不同操作系统的默认TTL（生存时间）值

忘是亡心i 2023-10-05 11:51 12阅读 0赞

TTL（生存时间）是网络发送的数据包中包含的计时器值，它告诉接收者在丢弃和过期数据（数据包）之前要保留或使用该数据包多长时间。对于不同的操作系统，TTL值是不同的。因此，您可以根据TTL值确定操作系统。您可以通过ping地址来获取TTL值。这是通过在我的系统上ping“ subinsb.com”得到的输出：

PING subinsb.com (108.162.199.61) 56(84) bytes of data.

64 bytes from 108.162.199.61: icmp\_seq=1 ttl=57 time=503 ms

64 bytes from 108.162.199.61: icmp\_seq=2 ttl=57 time=416 ms

从输出中可以看到，您获得了 **TTL**值。由于此网站托管在Red Hat系统上，因此返回57，接近64（Linux系统的TTL默认值）。因此，从中我们可以了解远

程系统的OS。以下是 不同设备/操作系统的默认**TTL**值：

<table> 
 <tbody> 
 <tr> 
 <td style="border-color:#dbdbdb;"> 设备/操作系统 </td> 
 <td style="border-color:#dbdbdb;"> 版本 </td> 
 <td style="border-color:#dbdbdb;"> 协议 </td> 
 <td style="border-color:#dbdbdb;"> TTL </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> AIX </td> 
 <td>&nbsp;</td> 
 <td> TCP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> AIX </td> 
 <td>&nbsp;</td> 
 <td> UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> AIX </td> 
 <td> 3.2, 4.1 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> BSDI </td> 
 <td> BSD/OS 3.1 and 4.0 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Compa </td> 
 <td> Tru64 v5.0 </td> 
 <td> ICMP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Cisco </td> 
 <td>&nbsp;</td> 
 <td> ICMP </td> 
 <td> 254 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> DEC Pathworks </td> 
 <td> V5 </td> 
 <td> TCP and UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Foundry </td> 
 <td>&nbsp;</td> 
 <td> ICMP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> FreeBSD </td> 
 <td> 2.1R </td> 
 <td> TCP and UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> FreeBSD </td> 
 <td> 3.4, 4.0 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> FreeBSD </td> 
 <td> 5 </td> 
 <td> ICMP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> HP-UX </td> 
 <td> 9.0x </td> 
 <td> TCP and UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> HP-UX </td> 
 <td> 10.01 </td> 
 <td> TCP and UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> HP-UX </td> 
 <td> 10.2 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> HP-UX </td> 
 <td> 11 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> HP-UX </td> 
 <td> 11 </td> 
 <td> TCP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Irix </td> 
 <td> 5.3 </td> 
 <td> TCP and UDP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Irix </td> 
 <td> 6.x </td> 
 <td> TCP and UDP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Irix </td> 
 <td> 6.5.3, 6.5.8 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> juniper </td> 
 <td>&nbsp;</td> 
 <td> ICMP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> MPE/IX (HP) </td> 
 <td>&nbsp;</td> 
 <td> ICMP </td> 
 <td> 200 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Linux </td> 
 <td> 2.0.x kernel </td> 
 <td> ICMP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Linux </td> 
 <td> 2.2.14 kernel </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Linux </td> 
 <td> 2.4 kernel </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Linux </td> 
 <td> Red Hat 9 </td> 
 <td> ICMP and TCP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> MacOS/MacTCP </td> 
 <td> 2.0.x </td> 
 <td> TCP and UDP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> MacOS/MacTCP </td> 
 <td> X (10.5.6) </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> NetBSD </td> 
 <td>&nbsp;</td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Netgear FVG318 </td> 
 <td>&nbsp;</td> 
 <td> ICMP and UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> OpenBSD </td> 
 <td> 2.6 &amp; 2.7 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> OpenVMS </td> 
 <td> 07.01.2002 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> OS/2 </td> 
 <td> TCP/IP 3.0 </td> 
 <td>&nbsp;</td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> OSF/1 </td> 
 <td> V3.2A </td> 
 <td> TCP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> OSF/1 </td> 
 <td> V3.2A </td> 
 <td> UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Solaris </td> 
 <td> 2.5.1, 2.6, 2.7, 2.8 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Solaris </td> 
 <td> 2.8 </td> 
 <td> TCP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Stratus </td> 
 <td> TCP_OS </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Stratus </td> 
 <td> TCP_OS (14.2-) </td> 
 <td> TCP and UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Stratus </td> 
 <td> TCP_OS (14.3+) </td> 
 <td> TCP and UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Stratus </td> 
 <td> STCP </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> SunOS </td> 
 <td> 4.1.3/4.1.4 </td> 
 <td> TCP and UDP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> SunOS </td> 
 <td> 5.7 </td> 
 <td> ICMP and TCP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Ultrix </td> 
 <td> V4.1/V4.2A </td> 
 <td> TCP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Ultrix </td> 
 <td> V4.1/V4.2A </td> 
 <td> UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Ultrix </td> 
 <td> V4.2 – 4.5 </td> 
 <td> ICMP </td> 
 <td> 255 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> VMS/Multinet </td> 
 <td>&nbsp;</td> 
 <td> TCP and UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> VMS/TCPware </td> 
 <td>&nbsp;</td> 
 <td> TCP </td> 
 <td> 60 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> VMS/TCPware </td> 
 <td>&nbsp;</td> 
 <td> UDP </td> 
 <td> 64 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> VMS/Wollongong </td> 
 <td> 1.1.1.1 </td> 
 <td> TCP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> VMS/Wollongong </td> 
 <td> 1.1.1.1 </td> 
 <td> UDP </td> 
 <td> 30 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> VMS/UCX </td> 
 <td>&nbsp;</td> 
 <td> TCP and UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> for Workgroups </td> 
 <td> TCP and UDP </td> 
 <td> 32 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 95 </td> 
 <td> TCP and UDP </td> 
 <td> 32 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 98 </td> 
 <td> ICMP </td> 
 <td> 32 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 98, 98 SE </td> 
 <td> ICMP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 98 </td> 
 <td> TCP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> NT 3.51 </td> 
 <td> TCP and UDP </td> 
 <td> 32 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> NT 4.0 </td> 
 <td> TCP and UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> NT 4.0 SP5- </td> 
 <td>&nbsp;</td> 
 <td> 32 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> NT 4.0 SP6+ </td> 
 <td>&nbsp;</td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> NT 4 WRKS SP 3, SP 6a </td> 
 <td> ICMP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> NT 4 Server SP4 </td> 
 <td> ICMP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> ME </td> 
 <td> ICMP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 2000 pro </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 2000 family </td> 
 <td> ICMP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> Server 2003 </td> 
 <td>&nbsp;</td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> XP </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> Vista </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 7 </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> Server 2008 </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 128 </td> 
 </tr> 
 <tr> 
 <td style="border-color:#dbdbdb;"> Windows </td> 
 <td> 10 </td> 
 <td> ICMP/TCP/UDP </td> 
 <td> 128 </td> 
 </tr> 
 </tbody> 
</table>

