搜索

[494] 2016-11-02_路由追踪程序

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-11-02_路由追踪程序 路 由 追 踪 程 序 Y S Y Y   A r k T e a m   2 0 1 6 - 1 1 - 0 2 一 、 路 由 追 踪 程 序 一 、 路 由 追 踪 程 序 t r a c e r o u t e / t r a c e r t T r a c e r o u t e 是 L i n u x 和 M a c   O S 等 系 统 默 认 提 供 的 路 由 追 踪 小 程 序 ， T r a c e r t 是 W i n d o w s 系 统 默 认 提 供 的 路 由 追 踪 小 程 序 。 二 者 的 功 能 相 同 ， 都 能 探 测 数 据 包 从 源 地 址 到 目 的 地 址 经 过 的 路 由 器 的 I P 地 址 。 T r a c e r o u t e / T r a c e r t 的 实 现 都 借 助 了 T T L ： 通 过 向 目 的 地 址 发 送 一 系 列 的 探 测 包 ， 设 置 探 测 包 的 T T L 初 始 值 分 别 为 1 , 2 , 3 … ， 根 据 返 回 的 超 时 通 知 （ I C M P   T i m e   E x c e e d e d M e s s a g e ） 得 到 源 地 址 与 目 的 地 址 之 间 的 每 一 跳 路 由 信 息 。 虽 然 两 者 输 出 结 果 一 致 ， 但 在 实 现 原 理 上 还 有 着 显 著 的 差 别 。 二 、 二 、 T r a c e r o u t e 实 现 原 理 实 现 原 理 1 .   从 源 地 址 发 出 一 个 U D P 探 测 包 到 目 的 地 址 ， 并 将 T T L 设 置 为 1 ； 2 .   到 达 路 由 器 时 ， 将 T T L 减 1 ； 3 .   当 T T L 变 为 0 时 ， 包 被 丢 弃 ， 路 由 器 向 源 地 址 发 回 一 个 I C M P 超 时 通 知 （ I C M P   T i m e   E x c e e d e d   M e s s a g e ） ， 内 含 发 送 I P 包 的 源 地 址 ， I P 包 的 所 有 内 容 及 路 由 器 的 I P 地 址 ； 4 .   当 源 地 址 收 到 该 I C M P 包 时 ， 显 示 这 一 跳 路 由 信 息 ； 5 .   重 复 1 ～ 5 ， 并 每 次 设 置 T T L 加 1 ； 6 .   直 至 目 标 地 址 收 到 探 测 数 据 包 ， 并 返 回 端 口 不 可 达 通 知 （ I C M P   P o r t   U n r e a c h a b l e ） ； 7 .   当 源 地 址 收 到 I C M P   P o r t   U n r e a c h a b l e 包 时 停 止 t r a c e r o u t e 。 注 ： 注 ： 1 .   L i n u x 和 M a c   O S 等 系 统 使 用 U D P 包 进 行 探 测 ， 目 标 端 口 号 默 认 为 3 3 4 3 4 ， 每 次 探 测 目 标 端 口 号 加 1 。 T r a c e r o u t e   故 意 使 用 了 一 个 大 于   3 0 0 0 0   的 目 标 端 口 号 ， 以 保 证 目 标 地 址 收 到 数 据 包 后 能 够 返 回 一 个 “ 端 口 不 可 达 ” 的   I C M P   报 文 ， 于 是 源 地 址 就 可 将 端 口 不 可 达 报 文 当 作 跟 踪 结 束 的 标 志 。 2 . T r a c e r o u t e 每 跳 默 认 发 送 3 个 探 测 包 （ 发 包 的 数 量 可 通 过 - q 进 行 设 置 ） ， 探 测 包 的 返 回 会 受 到 网 络 情 况 的 影 响 。 如 果 防 火 墙 封 掉 了 I C M P 的 返 回 信 息 ， 那 么 相 应 的 延 时 位 置 会 以 * 显 示 。 如 果 某 台 网 关 阻 塞 或 者 某 台 D N S 出 现 问 题 ， 那 么 相 应 行 的 延 时 会 变 长 。 可 以 加 - n   参 数 来 避 免 D N S 解 析 ， 以 I P 格 式 输 出 数 据 。 3 . 每 个 探 测 包 都 有 唯 一 的 标 识 号 ， 使 得 T r a c e r o u t e 能 够 识 别 返 回 的 包 。 U D P 数 据 包 使 用 递 增 的 目 标 端 口 号 进 行 标 识 。 三 、 三 、 T r a c e r t 实 现 原 理 实 现 原 理
