

通常，網(wǎng)絡層 DDoS 攻擊針對網(wǎng)絡設備和基礎設施，而應用程序?qū)?DDoS 攻擊則針對 Web 資產(chǎn)。