网管必备高级路由跟踪工具Firewalk -电脑资料

顾夕分享2019-04-02 07:29:21 次阅读

网管必备高级路由跟踪工具Firewalk

2003年nmap-hackers邮件列表中发起了最佳安全工具的评选活动，1854个用户参与了此次活动，每个用户最多可以选择8个最佳工具，这次评选出的最佳安全工具为75个（结果在http://www.insecure.org/ ），

网管必备高级路由跟踪工具Firewalk

。这次评选出来的75个最佳安全工具在网络安全领域都是一些很有代表性的软件。Firwalk也在其中排名34位，是网管员应当掌握的安全工具。

Firewalk使用类似traceroute的技术来分析IP包的响应，从而测定网关的访问控制列表和绘制网络图的工具。Firewalk使用类似于路由跟踪(traceroute-like)的IP数据包分析方法，来测定一个特殊的数据包是否能够从攻击者的主机传送到位于数据包过滤设备后的目标主机。这种技术能够用于探测网关上打开(‘open’)或允许通过(‘pass through’)的端口。更进一步地，它能够测定带有各种控制信息的数据包是否能通过给定网关。要理解这种技术的工作原理，首先理解路由跟踪(traceroute)是如何工作的。

Traceroute的基本工作原理是发送UDP或ICMP echo数据包到目标主机，同时在每轮（缺省是三个数据包）成功的探测后将IP包头中的TTL（Time To Live，生存期）域递增1。如果路由跟踪使用UDP数据包，则目标端口在每个数据包中都递增1。IP数据包头的TTL域用于限制数据包在网络中传输的生存期，其值在每台路由器转发数据包前减1。如果TTL为0或更小，则路由器会向源主机回送一个ICMP错误消息(time to live exceeded in transit)数据包。这样源主机就能够知道数据包在哪台路由器上过期。通过将TTL从开始时设置为1，且依次递增1，并监视ICMP响应信息来获得主机间的所有路由器（这里假设数据包均未被过滤或丢失）。为了确保能够从最终的目标主机获得正确的响应（ICMP port unreachable或ICMP echo reply），traceroute或者使用极少被其它程序使用的高端UDP端口，或者使用ping数据包。

traceroute（路由跟踪）工作在IP层（网络层），其上的任何传输协议（UDP、TCP和ICMP）均能被使用。Traceroute的这个特性使得其能利用任何位于IP层上层的协议。如果我们试图探测位于防火墙后的主机，而到达该防火墙的数据包被ACL所禁止，则该数据包会（在大多数情况下）被丢弃。通过这种探测，我们能够确定该路由上的最后一台网关（如防火墙）。如果我们再使用其它不同类型的traceroute探测，并得到正常响应时，说明了两点：

1）该防火墙允许这种类型的网络通信通过；

2）探测到位于该防火墙后的一台主机。如果以这些结果为依据，我们会知道防火墙的过滤规则是基于通信类型的。这就是firewalk的基本原理。

Firewalk是一种利用上述技术的网络审核工具，也就是说它是一个高级的traceroute工具，