  1 .   从 源 地 址 发 出 一 个 I C M P 请 求 回 显 （ I C M P   E c h o   R e q u e s t ） 数 据 包 到 目 的 地 址 ， 并 将 T T L 设 置 为 1 ； 2 .   到 达 路 由 器 时 ， 将 T T L 减 1 ； 3 .   当 T T L 变 为 0 时 ， 包 被 丢 弃 ， 路 由 器 向 源 地 址 发 回 一 个 I C M P 超 时 通 知 （ I C M P   T i m e   E x c e e d e d   M e s s a g e ） ， 内 含 发 送 I P 包 的 源 地 址 ， I P 包 的 所 有 内 容 及 路 由 器 的 I P 地 址 ； 4 .   当 源 地 址 收 到 该 I C M P 包 时 ， 显 示 这 一 跳 路 由 信 息 ； 5 .   重 复 1 ～ 5 ， 并 每 次 设 置 T T L 加 1 ； 6 .   直 至 目 标 地 址 收 到 探 测 数 据 包 ， 并 返 回 I C M P 回 应 答 复 （ I C M P   E c h o   R e p l y ） ； 7 .   当 源 地 址 收 到 I C M P   E c h o   R e p l y 包 时 停 止 t r a c e r t 。 注 ： 注 ： 1 . W i n d o w s 系 统 使 用 I C M P 请 求 回 显 （ I C M P   E c h o   R e q u e s t ） 数 据 包 进 行 探 测 ， 源 地 址 以 目 的 地 址 返 回 的 I C M P 回 应 答 复 （ I C M P   E c h o   R e p l y ） 作 为 跟 踪 结 束 标 志 。 2 . T r a c e r o u t e 每 跳 默 认 发 送 3 个 探 测 包 。 在 未 能 到 达 路 由 器 或 未 返 回 I C M P 超 时 通 知 的 情 况 下 ， 相 应 的 延 时 位 置 会 以 * 显 示 。 3 . 每 个 探 测 包 都 有 唯 一 的 标 识 号 ， I C M P 数 据 包 使 用 s e q 进 行 标 识 。 四 、 四 、 W i r e s h a r k 抓 包 解 析 抓 包 解 析 本 次 实 验 通 过 追 踪 本 机 到 达 w w w . b a i d u . c o m 所 经 过 的 路 由 信 息 ， 并 使 用 W i r e s h a r k 抓 取 数 据 包 进 行 简 要 分 析 来 验 证 t r a c e r o u t e 和 t r a c e r t 的 实 现 原 理 。 1 . L i n u x /   M a c   O S — — t r a c e r o u t e （ （ 1 ） ） M a c   O S t r a c e r o u t e   w w w . b a i d u . c o m 。   如 图 ， T r a c e r o u t e 能 够 显 示 到 达 目 的 地 址 所 需 的 跳 数 、 经 过 的 路 由 器 的 I P 地 址 、 延 时 、 丢 包 情 况 等 信 息 。 第 一 跳 为
1 0 . 2 0 3 . 4 . 2 2 5 ， 第 二 跳 为 1 0 . 2 . 3 0 . 1 ， 第 三 跳 为 1 0 . 2 . 1 . 1 ； 每 条 记 录 输 出 3 个 延 时 结 果 ， 说 明 源 地 址 每 次 默 认 发 送 三 个 数 据 包 ； 在 1 1 条 记 录 只 有 1 个 延 时 结 果 ， 说 明 源 地 址 只 收 到 了 1 个 I C M P 超 时 通 知 消 息 。   如 图 ， 源 地 址 1 0 . 2 0 3 . 4 . 2 4 4 向 目 的 地 址 1 1 9 . 7 5 . 2 1 8 . 