标题: Windows网络数据流跟踪技巧(3)

https://scz.617.cn/windows/200504261049.txt

这次说说跟踪ICMP报文处理流程。假设在SoftICE中跟踪，为了使stack命令的输出更
有可读性，一般加载如下符号表:

ntoskrnl.nms
tcpip.nms

下例表示源IP为192.168.7.250、目标IP为192.168.7.151时命中:

:bpx tcpip!ICMPRcv if *(esp+8)==9707A8C0&&*(esp+c)==FA07A8C0

最有意义的事实在于tcpip!ICMPRcv()是Windows系统真正开始处理ICMP报文的地方，
因此在tcpip!ICMPRcv()入口处修改了ICMP报文，将影响所有上层处理。