关于TRACERT和TTL

lion(lp) ·

最近看了一些文章，比如利用TTL 判断G*F*W，或者一些奇怪设备的位置，特做一个实验，看一下TTL 及TRACERT 。 TRACERT 大概的原理，就是通过发送不断+1 的TTL（TIME TO LIVE）的ICMP REQUEST到达最终设备，最后由最终设备返回ICMP REPLY（中间经过的设备返回的都是ICMP超时---|||||ICMP TIME EX）实现。 先发一个TRACERT 图

20130128144105_81105.jpg

首先看第一个包

20130128143941_96799.jpg

TTL 为1，然后网关102.1 返回了一个超时如下图：

20130128144209_43363.jpg

TTL+1

20130128144237_83074.jpg

下一个设备返回TTL 超时，这样就能确定了两个设备，如图：

20130128144326_66137.jpg

TTL再+1

20130128144403_98915.jpg

再超时

20130128144421_98502.jpg

最后一个设备（google服务器）TTL 已经是17

20130128144448_97557.jpg

谷歌服务器返回ICMP REPLY

20130128144542_62494.jpg

证明我和GOOGLE 服务器距离17跳。PING GOOGLE  （IP地址变了，但TTL 还是43）

20130128145247_32010.jpg

基本上确定43+17=61  （google服务器的TTL 好像是61：从另一个国外linux PING 和tracert

20130128145815_99902.jpg

54+7=61      

©乌云知识库版权所有 未经许可 禁止转载
收藏

为您推荐了适合您的技术文章:

  1. Winrar4.x的文件欺骗漏洞利用脚本
  2. CoolShell解密游戏的WriteUp
  3. 在SQL注入中使用DNS获取数据
  4. CentOS 6.2下安装基于Suricata + Barnyard 2 + Base 的⼊侵检测系统


30
rehd 2013-03-05 10:22:24

WildPackets OmniPeek你懂得

回复
30
紫梦芊 2013-02-22 12:55:14

工具很熟悉 科来的.

回复
30
pentest 2013-01-29 14:02:06

关那跳肯定需要算

回复
30
lion(lp) 2013-01-29 13:24:28

其实就是看算不算网关那跳了，不过GOOGLE 我觉得，不会改TTL 所以，应该还是 64

回复
30
pentest 2013-01-29 12:24:39

应该是43+16=60/54+6=60 吧？

回复
30
xsser 2013-01-29 11:41:42

一般不会更改ttl的

回复
30
lion(lp) 2013-01-29 11:31:59

@xsser 这个是有可能的，有些设备是可以不让TRACERT 的，通过这样的设备，TRACERT 是看不到的，比如CISCO 的ASA 就可以这么配置。 我也怀疑，GOOGLE 应该不会改成61的，应该是64

回复
30
xsser 2013-01-29 11:16:07

哈哈，Google的服务器肯定不会是61，是不是可以说明在这个前面路由设备的后面实际上还有几层呢

回复
感谢知乎授权页面模版