通过ICMP技术还可以抵达防火墙后的机器进行攻击和窃听

[lvcjh]

在一些网络协议中，IP源路径选项允许IP数据报告自己选择一条通往目的主机的路径（这是一个非常不好，但是又无可奈何的技术手段，多路径正是网络连接的精髓部分！）。攻击者试图与防火墙后面的一个不可到达的主机A连接，只需在送出的ICMP报文中设置IP源路径选项，使报文有一个目的地址指向防火墙，而最终地址是主机A。当报文到达防火墙时被允许通过，因为它指向防火墙而不是主机A。防火墙的IP层处理该报文的源路径域并被发送到内部网 上，报文就这样到达了不可到达的主机A 。

我认为一般防火墙会把带源路由的数据包丢，掉根本不可能通过防火墙，向各位高手请教

[squiffy]

就是利用ICMP带有组播地址信息，这样会同时对这个组波组内的所有主机发送报文，类似一个DDOS攻击。

[lvcjh]

主机是否处理源数据报是组播地址吗，会不会丢掉

[jiujiejushi]

如果是应用层防火墙就更没戏了。

[squiffy]

你说得就是“源路由”攻击，符合标准的防火墙默认情况就是将这样的数据报丢掉，现在大部分路由器默认的情况也是丢掉这样的数据报。

[lvcjh]

感谢各位支持，我也认为这句语有问题，但我看到很多网页都是怎样说
另外本人也有一个关于ICMP攻击的问题

除了用循环语名去ping一个网络，收到echo request的机器会发echo reply响应测试一个机器
是否在工作，用redirect去攻击一个机器，超过64K的ICMP去攻击一个机器，源抑制进行减速，ICMP还有哪些漏洞，不重复的漏洞每个奖励10分~~~~~~~~~~~

[lvcjh]

ICMP重定向信息来破坏路由机制和提高侦听业务流的能力。
ICMP不可达信息来实现点对点应用的拒绝服务。

ICMP加入/离开多目组信息实现对多用户的拒绝服务。
请问怎么解释这句话

[skt642]

91043关注！