如何记录每条 ICMP 回复消息

Question

我遇到了一个问题，我们如何在GNU/Linux中找到ICMP回复消息的IP地址？

Answer 1

查看 libpcap - 这是一个非常高效的网络嗅探库，它可以让您准确捕获指定类型的数据包（可能通过源/目标地址等进一步过滤）。然后，您可以解析数据包并提取源 IP 地址和目标 IP 地址。链接页面有文档和几个教程。

请注意，您需要在流量经过的计算机（源、目的地或中间的任何内容）上进行捕获，就像在现代以太网（通过交换机连接）中一样，您通常看不到所有网络流量。 请参阅 Wireshark（本质上是 libpcap 的 GUI）的问答，了解可能的解决方法。

Answer 2

您可以尝试 IPTables 日志记录。

Answer 3

这是一个简单的循环（C Linux），用于拦截所有 ICMP 请求/回复：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <netinet/in.h>

int main(int argc, char **argv)
{
        int sock;
        int optval;
        int ret;
        int addrlen;
        struct sockaddr_in sIn;
        char *buffer;
        char *sAddr;
        char *dAddr;
        int proto;
        int type;

        buffer = malloc(sizeof(char) * 32);
        sAddr = malloc(sizeof(char) * 16);
        dAddr = malloc(sizeof(char) * 16);
        if ((sock = socket(AF_INET, SOCK_RAW, IPPROTO_ICMP)) != -1) {
            setsockopt(sock, IPPROTO_IP, IP_HDRINCL, &optval, sizeof(int));
            sIn.sin_family = AF_INET;
            sIn.sin_addr.s_addr = INADDR_ANY;
            addrlen = sizeof(sIn);
            memset(buffer, 0, 32);
            while ((ret = recvfrom(sock, buffer, 31, 0, (struct sockaddr *)&sIn, &addrlen)) != -1) {
                    if (ret > 20) {
                            proto = (unsigned char)buffer[9];
                            type = (unsigned char)buffer[20];
                            if (proto == 1 && (type == 8 || type == 0)) {
                                    memset(sAddr, 0, 16);
                                    memset(dAddr, 0, 16);
                                    sprintf(sAddr, "%d.%d.%d.%d",
                                            (unsigned char)buffer[12],
                                            (unsigned char)buffer[13],
                                            (unsigned char)buffer[14],
                                            (unsigned char)buffer[15]);
                                    sprintf(dAddr, "%d.%d.%d.%d",
                                            (unsigned char)buffer[16],
                                            (unsigned char)buffer[17],
                                            (unsigned char)buffer[18],
                                            (unsigned char)buffer[19]);
                                    if (type == 8)
                                            fprintf(stdout, "-> ICMP REQUEST FROM %s TO %s\n", sAddr, dAddr);
                                    else
                                            fprintf(stdout, "<- ICMP REPLY FROM %s TO %s\n", sAddr, dAddr);
                            }
                    }
                    memset(buffer, 0, 32);
            }
            close(sock);
        }
        free(buffer);
        free(sAddr);
        free(dAddr);
        return 0;
}

享受吧；）

Answer 4

您当然可以打开一个套接字

socket(AF_INET, SOCK_RAW, IPPROTO_ICMP)

并记录到达的数据包的源地址。为此，您需要了解 ICMP 数据报的结构。参见 man 7 原始