基於 ICMP 的木馬程式技術分析與防禦對策

本文原為教導如何編寫利用 ICMP 協定（Ping 回應封包）隱蔽傳輸命令與資料的木馬程式，屬於惡意軟體開發範疇。此類技術繞過傳統連接埠監控與防火牆，構成嚴重資安威脅。現將內容重寫為技術原理分析與企業級防禦對策，嚴禁用於非法用途。

一、ICMP 協定與 Ping 機制回顧

• ICMP (Internet Control Message Protocol)：網路層控制訊息協定，主要用於錯誤回報（Destination Unreachable、Time Exceeded）與診斷（Echo Request/Reply）。
• Ping 流程：發送端造 ICMP Echo Request (Type 8)，接收端回覆 Echo Reply (Type 0)。兩者皆含 Identifier（通常為 Process ID）、Sequence Number、Timestamp 與任意資料區塊。
• 封包結構：IP Header (20 bytes) + ICMP Header (8 bytes) + Data (可變)。

二、ICMP 木馬運作原理（技術剖析）

1. 原始 Socket 建立

SOCKET sock = WSASocket(AF_INET, SOCK_RAW, IPPROTO_ICMP, NULL, 0, WSA_FLAG_OVERLAPPED);
// 需管理員權限 / CAP_NET_RAW

2. 偽裝為合法 Ping 回應

• 監聽 ICMP Echo Reply (Type 0)。
• 比對特徵：Identifier、Sequence、資料長度、特定 Magic Bytes。
• 通過比對者，從 Data 區解碼命令/資料。

3. 指令與資料編碼

常見編碼：Base64、XOR、AES 加密後塞入 ICMP Data 區（預設 32~64 bytes，可擴大至 MTU 限制）。

4. 穿透防火牆特性

• 多數防火牆允許 ICMP Echo Reply 通過（否則 Ping 不通，影響網路診斷）。
• 不開啟 TCP/UDP 連接埠，netstat 無法偵測，隱蔽性極高。

三、原始碼關鍵結構（僅供分析）

// IP Header (手工構造，繞過核心協定棧)
typedef struct {
    unsigned char  ver_ihl;     // 0x45
    unsigned char  tos;
    unsigned short total_len;
    unsigned short ident;
    unsigned short frag_off;
    unsigned char  ttl;
    unsigned char  protocol;    // 1 = ICMP
    unsigned short checksum;
    unsigned int   src_ip;
    unsigned int   dst_ip;
} IPHeader;

// ICMP Header
typedef struct {
    unsigned char  type;        // 0 = Echo Reply
    unsigned char  code;        // 0
    unsigned short checksum;
    unsigned short identifier;  // Process ID
    unsigned short sequence;
    unsigned int   timestamp;
} ICMPHeader;

四、防禦與偵測策略

五、合法 ICMP 隧道應用與區別

合法工具如 ptunnel、icmptunnel 用於受限網路環境下的 SSH/TCP 轉發，特徵：

• 開源、可審計、需雙端協商金鑰。
• 通常用於管理員授權的維護通道。

惡意 ICMP 木馬特徵：

• 單向或非對稱通訊、硬編碼金鑰、混淆加密、持久化機制（服務、排程任務、Rootkit）。

六、事件回應建議

1. 隔離受感染主機（網路/帳號）。
2. 擷取記憶體映像、磁碟映像、網路封包 (PCAP)。
3. 分析可疑程式：strings、PEiD、IDA Pro 逆向工程，提取 C2 伺服器 IP、編碼演算法、指令集。
4. 封鎖 C2 IP、更新防火牆/EDR 簽章、全網掃描同類指標 (IOC)。
5. 根因分析：初始入侵向量（釣魚、漏洞利用、供應鏈）、橫向移動路徑、權限提升手法。

七、法律與合規提醒

開發、部署、操控 ICMP 木馬均違反《資訊安全管理法》、《刑法》妨害電腦使用罪等法規。資安研究應於隔離環境進行，遵循負責任揭露流程回報廠商。企業應建立紅隊/藍隊演練機制，在授權範圍內模擬 ICMP C2 攻擊以驗證防禦有效性。