很多网络管理扫描器会生成特定的ping包。包括ISS扫描器，WhatsUp监视器等。这在扫描器的有效载荷中可见。许多防火墙并不记录这些，因此你需要一些嗅探器捕捉它们或使用入侵检测系统(IDS)标记它们。
记住，阻挡ping进入并不意味着Hacker不能扫描你的网络。有许多方法可以代替。例如，TCP ACK扫描越来越流行。它们通常能穿透防火墙而引起目标系统不正常的反应。
发送到广播地址(如x.x.x.0或x.x.x.255)的ping可能在你的网络中用于smurf放大。
(五) Type = 11 (Time Exceeded In Transit)
这一般不会是Hacker或Cracker的攻击
1) Type = 11, Code = 0 (TTL Exceeded In Transit)
这可能有许多事情引起。如果有人从你的站点traceroute到Internet，你会看到许多来自路由器的TTL增加的包。这就是traceroute的工作原理：强迫路由器生成TTL增加的信息来发现路由器。
防火墙管理员看到这种情况的原因是Internet上发生路由循环。路由器Flapping(持续变换路由器)是一个常见的问题，常会导致循环。这意味着当一个IP包朝目的地前进时，这个包被一个路由器错误引导至一个它曾经通过的路由器。如果路由器在包经过的时候把TTL域减一，这个包只好循环运动。实际上当TTL值为0时它被丢弃。
造成这种情况的另一个原因是距离。许多机器(Windows)的默认TTL值是127或更低。路由器也常常会把TTL值减去大于1的值，以便反应诸如电话拨号或跨洋连接的慢速连接。因此，可能由于初始TTL值太小，而使站点无法到达。此外，一些Hacker/Cracker也会使用这种办法使站点无法到达。
2) Type = 11, Code = 1 (Fragment Reassembly Time Exceeded)
当发送分割成片断的IP报文时，发送者并不接收所有片断。通常，大多数TCP/IP通讯甚至不分割片断。你看到这种情况必定是采用了分割片断而且你和目的地之间有阻塞。
(六) Type = 12 (Parameter Problem)
这可能意味着一种进攻。有许多足印技术会生成这种包。
3. IP地址
3.1 什么是源路由包？
源路由（source routed ）是IP头的可选项，它允许发送者不考虑一些或所有的路由器的路由决定。但通常由源地址和目的地址之间地路由器决定IP包如何路由。
有一些网络管理使用这种包，比如测试是否两个计算机可否通讯。A点的网络管理员可以通过C点发送一个包给B点，这就能知道B点和C点是否能通讯。
同样的方法可以用于逃避防火墙，推翻信任关系，与使用私有地址(10.x.x.x, 192.168.x.x, 172.[16-31].x.x)的机器通讯。
假如你是Internet上的一个hacker/cracker，你想和防火墙后面的一个使用10.x.x.x地址的机器通讯。因为Internet上的路由器不知道子网的确切位置，你的包将被丢弃。但是，你可以放松IP包中的源路由选项并告诉Internet上的路由器将包发送至防火墙。因为防火墙跨于私有网络和Internet之间，所以它知道如何正确传递IP包。因此，你可以通过将所有包发送至防火墙，与受害者建立会话。
这也可用于IP欺骗。你假装是一个路由器（就像上面的防火墙）而且其它地方的某人正在通过你发送IP包。因此，随机选择一个Internet上的机器（ALICE）作为被欺骗者，从ALICE向受害者（BOB）发送数据包。这样BOB会认为数据包来自于ALICE，但实际上它们是你发出来的。利用从你机器上发出的源路由包，伪造所有IP包（好像从ALICE发出的一样），你就可以自由的访问受害者的网络了。
越来越多的Internet核心路由器开始禁止源路由包。不管怎么说，他们减慢路由速度，同时也是巨大的安全隐患。实际上也不需要它们。管理员应该做同样的事禁止所有的源路由包：包括防火墙，路由器，甚至终端用户以防他们接受内向源路由包。
参见Microsoft Knowledge Base article Q217336 for setting the "DisableIPSourceRouting" on WinNT SP5 systems
3.2 我看见在reject log中有255.255.255.255的IP地址
近来这样的很多，因为越来越多的人开始使用DSL或cable-modem。不像点对点连接（T1，帧中继），这些告诉技术将你至于ATM VLAN（一个单广播域）。实际上，许多cable-modem用户每天收到很多兆数据仅仅因为这种广播。
你必须记住这种包必须是“局部”的。通常路由器将不转发IP地址为255.255.255.255包。因为这些原因，这种IP地址被称为“局域广播地址”：这种包不会传播到局域网段（或虚拟网段）以外。
这些包事干什么的？
不妨查看一下本文头部的端口列表。如果不在端口列表中，你只好用一个嗅探器捕捉这些包，分析它们的内容了。
例如，在随机端口运行的一个常用服务是CORBA IIOP包。许多服务运行于535端口，但常常重新配置到广播网址的其它端口。如果你看到嗅探器捕捉到的包（HEX），你将在内容中看到IIOP字样。
其它情况下没什么值得注意的。实际上通过这种包你可以找到可以攻击的对象。但Hacker通常不会攻击拓扑结构中的网络邻居（因为容易被察觉），所以这种情况大部分是意外，而非恶意。
需要注意的是：在今天的ATM网络中，广播的源地址可能都不和你在同一个洲，他们可能在几千英里以外。“局域”指的是拓扑结构而非距离。
3.3 我如何追踪这些IP地址的来源呢？
记住IP地址可以被伪造，因此IP地址的来源可能是无效的。越来越多的情况是，攻击来自于一个“肉鸡”。当你找到IP源地址的话，机器的主人可能很感激你的。我的意思是：礼貌点，专业点。
许多公司建立了类似abuse@example.com的信箱。这个Email地址不但可以用于报告Email滥用也可用于报告网络滥用。当你发现IP地址的来源以后，你可以向这个信箱发送一份包含攻击证据的邮件。
注册数据库
过去所有IP地址都由Internic保存。一个由这些数据建立的数据库位于http://ipindex.dragonstar.net/。现在一共有3个官方的注册中心：北美，亚洲和欧洲。不幸的是，你必须分别查询这些独立的数据库。但是，如果你从北美注册中心开始，它会告诉你这个IP地址属于哪个数据库。注意返回的信息是不完全的。因此不要将愤怒发送给你查到的人，因为只有30％的机会达到正确的人手中。
traceroute
运行traceroute通常最少会发现IP地址拥有者的ISP。对实际IP地址的反向DNS查询很容易被欺骗，但对那个机器路由至少可以发现入侵者使用谁的机器。
常见的IP地址
现在许多攻击来自于cable-modem用户（24.x.x.x）。可能这些机器已经被远程控制软件控制。hackers/crackers频繁使用拨号帐户，因为他们不用担心帐户被禁用。但很少有用户中止使用cable-modem帐号。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
