實(shí)驗(yàn)四利用Wireshark分析ICMP

1、實(shí)驗(yàn)四 利用Wireshark分析ICMP 一、實(shí)驗(yàn)?zāi)康姆治鯥CMP二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟Ping和traceroute命令都依賴于ICMP。ICMP可以看作是IP協(xié)議的伴隨協(xié)議。ICMP報(bào)文被封裝在IP 數(shù)據(jù)報(bào)發(fā)送。一些ICMP報(bào)文會(huì)請(qǐng)求信息。例如：在ping中，一個(gè)ICMP回應(yīng)請(qǐng)求報(bào)文被發(fā)送給遠(yuǎn)程主機(jī)。如果對(duì)方主機(jī)存在，期望它們返回一個(gè)ICMP回應(yīng)應(yīng)答報(bào)文。一些ICMP報(bào)文在網(wǎng)絡(luò)層發(fā)生錯(cuò)誤時(shí)發(fā)送。例如，有一種ICMP報(bào)文類型表示目的不可達(dá)。造成不可達(dá)的原因很多，ICMP報(bào)文試圖確定這一問題。例如，可能是

2、主機(jī)關(guān)及或整個(gè)網(wǎng)絡(luò)連接斷開。有時(shí)候，主機(jī)本身可能沒有問題，但不能發(fā)送數(shù)據(jù)報(bào)。例如IP首部有個(gè)協(xié)議字段，它指明了什么協(xié)議應(yīng)該處理IP數(shù)據(jù)報(bào)中的數(shù)據(jù)部分。IANA公布了代表協(xié)議的數(shù)字的列表。例如，如果該字段是6，代表TCP報(bào)文段,IP層就會(huì)把數(shù)據(jù)傳給TCP層進(jìn)行處理；如果該字段是1，則代表ICMP報(bào)文，IP層會(huì)將該數(shù)據(jù)傳給ICMP處理。如果操作系統(tǒng)不支持到達(dá)數(shù)據(jù)報(bào)中協(xié)議字段的協(xié)議號(hào)，它將返回一個(gè)指明“協(xié)議不可達(dá)”的ICMP報(bào)文。IANA同樣公布了ICMP報(bào)文類型的清單。Traceroute是基于ICMP的靈活用法和IP首部的生存時(shí)間字段的。發(fā)送數(shù)據(jù)報(bào)時(shí)生存時(shí)間字段被初始化為能夠穿越網(wǎng)絡(luò)的最大跳數(shù)。

3、每經(jīng)過一個(gè)中間節(jié)點(diǎn)，該數(shù)字減1。當(dāng)該字段為0時(shí)，保存該數(shù)據(jù)報(bào)的機(jī)器將不再轉(zhuǎn)發(fā)它。相反，它將向源IP地址發(fā)送一個(gè)ICMP生存時(shí)間超時(shí)報(bào)文。生存時(shí)間字段用于避免數(shù)據(jù)報(bào)載網(wǎng)絡(luò)上無休止地傳輸下去。數(shù)據(jù)報(bào)的發(fā)送路徑是由中間路由器決定的。通過與其他路由器交換信息，路由器決定數(shù)據(jù)報(bào)的下一條路經(jīng)。最好的“下一跳”經(jīng)常由于網(wǎng)絡(luò)環(huán)境的變化而動(dòng)態(tài)改變。這可能導(dǎo)致路由器形成選路循環(huán)也會(huì)導(dǎo)致正確路徑?jīng)_突。在路由循環(huán)中這種情況很可能發(fā)生。例如，路由器A認(rèn)為數(shù)據(jù)報(bào)應(yīng)該發(fā)送到路由器B，而路由器B又認(rèn)為該數(shù)據(jù)報(bào)應(yīng)該發(fā)送會(huì)路由器A，這是數(shù)據(jù)報(bào)便處于選路循環(huán)中。生存時(shí)間字段長(zhǎng)為8位，所以因特網(wǎng)路徑的最大長(zhǎng)度為28 -1即255跳。

4、大多數(shù)源主機(jī)將該值初始化為更小的值（如128或64）。將生存時(shí)間字段設(shè)置過小可能會(huì)使數(shù)據(jù)報(bào)不能到達(dá)遠(yuǎn)程目的主機(jī)，而設(shè)置過大又可能導(dǎo)致處于無限循環(huán)的選路中。Traceroute利用生存時(shí)間字段來映射因特網(wǎng)路徑上的中間節(jié)點(diǎn)。為了讓中間節(jié)點(diǎn)發(fā)送ICMP生存時(shí)間超時(shí)報(bào)文，從而暴露節(jié)點(diǎn)本身信息，可故意將生存時(shí)間字段設(shè)置為一個(gè)很小的書。具體來說，首先發(fā)送一個(gè)生存時(shí)間字段為1的數(shù)據(jù)報(bào)，收到ICMP超時(shí)報(bào)文，然后通過發(fā)送生存時(shí)間字段設(shè)置為2的數(shù)據(jù)報(bào)來重復(fù)上述過程，直到發(fā)送ICMP生存時(shí)間超時(shí)報(bào)文的機(jī)器是目的主機(jī)自身為止。因?yàn)樵诜纸M交換網(wǎng)絡(luò)中每個(gè)數(shù)據(jù)報(bào)時(shí)獨(dú)立的，所以由traceroute發(fā)送的每個(gè)數(shù)據(jù)報(bào)的傳送路

