4.6--入门知识扫盲，路径追踪与路由误导：Tracert攻击 vs ICMP重定向攻击（包你看一遍全记住）
🕵️♂️ 路径追踪与路由误导：Tracert攻击 vs ICMP重定向攻击
本期知识扫盲部分，给大家介绍网络攻击中经典的tracert攻击和ICMP重定向攻击，内含丰富流程图，让小伙伴看一遍全记住。如果想要更多的网络知识，可以看我最新的文章9–BGP路由黑洞（超万字大解析）：网络世界的“百慕大三角“逃生指南(BGP路由配置实验含路由黑洞,超超超详细实验流程讲解思路和命令行代码！！！）
1. Tracert攻击：网络探针的"回旋镖效应"
🎯 攻击原理图解
⚙️ 技术三要素
- 协议利用：UDP+ICMP组合拳
- 放大效应：1个探测包触发N个响应包
- 隐蔽特性：看似正常的路径探测行为
历史冷知识：
Tracert攻击又名"反向路径洪水"，因类似traceroute工具的逆向操作得名
2. ICMP重定向攻击：路由表的"路标破坏者"
🎭 攻击场景模拟
🛠️ 攻击四部曲
- 监听网络流量
- 伪造ICMP类型5报文
- 指定恶意网关地址
- 持续发送维持路由表更改
华为防御配置：
# 关闭ICMP重定向处理
sys
undo icmp redirect send
undo icmp redirect receive
📊 双雄对比表
| 对比维度 | Tracert攻击 | ICMP重定向攻击 |
|---|---|---|
| 协议层 | 传输层+网络层 | 网络层 |
| 主要利用协议 | UDP+ICMP | ICMP类型5 |
| 攻击目标 | 带宽资源 | 路由路径 |
| 典型影响 | DDoS带宽耗尽 | 中间人攻击 |
| 隐蔽性 | 中（混合合法流量） | 高（利用管理协议） |
| 防御重点 | 限制ICMP错误报文速率 | 禁用重定向功能 |
| 历史著名案例 | 早期ISP网络泛洪攻击 | 企业内网渗透事件 |
🛡️ 综合防御方案
防御技术矩阵
企业级防护配置
# 华为设备组合配置
acl 3000
rule 5 deny icmp-type error # 限制错误报文
#
firewall defend tracert enable
#
interface GigabitEthernet0/0/1
ip verify unicast reverse-path # 启用反向路径检查
🚨 攻击识别特征库
| 检测指标 | Tracert攻击 | ICMP重定向攻击 |
|---|---|---|
| 报文特征 | 连续TTL递增的UDP包 | 类型5代码1的ICMP包 |
| 流量模式 | 突发性ICMP错误报文激增 | 稳定的小流量异常报文 |
| 日志特征 | 同一源IP的TTL超时日志集中 | 路由表异常变更记录 |
| 网络表现 | 出口带宽异常占满 | 特定网段通信延迟增高 |
💡 防御哲学思考
“对抗Tracert攻击的关键在于识别’正常的异常’，而防范ICMP重定向则需要警惕’善意的谎言’。网络安全的本质，就是在协议便利性与风险控制间找到精妙的平衡点。”
防御决策树：提供清晰的安全策略制定路径
📚 趣味知识卡：协议的双面性
Tracert的正邪两面：
- 白帽用途：网络路径诊断
- 黑帽用途：DDoS反射攻击
ICMP重定向的悖论：
- 设计初衷：优化网络路径
- 实际风险：成为路由劫持帮凶
经典语录：
“网络协议就像瑞士军刀，在工程师手中是工具，在黑客手中就成了凶器！”