【协议-ICMP】

ping命令底层使用的是ICMP，ICMP报文封装在ip包里。它是一个对IP协议的补充协议，允许主机或路由器报告差错情况和异常状况。ICMP使用时必须增加IP报头。

通常ICMP隧道技术采用ICMP的ICMP_ECHO和ICMP_ECHOREPLY两种报文，把数据隐藏在ICMP数据包包头的选项域中，利用ping命令建立隐蔽通道。

下面是ping数据包的IP数据报格式：

icmp隧道通信特征
1.请求和回应部分数据不一致。正常的icmp数据包里，请求和回应部分数据是一致的。
2.同一时间内大量的icmp数据包。
3.ICMP隧道 数据包中DATA 往往大于 64 比特