如果有时间，我将在将来发布新的重要操作系统时更新此表。您可以通过此表获取默认**TTL**值的简短版本 ：

您可以通过ping [Gurubaran][]提到的localhost自己找到它 ：

ping -4 localhost

正在 Ping x \[127.0.0.1\] 具有 32 字节的数据:

来自 127.0.0.1 的回复: 字节=32 时间<1ms TTL=128

127.0.0.1 的 Ping 统计信息:

数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，

往返行程的估计时间(以毫秒为单位):

最短 = 0ms，最长 = 0ms，平均 = 0ms

**二、 查看数据包的TTL值并分析传输故障**

网络中的网络设备，其内部都是由操作系统进行处理的（有些硬件设备将系统预装在了硬件芯片里面），在网络遇到传输故障时，我们可以使用网络检测软件，结合上表的信息对网络中流通的数据包进行检测，查看数据包的TTL值，以确定故障是否由错误的路由等原因引起。使用科来网络分析系统5.0查看一个数据包TTL值的情况。  
　　（用抓包工具查看TTL值） linux 抓包命令( tcpdump -i eth0 -c 5000 -w eth0.cap )

生存时间（TTL）是247，结合表1，确定出这个数据包在从源端（这里是61.139.2.69）到目的端（这里是192.168.10.44）共经历了255－247＝8个路由器，且在传输过程中未出现故障。  
　　注意：  
　　1. 确定数据包在网络中经历了多少个路由器，可用数据包源端设备的TTL默认值减去捕获到的数据包TTL值；  
　　2. 在不知道数据包源端设备的默认TTL时，一般用大于捕获数据包的TTL，且最接近这个TTL的默认值。

3. TTL字段长1个字节，所以TTL的最大值255；  
　　通过查看数据包的TTL，可以确定网络传输是否正常。如果捕获到的数据包的TTL值过小，则表示网络中很可能存在传输故障，应及时检查网络中三层设备的路由表配置，以及各主机上的路由表信息。

\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\` 
\-A INPUT -p udp -m ttl --ttl-eq 98 -j DROP ; ttl eq 为 等于 = 98 就禁止 
\-A INPUT -p udp -m ttl --ttl-lt 45 -j DROP ;ttl lt为 小于 < 45 就禁止

\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`\`

下面分析数据包

1、 使用wireshark 查看cap文件

找到 time to live: 128

攻击的服务器系统应该是windows 内网IP

在没有专用的防护设备的条件下，相对于攻击者而言，防御方在资源方面处于绝对的弱势。对攻击发生时的cap文件进行仔细的分析，找出攻击数据包与正常业务流量中有区别的地方，针对特定的数据进行封堵，能起到很大的防护作用。

[Gurubaran]: https://disq.us/p/1er4k1l