7 0 发 送 U D P 数 据 包 ， 每 跳 默 认 发 送 3 个 ， T T L 设 置 为 1 ； 数 据 包 遇 到 路 由 器 之 后 ， 被 丢 弃 ， 返 回 T i m e   t o   l i v e   e x c e e d e d 超 时 通 知 ， 解 析 出 路 由 器 I P 地 址 1 0 . 2 0 3 . 4 . 2 2 5 。 源 地 址 再 发 数 据 包 ， 设 置 T T L = 2 ， 从 而 解 析 出 第 二 跳 路 由 1 0 . 2 . 3 0 . 1 。 同 理 ， 解 析 出 第 三 跳 路 由 1 0 . 2 . 1 . 1 。 与 终 端 显 示 的 信 息 相 符 。 从 图 中 还 可 以 看 出 ， 数 据 包 目 标 端 口 号 从 3 3 4 3 5 开 始 并 且 每 次 加 1 ， t r a c e r o u t e 能 够 通 过 U D P 数 据 包 递 增 的 目 标 端 口 号 来 唯 一 识 别 返 回 的 包 。   如 图 ， 第 1 1 跳 的 6 1 . 5 1 . 1 1 3 . 2 0 2 路 由 只 返 回 了 一 个 I C M P 超 时 通 知 ， 与 终 端 显 示 的 信 息 相 符 。  
如 图 ， T T L = 3 4 时 ， I C M P 数 据 包 中 T y p e = 3 ( D e s t i n a t i o n   u n r e a c h a b l e ) ， C o d e = 3 ( P o r t   u n r e a c h a b l e ) ， 说 明 目 的 地 址 向 源 地 址 发 送 了 端 口 不 可 达 通 知 （ I C M P   P o r t   U n r e a c h a b l e ） ， 表 示 数 据 包 到 达 目 的 地 址 。 （ （ 2 ） ） L i n u x t r a c e r o u t e   w w w . b a i d u . c o m 。 。
L i n u x 系 统 下 的 抓 包 解 析 与 M a c   O S 类 似 。 2 .   W i n d o w s — — t r a c e r t   t r a c e r t   w w w . b a i d u . c o m 。 。
如 图 ， 第 一 跳 为 1 0 . 8 . 1 6 0 . 1 ， 第 二 跳 为 1 0 . 0 . 1 4 . 1 ， 第 三 跳 为 1 0 . 0 . 4 . 4 1 ； 每 条 记 录 输 出 3 个 延 时 结 果 ， 说 明 源 地 址 每 次 默 认 发 送 三 个 数 据 包 ； 在 第 6 条 记 录 只 有 2 个 延 时 结 果 ， 说 明 源 地 址 只 收 到 了 2 个 I C M P 超 时 通 知 消 息 ； 数 据 包 从 源 地 址 经 过 1 5 跳 之 后 到 达 目 的 地 址 。 如 图 ， 源 地 址 1 0 . 8 . 1 6 9 . 3 2 向 目 的 地 址 2 2 0 . 1 8 1 . 1 1 1 . 1 8 8 发 送 I C M P 请 求 回 显 （ I C M P   E c h o   R e q u e s t ） 数 据 包 ， 每 跳 默 认 发 送 3 个 ， T T L 设 置 为 1 ； 数 据 包 遇 到 路 由 器 之 后 ， 被 丢 弃 ， 返 回 T i m e   t o   l i v e   e x c e e d e d 超 时 通 知 ， 解 析 出 路 由 器 I P 地 址 1 0 . 8 . 1 6 0 . 1 。 源 地 址 再 发 数 据 包 ， 设 置 T T L = 2 ， 从 而 解 析 出 第 二 跳 路 由 1 0 . 0 . 1 4 . 1 和 1 0 . 0 . 1 4 . 5 。 同 理 ， 解 析 出 第 三 跳 路 由 1 0 . 0 . 4 . 4 1 。 与 终 端 显 示 的 信 息 相 符 。 从 图 中 还 可 以 看 出 ， 数 据 包 从 s e q = 1 4 2 开 始 每 次 加 1 ， t r a c e r t 能 够 通 过 s e q 来 唯 一 识 别 返 回 的 包 。 如 图 ， s e q = 1 5 7 的 数 据 包 没 有 得 到 路 由 器 1 7 2 . 1 6 . 7 . 1 的 超 时 通 知 消 息 ， 因 此 第 6 跳 只 有 两 个 延 时 结 果 ， 与 终 端 显 示 的 信 息 相 符 。
