實驗名稱：利用Wireshark軟件進行ICMP抓包實驗

　　實驗目的：1.掌握Wireshark的基本使用方法。

　　2.通過對Wireshark抓取的ICMP協議數據包分析，掌握ICMP的幀格式及運行原理。 3.熟悉IP首部各字段的含義及以太網封裝格式。

　　實驗環境：1.硬件環境

　　a）網卡信息Description:Realtek RTL8139 Family Fast Ethernet Adapter Link speed:100MBits/s Media supported:802.3（Ethernet） Media in use： 802.3（Ethernet） Maximum Packet Size 1514 其它詳細信息見附圖1.

　　b）網絡組成實驗電腦通過ADSL MODEM 接入互聯網中聯通ADSL服務器，ADSL MODEM和ADSL服務器間通過PPP over Ethernet（PPPoE）協議轉播以太網絡中PPP幀信息。電腦通過ADSL方式上網是通過以太網卡（Ethernet）與互聯網相連的。使用的還是普通的TCP/IP方式，并沒有付加新的協議，對我們的抓包實驗是透明的。

　　2. 軟件環境

　　a）操作系統Microsoft Windows XP Professional 版本 2002 Service Pack 3

　　b）Wireshark 軟件通過系統命令systeminfo查看處理器類型為X86-based PC，為32位機，因此選擇32位的Wireshark軟件（Version：Version 1.2.3 for win32）。

　　一、概述：

　　1. ICMP允許主機或路由報告差錯情況和提供有關異常情況。ICMP是因特網的標準協議，但ICMP不是高層協議，而是IP層的協議。通常ICMP報文被IP層或更高層協議（TCP或UDP）使用。一些ICMP報文把差錯報文返回給用戶進程。

　　2. ICMP報文作為IP層數據報的數據，加上數據報的首部，組成數據報發送出去。

　　3. ICMP報文的種類有兩種，即ICMP差錯報告報文和ICMP詢問報文。

　　二、ICMP報文的格式

　　1. 類型：占8位

　　2. 代碼：占8位

　　3. 檢驗和：占16位

　　說明：ICMP所有報文的前4個字節都是一樣的，但是剩下的其他字節則互不相同。

　　4. 其它字段都ICMP報文類型不同而不同。

　　1》 ICMP報文的前4個字節是統一的格式，共有三個字段：即類型，代碼和檢驗和。

　　2》 8位類型和8位代碼字段一起決定了ICMP報文的類型。

　　類型8，代碼0：表示回顯請求（ping請求）。

　　類型0，代碼0：表示回顯應答（ping應答）

　　類型11，代碼0：超時

　　3》16位的檢驗和字段：包括數據在內的整個ICMP數據包的檢驗和；其計算方法和IP頭部檢驗和的計算方法一樣的。

　　ICMP報文具體分為查詢報文和差錯報文（對ICMP差錯報文有時需要做特殊處理，因此要對其進行區分。如：對ICMP差錯報文進行響應時，永遠不會生成另一份ICMP差錯報文，否則會出現死循環）

　　三、ICMP差錯報文（56字節）

　　1. ICMP差錯報告報文共有5種

　　1》 終點不可達：終點不可達分為：網絡不可達，主機不可達，協議不可達，端口不可達，需要分片但DF比特已置為1，以及源路由失敗等六種情況，其代碼字段分別置為0至5。當出現以上六種情況時就向源站發送終點不可達報文。

　　說明：

　　端口不可達：UDP的規則之一是：如果收到UDP數據報而且目的端口與某個正在使用的進程不相符，那么UDP返回一個ICMP不可達報文。

　　2》 源站抑制：當路由器或主機由于擁塞而丟棄數據報時，就向源站發送源站抑制報文，使源站知道應當將數據報的發送速率放慢。

　　3》 時間超過：當路由器收到生存時間為零的數據報時，除丟棄該數據報外，還要向源站發送時間超過報文。當目的站在預先規定的時間內不能收到一個數據報的全部數據報片時，就將已收到的數據報片都丟棄，并向源站發送時間超過報文。

　　4》 參數問題：當路由器或目的主機收到的數據報的首部中的字段的值不正確時，就丟棄該數據報，并向源站發送參數問題報文。

　　5》 改變路由（重定向）路由器將改變路由報文發送給主機，讓主機知道下次應將數據報發送給另外的路由器。

　　說明：

　　以下幾種情況都不會導致產生ICMP差錯報文

　　1》ICMP差錯報文（但是，ICMP查詢報文可能會產生ICMP差錯報文）

　　2》目的地址是廣播地址或多播地址的IP數據報

　　3》作為鏈路層廣播的數據報

　　4》不是IP分片的第一片

　　5》源地址不是單個主機的數據報。即源地址不能為零地址、環回地址、廣播地址或多播地址。

　　這些規則是為了防止過去允許ICMP差錯報文對廣播分組響應所帶來的廣播風暴。

　　2.所有的ICMP差錯報告報文中的數據字段都具有同樣的格式。將收到的需要進行差錯報告IP數據報的首部和數據字段的前8個字節提取出來，作為ICMP報文的數據字段。再加上響應的ICMP差錯報告報文的前8個字節，就構成了ICMP差錯報告報文。提取收到的數據報的數據字段的前8個字節是為了得到運輸層的端口號（對于TCP和UDP）以及運輸層報文的發送序號（對于TCP）。

　　注：一下情況不發送ICMP差錯報告報文