Ping of Death

Als „Ping of Death“ – oft auch „Long ICMP“ (Internet Control Message Protocol) genannt – bezeichnet man eine Denial-of-Service-Attacke (DoS), bei der Angreifer absichtlich ein ICMP-Datenpaket senden, das größer ist, als die im IP-Protokoll erlaubten 65.536 Byte und das deshalb beim Empfänger einen Buffer Overflow erzeugt.

Die Angreifer nutzen dabei ein Feature von TCP/IP aus: die Fragmentierung. IP-Pakete, die größer als eine maximal mögliche Übertragungseinheit sind (Maximum Transfer Unit, MTU), werden für den Transport zerlegt. Im Ethernet liegt die MTU beispielsweise bei 1.500 Byte. Beim Empfänger werden die Fragmente dann wieder zusammengesetzt. Im Jahr 1996 entdeckten Angreifer, dass man mit dem letzten Segment eines solchen zerlegten Pakets die erlaubte Gesamtpaketgröße von 65.536 Bytes überschreiten kann. Viele Betriebssysteme wusste nicht, was sie mit einem solchen übergroßen Paket anfangen sollten, froren ein, stürzten ab oder starteten neu.

Ping-of-Death-Angriffe waren besonders unangenehm, weil sich die Identität des Versenders der übergroßen Pakete leicht fälschen ließ, und weil der Angreifer nicht mehr über den angegriffenen Rechner wissen musste, als dessen IP-Adresse. Bis Ende 1997 hatten Betriebssystemhersteller Patches zur Verfügung gestellt, die den Ping of Death unwirksam machen. Dennoch blockieren weiterhin viele Websites ICMP-Ping-Nachrichten an ihren Firewalls, um mögliche Variationen dieser Art von Denial-of-Service-Angriffen zu verhindern.

 Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!