5、徑實(shí)際上互不相同。認(rèn)識(shí)到這一點(diǎn)很重要。每個(gè)數(shù)據(jù)報(bào)沿著一條路經(jīng)對(duì)中間節(jié)點(diǎn)進(jìn)行取樣，因此traceroute可能暗示一條主機(jī)間并不存在的連接。因特網(wǎng)路徑經(jīng)常變動(dòng)。在不同的日子或一天的不同時(shí)間對(duì)同一個(gè)目的主機(jī)執(zhí)行幾次traceroute命令來探尋這種變動(dòng)都會(huì)得到不同的結(jié)果。為了體現(xiàn)Internet路由的有限可見性，許多網(wǎng)絡(luò)都維護(hù)了一個(gè)traceroute服務(wù)器traceroute。Traceroute服務(wù)器將顯示出從本地網(wǎng)到一個(gè)特定目的地執(zhí)行traceroute的結(jié)果。分布于全球的traceroute服務(wù)器的相關(guān)信息可在上獲得。1、ping 和 ICMP利用Ping程序產(chǎn)生ICMP分組。Ping向因

6、特網(wǎng)中的某個(gè)特定主機(jī)發(fā)送特殊的探測(cè)報(bào)文并等待表明主機(jī)在線的回復(fù)。具體做法：（1）打開Windows命令提示符窗口（Windows Command Prompt）。（2）啟動(dòng)Wireshark 分組嗅探器，在過濾顯示窗口（filter display window）中輸入icmp,開始Wireshark 分組俘獲。（3）輸入“ping n 10 hostname” 。其中“-n 10”指明應(yīng)返回10條ping信息。（4）當(dāng)ping程序終止時(shí)，停止Wireshark 分組俘獲。 實(shí)驗(yàn)結(jié)束后會(huì)出現(xiàn)如圖所示的命令窗口：圖4.1 命令窗口停止分組俘獲后，會(huì)出現(xiàn)如圖4.2所示的界面：圖4.2 停止分組俘獲

7、后Wireshark的界面圖4.3是在分組內(nèi)容窗口中顯示了ICMP協(xié)議的詳細(xì)信息。觀察這個(gè)ICMP分組，可以看出，此ICMP分組的Type 8 and Code 0 即所謂的ICMP “echo request” 分組。圖4.3 ICMP協(xié)議詳細(xì)信息在實(shí)驗(yàn)報(bào)告中回答下面問題：（1）你所在主機(jī)的IP地址是多少？目的主機(jī)的IP地址是多少？主機(jī)：目的：（2）查看ping請(qǐng)求分組，ICMP的type 和code是多少？這個(gè)ICMP 包包含了哪些其他的字段？Checksum、sequence number 和identifier 字段的值各為多少？Type:8 code:0Checksum:0x1852

8、 sequence number:2357(0x0935)Identifier:256(0x0100)（3）查看相應(yīng)得ICMP響應(yīng)信息，ICMP的type 和code又是多少？這個(gè)ICMP 包包含了哪些其他的字段？Checksum、sequence number 和identifier 字段的值各為多少？Type:0 code:0Checksum:0x2052 sequence number:2357Identifier:2562. ICMP和Traceroute在Wireshark 下，用Traceroute程序俘獲ICMP分組。Traceroute能夠映射出通往特定的因特網(wǎng)主機(jī)途徑的所有中

9、間主機(jī)。源端發(fā)送一串ICMP分組到目的端。發(fā)送的第一個(gè)分組時(shí)，TTL=1；發(fā)送第二個(gè)分組時(shí)，TTL=2，依次類推。路由器把經(jīng)過它的每一個(gè)分組TTL字段值減1。當(dāng)一個(gè)分組到達(dá)了路由器時(shí)的TTL字段為1時(shí)，路由器會(huì)發(fā)送一個(gè)ICMP錯(cuò)誤分組（ICMP error packet）給源端。(1) 啟動(dòng)Window 命令提示符窗口(2) 啟動(dòng)Wireshark分組嗅探器，開始分組俘獲。（3）Tracert命令在c:windowssystem32下，所以在MS-DOS 命令提示行或者輸入“tracert hostname” or “c:windowssystem32tracert hostname” (注意

10、在Windows 下, 命令是 “tracert” 而不是“traceroute”。)如圖4所示：（4）當(dāng)Traceroute 程序終止時(shí)，停止分組俘獲。 圖4.4 命令提示窗口顯示Traceroute程序結(jié)果圖4.5顯示的是一個(gè)路由器返回的ICMP錯(cuò)誤分組（ICMP error packet）。注意到ICMP錯(cuò)誤分組中包括的信息比Ping ICMP中錯(cuò)誤分組包含的信息多。圖4.5 一個(gè)擴(kuò)展ICMP錯(cuò)誤分組信息的Wireshark 窗口在實(shí)驗(yàn)報(bào)告中回答下面問題：（1） 查看ICMP echo 分組 ，是否這個(gè)分組和前面使用 ping命令的ICMP echo 一樣？ 前者 data 32 后者 data 64（2） 查看ICMP錯(cuò)誤分組，它比IC