ICMP是“Internet Control Message Protocol”(Internet控制消息協(xié)議)的縮寫。它是TCP/IP協(xié)議族的一個子協(xié)議，用于在IP主機(jī)、路由器之間傳遞控制消息?？刂葡⑹侵妇W(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等網(wǎng)絡(luò)本身的消息。這些控制消息雖然并不傳輸用戶數(shù)據(jù)，但是對于用戶數(shù)據(jù)的傳遞起著重要的作用。

?

在網(wǎng)絡(luò)中經(jīng)常會使用到ICMP協(xié)議，只不過察覺不到而已。比如經(jīng)常使用的用于檢查網(wǎng)絡(luò)通不通的Ping命令，這個“ping”的過程實際上就是ICMP協(xié)議工作的過程。還有其他的網(wǎng)絡(luò)命令，如跟蹤路由的Tracert命令也是基于ICMP協(xié)議的。

?

ICMP協(xié)議對于網(wǎng)絡(luò)安全具有極其重要的意義。ICMP協(xié)議本身的特點決定了它非常容易被用于攻擊網(wǎng)絡(luò)上的路由器和主機(jī)。例如，在1999年8月某公司“懸賞”50萬元測試防火墻的過程中，其防火墻遭受到ICMP攻擊達(dá)334050次之多，占整個攻擊總數(shù)的90%以上?？梢奍CMP的重要性絕不可以忽視。

?

比如，可以利用操作系統(tǒng)規(guī)定的ICMP數(shù)據(jù)包最大尺寸不超過64KB這一規(guī)定，向主機(jī)發(fā)起“Ping of Death”(死亡之Ping)攻擊?！癙ing of Death”攻擊的原理是：如果ICMP數(shù)據(jù)包的尺寸超過64KB上限時，主機(jī)就會出現(xiàn)內(nèi)存分配錯誤，導(dǎo)致TCP/IP堆棧崩潰，致使主機(jī)死機(jī)。

此外，向目標(biāo)主機(jī)長時間、連續(xù)、大量地發(fā)送ICMP數(shù)據(jù)包，也會最終使系統(tǒng)癱瘓。大量的ICMP數(shù)據(jù)包會形成“ICMP風(fēng)暴”，使得目標(biāo)主機(jī)耗費大量的CPU資源處理，疲于死機(jī)。

?

ping.exe的原理是，向指定的IP地址發(fā)送一定長度的數(shù)據(jù)包，按照約定，若指定IP地址存在的話，會返回同樣大小的數(shù)據(jù)包，當(dāng)然，若在特定的時間內(nèi)沒有返回，就是“超時”，就認(rèn)為指定的IP地址不存在。由于ping使用的是ICMP協(xié)議，有些防火墻軟件會屏蔽ICMP協(xié)議所以有時候ping的結(jié)果只能做為參考，ping不通并不一定說明對方IP不存在。

?

ping命令是一個非常有用的網(wǎng)絡(luò)命令，大家常用它來測試網(wǎng)絡(luò)連通情況。但同時它也是一把雙刃劍，別人使用ping命令能探測到你計算機(jī)上很多敏感的信息，造成不安全。為了安全，防止ping的方法很多，比如防火墻，又比如創(chuàng)建一個禁止所有計算機(jī)ping本機(jī)IP地址的安全策略。

?

由于ping使用的是ICMP協(xié)議，有些防火墻軟件會屏蔽掉ICMP協(xié)議。IPSec安全策略是如何“防ping”的？其原理是通過新建一個IPSec策略過濾本機(jī)所有的ICMP數(shù)據(jù)包。這樣確實可以有效地“防ping”，但同時也會留下后遺癥。因為ping命令和ICMP協(xié)議有著密切的關(guān)系。

?

在ICMP協(xié)議應(yīng)用中包含有11種報文格式，其中ping命令就是利用ICMP協(xié)議中的“Echo Request”報文進(jìn)行工作的。但I(xiàn)PSec安全策略防ping時采用格殺勿論的方法，把所有的ICMP報文全部過濾了，特別是很所有用的其他格式的報文也同時被過濾了。因此在某些特殊應(yīng)用的局域網(wǎng)環(huán)境中，容易出現(xiàn)數(shù)據(jù)包丟失現(xiàn)象，影響用戶正常辦公。因此建議使用防火墻。

感謝您的閱讀，若是想要了解更多服務(wù)器技術(shù)干貨，關(guān)注我主頁更精彩