Ping O' Death 和 iptables

Question

是否可以编写一个简单的规则来阻止 iptables 的死机？

Answer 1

大多数现代操作系统都不受“死亡 ping”攻击的影响。来自 IPCHAINS HOWTO ( http://www.linux.org/docs/ldp/howto/IPCHAINS-HOWTO-5.html )：

5.3 过滤掉Ping of Death

Linux 机器现在不受著名的 Ping of Death 的影响，它涉及发送一个非法大的 ICMP 数据包，该数据包会溢出接收方 TCP 堆栈中的缓冲区并造成严重破坏。

如果您正在保护可能易受攻击的盒子，您可以简单地阻止 ICMP 片段。普通的 ICMP 数据包不足以要求分片，因此除了大 ping 之外，您不会破坏任何内容。我听说（未经证实的）报告说，某些系统只需要超大 ICMP 数据包的最后一个片段就可以破坏它们，因此不建议只阻止第一个片段。

您可以使用以下内容删除 icmp 片段：

iptables -A FORWARD -p icmp -f -j DROP

但同样，除非您想保护一些非常旧的设备，否则这一切都可能是不必要的。