wireshark抓包工具

Posted 2022-05-18 2018-05-9-ygk

一、Wireshark数据包格式
1、ICMP是tcp/ip协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络不通、主机是否可达、路由是否可用等网络本身的消息。

ICMP协议通过IP协议发送的，IP协议是一种无连接的、不可靠的数据包协议，属于网络层协议。
ICMP报文是在IP数据包内传输的。在实际传输中的数据包结构：20字节IP首部+8字节ICMP首部+1472字节<数据大小>38字节。

ICMP报文格式：IP首部（20字节）+8位类型+8位代码+16位校验和+（不同的类型和代码，格式也有所不同。）下面即为ICMP报文格式：

ICMP报文的类型：
不同类型由报文中的类型字段和代码字段来共同决定，简单的可以分为两种：即ICMP差错报告报文和ICMP询问报文。
ICMP请求和应答报文ping

通过ping程序可以发送请求报文，在ping的服务器收到报文会返回应答报文。
下面是请求应答的报文格式：

ICMP回显请求和回显答应报文格式

让wireshark开始抓包，用ICMP过滤，打开cmd窗口，输入ping www.baidu.com，就会发现wireshark开始抓取报文，ping默认发4个请求报文，所有这里会抓
到8个报文（请求和答应各4个）。下面查看一个请求报文结构：

traceroute工具：
traceroute程序可以让我们看到IP数据报从一台主机传到另一个主机所经历过的路由，它是用来侦测主机到目的主机之间
所经路由情况的重要工具，也是最便利的工具。

traceroute基本原理：这个程序利用报文的TTL信息实现路由的获取。首先主机向目的主机发送一个TTL=1的数据包，
当数据报达到第一个路由器时，TTL=0，这时路由器会发送ICMP报文返回给主机，说明数据包超时。由此得到第一个路由器地址，然后
令TTL=2，再次发送一个数据报，会得到第二个路由返回的ICMP，由此一次次增加TTL就可以得到主机到目的
主机之间所经历过得路由信息。