ICMP隐蔽隧道流量分析

一、ICMP协议概述

ICMP：Internet控制报文协议（internet control message protocol）

因为IP是一种不可靠协议，没有差错控制，所以ICMP是来弥补IP层缺陷的。

ICMP提供网络层的错误诊断、拥塞控制、路径控制、查询服务四大功能项。

ICMP可用于Ping、、Traceroute、路由表动态更新、路径MTU发现、提供发现问题的线 索、服务拒绝（UDP）、作为攻击手段、识别目标操作系统、识别目标上开启的服务 类型、非授权的修改路由表等。

二、ICMP报文格式

ICMP是网络层协议，需要封装IP数据报，才会被传递到下一层。在IP数据报中，协议值字段为1，则表示为ICMP协议。

ICMP报文由一个8字节的首部和可变长度的数据部分组成。虽然对每一种报文类型，首部的一般格式都是不同的，但前4个字节对所有类型都是相同的。

1. 类型（TYPE）：标识ICMP报文类型，占用1字节。
2. 代码（CODE）：标识对应ICMP报文的代码，它与类型字段共同标识ICMP报文的详细类型，占用1字节。
3. 校验和（CHECKSUM）：对整个ICMP数据报文的校验和，以校验ICMP报文在传输过程中是否出现了差错，其计算方法与IP报头中校验和计算方法一致；占用2个字节。

首部的其余部分对每一种类型的报文都是特有的。

三、ICMP报文分类

从类型值来看ICMP报文可以分为两大类：第一类是差错报文，第二类是查询报文

Type	Code	描述	报文类型
0-Echo响应	0	Echo响应报文	查询
3-目的不可达	0	目标网络不可达报文	差错
	1	目标主机不可达报文	差错
	2	目标协议不可达报文	差错