實(shí)驗(yàn)四-利用Wireshark分析ICMP

1、5/5實(shí)驗(yàn)四利用Wireshark分析ICMP一、實(shí)驗(yàn)?zāi)康姆治鯥CMP二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟Ping和traceroute命令都依賴于ICMP。ICMP可以看作是IP協(xié)議的伴隨協(xié)議。ICMP報(bào)文被封裝在IP 數(shù)據(jù)報(bào)發(fā)送。一些ICMP報(bào)文會(huì)請(qǐng)求信息。例如：在ping中，一個(gè)ICMP回應(yīng)請(qǐng)求報(bào)文被發(fā)送給遠(yuǎn)程主機(jī)。如果對(duì)方主機(jī)存在，期望它們返回一個(gè)ICMP回應(yīng)應(yīng)答報(bào)文。一些ICMP報(bào)文在網(wǎng)絡(luò)層發(fā)生錯(cuò)誤時(shí)發(fā)送。例如，有一種ICMP報(bào)文類型表示目的不可達(dá)。造成不可達(dá)的原因很多，ICMP報(bào)文試圖確定這一問題。例如，可能

2、是主機(jī)關(guān)及或整個(gè)網(wǎng)絡(luò)連接斷開。有時(shí)候，主機(jī)本身可能沒有問題，但不能發(fā)送數(shù)據(jù)報(bào)。例如IP首部有個(gè)協(xié)議字段，它指明了什么協(xié)議應(yīng)該處理IP數(shù)據(jù)報(bào)中的數(shù)據(jù)局部。IANA公布了代表協(xié)議的數(shù)字的列表。例如，如果該字段是6，代表TCP報(bào)文段,IP層就會(huì)把數(shù)據(jù)傳給TCP層進(jìn)展處理；如果該字段是1，那么代表ICMP報(bào)文，IP層會(huì)將該數(shù)據(jù)傳給ICMP處理。如果操作系統(tǒng)不支持到達(dá)數(shù)據(jù)報(bào)中協(xié)議字段的協(xié)議號(hào)，它將返回一個(gè)指明協(xié)議不可達(dá)的ICMP報(bào)文。IANA同樣公布了ICMP報(bào)文類型的清單。Traceroute是基于ICMP的靈活用法和IP首部的生存時(shí)間字段的。發(fā)送數(shù)據(jù)報(bào)時(shí)生存時(shí)間字段被初始化為能夠穿越網(wǎng)絡(luò)的最大跳數(shù)。

3、每經(jīng)過一個(gè)中間節(jié)點(diǎn)，該數(shù)字減1。當(dāng)該字段為0時(shí)，保存該數(shù)據(jù)報(bào)的機(jī)器將不再轉(zhuǎn)發(fā)它。相反，它將向源IP地址發(fā)送一個(gè)ICMP生存時(shí)間超時(shí)報(bào)文。生存時(shí)間字段用于防止數(shù)據(jù)報(bào)載網(wǎng)絡(luò)上無休止地傳輸下去。數(shù)據(jù)報(bào)的發(fā)送路徑是由中間路由器決定的。通過與其他路由器交換信息，路由器決定數(shù)據(jù)報(bào)的下一條路經(jīng)。最好的下一跳經(jīng)常由于網(wǎng)絡(luò)環(huán)境的變化而動(dòng)態(tài)改變。這可能導(dǎo)致路由器形成選路循環(huán)也會(huì)導(dǎo)致正確路徑?jīng)_突。在路由循環(huán)中這種情況很可能發(fā)生。例如，路由器A認(rèn)為數(shù)據(jù)報(bào)應(yīng)該發(fā)送到路由器B，而路由器B又認(rèn)為該數(shù)據(jù)報(bào)應(yīng)該發(fā)送會(huì)路由器A，這是數(shù)據(jù)報(bào)便處于選路循環(huán)中。生存時(shí)間字段長(zhǎng)為8位，所以因特網(wǎng)路徑的最大長(zhǎng)度為28 -1即255跳。大多

4、數(shù)源主機(jī)將該值初始化為更小的值如128或64。將生存時(shí)間字段設(shè)置過小可能會(huì)使數(shù)據(jù)報(bào)不能到達(dá)遠(yuǎn)程目的主機(jī)，而設(shè)置過大又可能導(dǎo)致處于無限循環(huán)的選路中。Traceroute利用生存時(shí)間字段來映射因特網(wǎng)路徑上的中間節(jié)點(diǎn)。為了讓中間節(jié)點(diǎn)發(fā)送ICMP生存時(shí)間超時(shí)報(bào)文，從而暴露節(jié)點(diǎn)本身信息，可成心將生存時(shí)間字段設(shè)置為一個(gè)很小的書。具體來說，首先發(fā)送一個(gè)生存時(shí)間字段為1的數(shù)據(jù)報(bào)，收到ICMP超時(shí)報(bào)文，然后通過發(fā)送生存時(shí)間字段設(shè)置為2的數(shù)據(jù)報(bào)來重復(fù)上述過程，直到發(fā)送ICMP生存時(shí)間超時(shí)報(bào)文的機(jī)器是目的主機(jī)自身為止。因?yàn)樵诜纸M交換網(wǎng)絡(luò)中每個(gè)數(shù)據(jù)報(bào)時(shí)獨(dú)立的，所以由traceroute發(fā)送的每個(gè)數(shù)據(jù)報(bào)的傳送路徑實(shí)際上