如 图 ， T T L = 1 5 时 ， 源 地 址 收 到 了 目 的 地 址 的 I C M P 回 应 答 复 （ I C M P   E c h o   R e p l y ） ， 说 明 源 地 址 经 过 了 1 5 跳 到 达 目 的 地 址 ， 与 终 端 显 示 信 息 相 符 。 五 、 五 、 T h e   G r e a t   C a n n o n 案 例 案 例 2 0 1 5 年 3 月 2 6 日 开 始 ， 因 某 些 众 所 周 知 的 原 因 ， G i t H u b 遭 到 其 网 站 历 史 上 最 大 规 模 D D o S 攻 击 。 瑞 典 网 络 安 全 公 司 N e t r e s e c 通 过 查 看 数 据 包 中 的 T T L 值 断 定 这 是 一 起 中 间 人 攻 击 事 件 。 在 此 过 程 中 ， 他 们 借 助 了 路 由 追 踪 程 序 t r a c e r o u t e / t r a c e r t 的 实 现 原 理 。 首 先 建 立 一 个 正 常 的 连 接 ， 确 保 数 据 包 能 够 到 达 目 标 机 器 。 然 后 依 次 发 送 T T L 值 为 1 , 2 , 3 … 的 H T T P 请 求 。 若 数 据 包 没 有 到 达 中 间 人 设 备 ， 则 不 会 出 现 H T T P 响 应 ； 若 数 据 包 到 达 中 间 人 设 备 ， 则 会 出 现 H T T P 响 应 ， 然 后 只 需 在 出 现 H T T P 响 应 时 ， 查 看 请 求 数 据 包 设 置 初 始 T T L 值 即 可 。 安 全 人 员 根 据 下 图 发 现 中 间 人 设 备 潜 伏 在 1 1 和 1 2 跳 之 间 。 W e b 请 求 中   T T L   值 为 1 1 的 时 候 数 据 包 没 有 响 应 ， 而 T T L 值 为 1 2 的 时 候 ， 返 回 了 正 常 响 应 。   六 、 小 结 六 、 小 结 T r a c e r o u t e / t r a c e r t 路 由 追 踪 程 序 是 用 来 追 踪 数 据 包 到 达 网 络 主 机 所 经 过 的 路 由 信 息 的 重 要 工 具 ， 虽 然 路 由 追 踪 效 果 一 致 ， 但 实 现 原 理 略 有 不 同 ： 前 者 借 助 U D P 协 议 ， 后 者 借 助 I C M P 协 议 。 此 外 ， 利 用 T T L 追 踪 攻 击 主 机 的 位 置 ， 也 为 我 们 提 供 了 新 的 思 路 。 参 考 资 料 参 考 资 料 [ 1 ] h t t p : / / w w w . c n b l o g s . c o m / p e i d a / a r c h i v e / 2 0 1 3 / 0 3 / 0 7 / 2 9 4 7 3 2 6 . h t m l [ 2 ] h t t p : / / w w w . d e a r d a . c o m / i n d e x . p h p / a r c h i v e s / 1 3 6 1
[ 3 ] h t t p s : / / t r a n s l a t e . g o o g l e . c o m / t r a n s l a t e ? h l = z h - C N & s l = e n & u = h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / e n - u s / l i b r a r y / c c 9 4 0 1 2 8 . a s p x & p r e v = s e a r c h [ 4 ] h t t p : / / w w w . f r e e b u f . c o m / n e w s / t o p n e w s / 6 3 1 4 8 . h t m l [ 5 ] h t t p s : / / b l o g . g e s h a . n e t / a r c h i v e s / 4 9 9 / 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理