对ICMP错误消息的处理

15.2对ICMP错误消息的处理

RFC1122中讲到：TCP必须处理IP层递送过来的ICMP错误消息。将它指向触发该错误的连接。

为了允许接收机吧ICMP消息分离出来，在ICMP错误消息中将包含触发该消息的源包信息。因而，接收机可以使用这些信息将触发这条消息的的传输协议实例与ICMP错误匹配。

RFC793和RFC1122中都没有提出任何对接收到的ICMP消息有效性验证的建议。因而，只要ICMP负载中包含了一个实际存在通信实例的信息，就会被相应传输协议的实例进行处理，并执行相应的操作。

因此，对TCP而言，黑客可以发送一个伪造的ICMP消息来攻击主机，只要他能猜出标识该通信实例的四元组，他就能通过ICMP执行各种不同的攻击。

正如[Watson,2004]中讨论的那样，黑客可以通过很多方案获取或猜出标识一个TCP连接的四元组。如果假设黑客知道与被攻击TCP连接相关的两个系统，那么客户端和服务器端的ip地址都能被获取到。进一步说，由于大多数因特网服务使用众所周知端口，只需要猜测客户端使用的端口即可。从理论上说，这意味着黑客至少要发送65535个包对TCP执行基于ICMP的攻击。然而，由于很多系统从所有端口号空间中选择一个子集用于对外连接的端口号，而且也不使用随机的临时端口，因而，在实际中，可以通过更少的包来执行任何这种攻击。