5、互不一樣。認(rèn)識(shí)到這一點(diǎn)很重要。每個(gè)數(shù)據(jù)報(bào)沿著一條路經(jīng)對(duì)中間節(jié)點(diǎn)進(jìn)展取樣，因此traceroute可能暗示一條主機(jī)間并不存在的連接。因特網(wǎng)路徑經(jīng)常變動(dòng)。在不同的日子或一天的不同時(shí)間對(duì)同一個(gè)目的主機(jī)執(zhí)行幾次traceroute命令來探尋這種變動(dòng)都會(huì)得到不同的結(jié)果。為了表達(dá)Internet路由的有限可見性，許多網(wǎng)絡(luò)都維護(hù)了一個(gè)traceroute效勞器traceroute。Traceroute效勞器將顯示出從本地網(wǎng)到一個(gè)特定目的地執(zhí)行traceroute的結(jié)果。分布于全球的traceroute效勞器的相關(guān)信息可在.上獲得。1、ping 和 ICMP利用Ping程序產(chǎn)生IC

6、MP分組。Ping向因特網(wǎng)中的某個(gè)特定主機(jī)發(fā)送特殊的探測(cè)報(bào)文并等待說明主機(jī)在線的回復(fù)。具體做法：1翻開Windows命令提示符窗口Windows mand Prompt。2啟動(dòng)Wireshark 分組嗅探器，在過濾顯示窗口filter display window中輸入icmp,開場(chǎng)Wireshark 分組俘獲。3輸入ping n 10 hostname。其中-n 10指明應(yīng)返回10條ping信息。4當(dāng)ping程序終止時(shí)，停頓Wireshark 分組俘獲。實(shí)驗(yàn)完畢后會(huì)出現(xiàn)如下圖的命令窗口：圖4.1 命令窗口停頓分組俘獲后，會(huì)出現(xiàn)如圖4.2所示的界面：圖4.2 停頓分組俘獲后Wireshark的

7、界面圖4.3是在分組容窗口中顯示了ICMP協(xié)議的詳細(xì)信息。觀察這個(gè)ICMP分組，可以看出，此ICMP分組的Type 8 and Code 0 即所謂的ICMP echo request分組。圖4.3 ICMP協(xié)議詳細(xì)信息在實(shí)驗(yàn)報(bào)告中答復(fù)下面問題：1你所在主機(jī)的IP地址是多少？目的主機(jī)的IP地址是多少？主機(jī)：目的：2查看ping請(qǐng)求分組，ICMP的type 和code是多少？這個(gè)ICMP 包包含了哪些其他的字段？Checksum、sequence number 和identifier 字段的值各為多少？Type:8 code:0Checksum:0 x1852 sequence number:2

8、357(0 x0935)Identifier:256(0 x0100)3查看相應(yīng)得ICMP響應(yīng)信息，ICMP的type 和code又是多少？這個(gè)ICMP 包包含了哪些其他的字段？Checksum、sequence number 和identifier 字段的值各為多少？Type:0 code:0Checksum:0 x2052 sequence number:2357Identifier:2562. ICMP和Traceroute在Wireshark 下，用Traceroute程序俘獲ICMP分組。Traceroute能夠映射出通往特定的因特網(wǎng)主機(jī)途徑的所有中間主機(jī)。源端發(fā)送一串ICMP分組到

9、目的端。發(fā)送的第一個(gè)分組時(shí)，TTL=1；發(fā)送第二個(gè)分組時(shí)，TTL=2，依次類推。路由器把經(jīng)過它的每一個(gè)分組TTL字段值減1。當(dāng)一個(gè)分組到達(dá)了路由器時(shí)的TTL字段為1時(shí)，路由器會(huì)發(fā)送一個(gè)ICMP錯(cuò)誤分組ICMP error packet給源端。(1)啟動(dòng)Window 命令提示符窗口(2)啟動(dòng)Wireshark分組嗅探器，開場(chǎng)分組俘獲。3Tracert命令在c:windowssystem32下，所以在MS-DOS 命令提示行或者輸入tracert hostname or c:windowssystem32tracert hostname (注意在Windows 下, 命令是tracert而不是traceroute。)如圖4所示：4當(dāng)Traceroute 程序終止時(shí)，停頓分組俘獲。圖4.4 命令提示窗口顯示Traceroute程序結(jié)果圖4.5顯示的是一個(gè)路由器返回的ICMP錯(cuò)誤分組ICMP error packet。注意到ICMP錯(cuò)誤分組中包括的信息比Ping ICMP中錯(cuò)誤分組包含的信息多。圖4.5 一個(gè)擴(kuò)展ICMP錯(cuò)誤分組信息的Wireshark 窗口在實(shí)驗(yàn)報(bào)告中答復(fù)下面問題：（1）查看ICMP echo 分組，是否這個(gè)分組和前面使用 ping命令的ICMP echo 一樣？前者 data 32 后者 data 64（2）查看IC