實驗名稱：利用Wireshark軟件進行ICMP抓包實驗

　　實驗目的：1.掌握Wireshark的基本使用方法。

　　2.通過對Wireshark抓取的ICMP協議數據包分析，掌握ICMP的幀格式及運行原理。 3.熟悉IP首部各字段的含義及以太網封裝格式。

　　實驗環境：1.硬件環境

　　a）網卡信息Description:Realtek RTL8139 Family Fast Ethernet Adapter Link speed:100MBits/s Media supported:802.3（Ethernet） Media in use： 802.3（Ethernet） Maximum Packet Size 1514 其它詳細信息見附圖1.

　　b）網絡組成實驗電腦通過ADSL MODEM 接入互聯網中聯通ADSL服務器，ADSL MODEM和ADSL服務器間通過PPP over Ethernet（PPPoE）協議轉播以太網絡中PPP幀信息。電腦通過ADSL方式上網是通過以太網卡（Ethernet）與互聯網相連的。使用的還是普通的TCP/IP方式，并沒有付加新的協議，對我們的抓包實驗是透明的。

　　2. 軟件環境

　　a）操作系統Microsoft Windows XP Professional 版本 2002 Service Pack 3

　　b）Wireshark 軟件通過系統命令systeminfo查看處理器類型為X86-based PC，為32位機，因此選擇32位的Wireshark軟件（Version：Version 1.2.3 for win32）。

　　一、概述：

　　1. ICMP允許主機或路由報告差錯情況和提供有關異常情況。ICMP是因特網的標準協議，但ICMP不是高層協議，而是IP層的協議。通常ICMP報文被IP層或更高層協議（TCP或UDP）使用。一些ICMP報文把差錯報文返回給用戶進程。

　　2. ICMP報文作為IP層數據報的數據，加上數據報的首部，組成數據報發送出去。

　　3. ICMP報文的種類有兩種，即ICMP差錯報告報文和ICMP詢問報文。

　　二、ICMP報文的格式

　　1. 類型：占8位

　　2. 代碼：占8位

　　3. 檢驗和：占16位

　　說明：ICMP所有報文的前4個字節都是一樣的，但是剩下的其他字節則互不相同。

　　4. 其它字段都ICMP報文類型不同而不同。

　　1》 ICMP報文的前4個字節是統一的格式，共有三個字段：即類型，代碼和檢驗和。

　　2》 8位類型和8位代碼字段一起決定了ICMP報文的類型。

　　類型8，代碼0：表示回顯請求（ping請求）。

　　類型0，代碼0：表示回顯應答（ping應答）

　　類型11，代碼0：超時

　　3》16位的檢驗和字段：包括數據在內的整個ICMP數據包的檢驗和；其計算方法和IP頭部檢驗和的計算方法一樣的。

　　ICMP報文具體分為查詢報文和差錯報文（對ICMP差錯報文有時需要做特殊處理，因此要對其進行區分。如：對ICMP差錯報文進行響應時，永遠不會生成另一份ICMP差錯報文，否則會出現死循環）

　　三、ICMP差錯報文（56字節）

　　1. ICMP差錯報告報文共有5種

　　1》 終點不可達：終點不可達分為：網絡不可達，主機不可達，協議不可達，端口不可達，需要分片但DF比特已置為1，以及源路由失敗等六種情況，其代碼字段分別置為0至5。當出現以上六種情況時就向源站發送終點不可達報文。

　　說明：

　　端口不可達：UDP的規則之一是：如果收到UDP數據報而且目的端口與某個正在使用的進程不相符，那么UDP返回一個ICMP不可達報文。

　　2》 源站抑制：當路由器或主機由于擁塞而丟棄數據報時，就向源站發送源站抑制報文，使源站知道應當將數據報的發送速率放慢。

　　3》 時間超過：當路由器收到生存時間為零的數據報時，除丟棄該數據報外，還要向源站發送時間超過報文。當目的站在預先規定的時間內不能收到一個數據報的全部數據報片時，就將已收到的數據報片都丟棄，并向源站發送時間超過報文。

　　4》 參數問題：當路由器或目的主機收到的數據報的首部中的字段的值不正確時，就丟棄該數據報，并向源站發送參數問題報文。

　　5》 改變路由（重定向）路由器將改變路由報文發送給主機，讓主機知道下次應將數據報發送給另外的路由器。

　　說明：

　　以下幾種情況都不會導致產生ICMP差錯報文

　　1》ICMP差錯報文（但是，ICMP查詢報文可能會產生ICMP差錯報文）

　　2》目的地址是廣播地址或多播地址的IP數據報

　　3》作為鏈路層廣播的數據報

　　4》不是IP分片的第一片

　　5》源地址不是單個主機的數據報。即源地址不能為零地址、環回地址、廣播地址或多播地址。

　　這些規則是為了防止過去允許ICMP差錯報文對廣播分組響應所帶來的廣播風暴。

　　2.所有的ICMP差錯報告報文中的數據字段都具有同樣的格式。將收到的需要進行差錯報告IP數據報的首部和數據字段的前8個字節提取出來，作為ICMP報文的數據字段。再加上響應的ICMP差錯報告報文的前8個字節，就構成了ICMP差錯報告報文。提取收到的數據報的數據字段的前8個字節是為了得到運輸層的端口號（對于TCP和UDP）以及運輸層報文的發送序號（對于TCP）。

