Windows Server默认开启的测信ICMP时间戳响应，本质上是息漏个信息泄露口子。攻击者用tracert命令就能摸清你内网的测信路由节点、防火墙位置、息漏甚至判断出哪些主机是测信核心服务器。这事我在一次内网渗透测试里亲眼见过——对方只用了三条traceroute，息漏就把我们藏在DMZ区的测信一台备份服务器揪了出来，端口扫描直接命中。息漏

问题根源在Windows的测信IP Helper服务。它不只处理IPv6转换，息漏还顺带响应ICMPv4的测信时间戳请求。你打开cmd敲tracert 8.8.8.8，息漏中间经过的测信每台Windows机器都会老实回复，把自己的息漏IP和响应延迟暴露给你。更糟的测信是，默认防火墙规则允许入站ICMP回显请求，等于把门牌号贴在门口。

要堵这个洞，别急着改注册表——先关服务。Win+R输入services.msc，找到IP Helper，双击把启动类型改成“禁用”，再点停止。这步能直接掐断traceroute依赖的ICMP时间戳应答。但注意，有些依赖IPv6转换的旧应用会报错，比如DirectAccess或某些VPN客户端。我遇到过一家企业关了这服务后，远程办公用户的连接全断了，最后只能靠组策略单独给VPN服务器开例外。

服务关完，防火墙规则也得动手。打开wf.msc，进“入站规则”，找到“文件和打印机共享(回显请求 - ICMPv4-In)”，右键禁用。别手软，这规则本来就是给局域网文件共享用的，公网接口根本不需要。要是你担心影响内部网络诊断，可以改成只允许来自特定IP段的回显——右键规则选“作用域”，在“远程IP地址”里填你运维网段的地址。这样既保留内网ping通，又对外界关死了探测通道。

还有个隐蔽角落容易漏：注册表里的TTL值。默认128的TTL会告诉对方你的系统是Windows，攻击者能据此调整攻击策略。改起来也简单，regedit定位到HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters，新建DWORD值DefaultTTL，设为64。这样tracert看到的跳数特征就跟Linux一样了，能干扰对方的指纹识别。不过别指望这招能防住高手——他们看TCP窗口大小也能猜出系统。

做完这三步，再拿tracert测自己公网IP，会发现响应全是* * *。但内部局域网测试时，如果某些老旧设备还依赖ICMP做路径MTU发现，可能会遇到大包传输变慢的情况。真碰上了，在网卡高级设置里把“最大传输单元”手动改成1400，基本能绕过去。

对了，别忘了组策略里还有个隐藏开关。运行gpedit.msc，走到“计算机配置→管理模板→网络→DNS客户端”，把“关闭多播名称解析”启用。这能防止traceroute通过NetBIOS名字广播反查你的主机名。别笑，我见过有管理员封了ICMP，结果对方用nbtstat -A照样把机器名和登录用户名套出来了。

这套组合拳打完，你再去Shodan搜自己公网IP，会发现ICMP时间戳响应没了，traceroute的最后一跳也停在了路由器上。但记住，安全是动态对抗——Windows更新有时会重置防火墙规则，每季度复查一遍这三处配置，比装什么“安全卫士”都管用。