什么是 ICMP（互联网控制消息协议）？

钟智强
钟智强

哪吒网络安全

2026年7月12日 18:12
马来西亚

在小说阅读器读本章

去阅读

分类：网络协议 / DDoS 攻击标签：ICMP Ping Traceroute 网络层 DDoS

摘要：互联网控制消息协议（ICMP）是网络设备用来诊断网络通信问题的网络层协议。本文介绍 ICMP 的用途、工作原理、数据包结构，以及它在 DDoS 攻击中如何被利用。


阅读本文后，你将能够：定义 ICMP；说明 ping 与 traceroute 的工作方式；理解 ICMP 协议如何被用于 DDoS 攻击。

一、什么是互联网控制消息协议（ICMP）？

互联网控制消息协议（Internet Control Message Protocol，简称 ICMP）是一种由网络设备用来诊断网络通信问题的网络层协议。ICMP 主要用于判断数据是否能够及时到达其预定目的地。它通常运行在路由器等网络设备上。

ICMP 对于错误报告和测试至关重要，但它同样可能被用于分布式拒绝服务（DDoS）攻击。

二、ICMP 有什么用途？

错误报告

ICMP 的主要用途是错误报告。当两台设备通过互联网连接时，若有任何数据未能到达其预定目的地，ICMP 会生成错误消息，反馈给发送方设备。

例如，如果某个数据包对于路由器来说过大，路由器会丢弃该数据包，并向数据的原始来源发送一条 ICMP 消息。

网络诊断：ping 与 traceroute

ICMP 的次要用途是执行网络诊断。常用的终端工具 traceroute 和 ping 都通过 ICMP 运行。

traceroute 用于显示两台互联网设备之间的路由路径——即请求在到达目的地之前必须经过的、由相连路由器组成的实际物理路径。从一个路由器到另一个路由器的过程被称为一跳（hop），traceroute 还会报告沿途每一跳所需的时间，这对于确定网络延迟的来源非常有用。

图 1　traceroute 逐跳追踪两台设备之间的路由路径

ping 是 traceroute 的简化版本。ping 会测试两台设备之间连接的速度，并精确报告一个数据包到达目的地并返回发送方设备所需的时间。虽然 ping 不提供关于路由或跳数的数据，但它仍是衡量两台设备之间延迟（latency）的非常有用的指标。执行 ping 时，通常使用 ICMP 的回显请求（echo-request）和回显应答（echo-reply）消息。

图 2　ping 通过回显请求与回显应答测量往返延迟


⚠ 安全提示遗憾的是，网络攻击可能利用这一过程，制造出诸如 ICMP 洪水攻击和死亡之 Ping（ping of death）之类的破坏手段。

三、ICMP 如何工作？

与互联网协议（IP）不同，ICMP 不与诸如 TCP 或 UDP 之类的传输层协议相关联。这使得 ICMP 成为一种无连接协议：一台设备在发送 ICMP 消息之前，无需与另一台设备建立连接。

正常的 IP 流量使用 TCP 发送，这意味着任何两台交换数据的设备都会先进行 TCP 握手，以确保双方都已准备好接收数据。而 ICMP 不会以这种方式建立连接，ICMP 协议也不允许针对设备上的特定端口。

四、什么是 ICMP 数据包？

ICMP 数据包是使用 ICMP 协议的数据包。ICMP 数据包在普通的 IP 头部之后包含一个 ICMP 头部。当路由器或服务器需要发送错误消息时，ICMP 数据包的正文（数据段）始终包含引发该错误的数据包的 IP 头部副本。