　　注：一下情況不發送ICMP差錯報告報文

　　三、ICMP詢問報文（40字節）

　　1.ICMP詢問報文有四種回送請求和回答，時間戳請求和回答，掩碼地址請求和回答，以及路由器詢問和通過。

　　1》ICMP回送請求報文是由主機或路由器向一個特定的目的主機發出的詢問。收到此報文的機器必須給源主機發送ICMP回送應答報文。這種詢問報文用來測試目的站是否可達以及了解其有關狀態。

　　2》ICMP時間戳請求允許系統向另一個系統查詢當前的時間。該ICMP報文的好處是它提供了毫秒級的分辨率，而利用其他方法從別的主機獲取的時間只能提供秒級的分辨率。請求端填寫發起時間，然后發送報文。應答系統收到請求報文時填寫接收時間戳，在發送應答時填寫發送時間戳。大多數的實現是把后面兩個字段都設成相同的值。

　　3》主機使用ICMP地址掩碼請求報文可向子網掩碼服務器得到某個接口的地址掩碼。系統廣播它的ICMP請求報文。ICMP報文中的標識符和序列號字段由發送端任意選擇設定，這些值在應答中將被返回，這樣，發送端就可以把應答與請求進行匹配。

　　4》主機使用ICMP路由器詢問和通過報文可了解連接在本網絡上的路由器是否正常工作。主機將路由器詢問報文進行廣播（或多播）。收到詢問報文的一個或幾個路由器就使用路由器通過報文廣播其路由選擇信息

　　四、Ping程序

　　1.概述

　　1》Ping程序是為了測試另一臺主機是否可達。該程序發送一份ICMP回顯請求報文給主機，并等待返回ICMP回顯應答。

　　2》Ping程序還能測出到這臺主機的往返時間，以表明該主機離我們有多遠。

　　2.我們將發送回顯請求的ping程序為客戶，而稱被ping的主機為服務器。

　　3.ICMP回顯請求和回顯應答報文格式：

　　1》Unix系統在實現ping程序時把ICMP報文中的標識符字段置成發送進程的ID號。這樣即使在同一臺主機上同時運行了多個ping程序實例，ping程序也可以識別出返回的信息。

　　2》序列號從0開始，每發送一次新的回顯請求就加1。ping程序打印出返回的每個分組的序列號，允許我們查看是否有分組丟失，失序或重復。。

　　3》ping程序通過在ICMP報文中存放發送請求的時間值來計算往返時間。當應答返回時，用當前時間減去存放在ICMP報文中的時間值，即是往返時間。

　　4》當返回ICMP回顯應答時，要打印出序列號和TTL，并計算往返時間。TTL位于IP首部的生存時間字段。ping程序通過在ICMP報文數據段中存放發送請求的時間值來計算往返時間。當應答返回時，用當前時間減去存放在ICMP報文中的時間值，即是往返時間。

　　其他：

　　基本原理：

　　ICMP稱為internet控制協議，主要用于傳遞IP網絡中的差錯及其他需要注意的控制信息。RFC 792中描述了ICMP協議：”ICMP是IP不可缺少的部分，所有的IP軟件必須實現ICMP協議。”

　　ICMP報文在以下幾種情況下發送（RFC 792中提到）

　　ü 當數據報不能到達目的地

　　ü 當網關已經失去緩存功能

　　ü 當網關能夠引導主機在更短路由上發送

　　類型：表示ICMP報文類型

　　代碼：同類型字段相結合定義詳細的ICMP報文

　　數據：根據不通類型和代碼，數據域填充相應的內容

　　類型代碼描述

　　00回顯應帶（Ping應答）

　　3

　　目的不可達

　　0網絡不可達

　　1主機不可達

　　2協議不可達

　　3端口不可達

　　4需要進行分片但設置了不分片比特

　　5源站選路失敗

　　6目的網絡不認識

　　7目的主機不認識

　　8源主機被隔離（作廢不用了）

　　9目的網絡被強制禁止

　　10目的主機被強制禁止

　　11由于服務類型TOS，網絡不可達

　　12由于服務類型TOS，主機不可達

　　13由于過濾，通信被強制禁止

　　14主機越權

　　40源端被關閉（基于流控制）

　　5重定向

　　0對網絡重定向

　　1對主機重定向

　　2對服務類型和網絡重定向

　　3對服務類型和主機重定向

　　80請求回顯（即ping請求）

　　90路由器通告

　　100路由器請求

　　11超時

　　0傳輸起見TTL為0

　　1在數據報文組裝期間TTL為0

　　12參數問題

　　0壞的IP首部（包括各種差錯）

　　1缺少必須的選項

　　130時間戳請求

　　140時間戳應答

　　150信息請求

　　160信息應答

　　170地址掩碼請求

　　180地址掩碼應答

　　ICMP協議分析報告