前言

运维和网络安全从业者，日常经常会遇到一类告警：Ping Flood（Ping洪水攻击，ICMP Flood）。它属于经典的DoS/DDoS攻击，利用ping依赖的ICMP协议，打满服务器带宽、耗尽CPU资源，导致网站、业务系统无法访问。
很多新手分不清普通ping探测和Ping Flood攻击，本文从原理、攻击特征、抓包排查、防护手段一次性讲清楚，可直接落地。

一、什么是Ping Flood

Ping Flood，中文常叫Ping洪水攻击、ICMP泛洪攻击。
Ping命令底层依靠ICMP Echo Request（ICMP回显请求），正常场景下，我们发送少量ping包，目标主机收到后回复ICMP Echo Reply，用来检测网络连通性与延迟。
而Ping Flood攻击：攻击者短时间内向目标IP，疯狂发送海量ICMP回显请求包，目标主机必须逐个处理报文，并返回应答包。大量请求持续涌入，会耗尽服务器CPU、占用上行带宽，正常业务流量被淹没，业务卡顿甚至断网。
如果攻击流量来自多个肉鸡节点，就属于分布式DDoS攻击。
补充区分：Ping Flood ≠ Ping of Death。死亡之Ping是超大ICMP分片包，Ping Flood是海量小包泛洪。

二、Ping Flood攻击原理

1. 攻击者发送大量 ICMP Echo Request（ping请求），源IP可能是真实IP，也可以伪造随机IP；
2. 服务器收到每一个ICMP请求，都需要消耗系统资源，构造ICMP应答包；
3. 海量请求持续到达，CPU、带宽被占满；
4. 正常用户的业务报文无法被处理，业务瘫痪。

衍生变种：Smurf攻击，属于ICMP反射攻击。攻击者伪造受害者IP，向广播地址发送ping包，网段内所有主机同时向受害者回包，放大攻击流量。

三、Ping Flood 识别特征（运维快速判断）

出现下面现象，大概率遭遇Ping Flood：

• 服务器带宽跑满，但是业务流量很低；
• Wireshark抓包，大量ICMP Echo Request报文，短时间每秒数千甚至上万ICMP包；
• 服务器CPU占用飙升，日志/防火墙告警ICMP会话数量异常；
• 外部无法ping通服务器，网站、远程连接间歇性中断。

快速排查命令：

tcpdump -i any icmp
打开Wireshark过滤：icmp.type == 8（ICMP Echo Request），短时间大量同类型报文就是攻击流量。

四、Ping Flood 防护方案（可直接落地）

不建议直接一刀切全部禁用ICMP，会丢失网络诊断能力，优先做限流。

方案1：防火墙/云安全组配置ICMP速率限制（推荐）

在边界防火墙、云WAF、路由器设置ICMP流量阈值：限制单IP每秒ICMP请求数量，超过阈值直接丢包。
优点：保留少量ping用于网络巡检，阻挡洪水流量。

方案2：边界设备过滤伪造源IP的ICMP流量

大量Ping Flood会伪造源IP，在出口防火墙开启源IP校验，丢弃非法源地址报文。

方案3：Linux服务器内核参数优化

# 不响应广播ping，防御Smurf攻击
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

注意：icmp_echo_ignore_all=1 会完全禁止ping应答，按需开启。

方案4：高防/云DDoS防护

大流量DDoS场景，单机防火墙无法扛住，接入DDoS高防，在云端清洗ICMP洪水流量，恶意流量在到达源站之前拦截。

方案5：CDN/业务架构优化

业务服务器不直接暴露公网，通过CDN、负载均衡做流量中转，隐藏源站IP，减少被直接Ping Flood攻击的风险。

五、常见误区

误区1：关闭ping就万事大吉
完全禁止ICMP回显，只是别人ping不通，但ICMP还有其他类型报文，无法防护全部ICMP攻击；同时丢失网络排障手段。
误区2：Ping Flood是小攻击，不用处理
小包ICMP泛洪，很容易打满带宽，尤其是服务器上行带宽较小的云主机，几分钟就能打瘫业务。

六、总结

Ping Flood（ICMP洪水）是入门级但依然高频的DDoS攻击，核心就是海量ICMP请求消耗目标带宽与CPU。
防御思路优先流量限流+边界清洗，不要粗暴一刀切禁用ICMP。运维日常监控ICMP报文数量，配合抓包分析，快速识别ICMP泛洪攻击。
免责声明：本文仅用于网络安全学习与防御研究，禁止用于任何未授权网络攻击行为。

文末FAQ

Q：ping flood 使用什么工具测试？
A：hping3、ping命令自带洪水参数，仅可在自己授权测试环境使用。
Q：云服务器怎么防ping flood？
A：优先使用云厂商DDoS基础防护，在安全组配置ICMP限速，搭配系统内核参数优化。
Q：Wireshark过滤ping flood的过滤语句是什么？
A：icmp.type ==8 筛选ICMP回显请求包。

关于墨者安全
墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务，全网第一款指纹识别技术防火墙，自研的WAF指纹识别架构，提供任意CC和DDoS攻击防御