抓包过程分析

抓包工具实践
两台计算机连接网线后已经ping通，本机所用的专用网IP：192.168.0.11，另一台计算机的专用网IP：192.168.0.101.

1. ARP请求与ARP响应报文的抓取与分析：

已知在网络通讯的时候，源主机的应用程序是可以知道目的主机的IP地址和端口号的（由IP数据报文的格式决定），而且不知道目的主机的硬件地址，但是通信时，MAC帧会先经过网卡才可以传入上层进行处理，因此ARP协议就是通过IP地址得出硬件地址的一个有用的协议，其数据帧格式如下：
以太网首部（1） 以太网ARP字段（2）
以太网首部的帧格式如下：
以太网目的地址（6bytes） 以太网源地址
（6bytes） 帧类型（2bytes）
以太网ARP字段格式如下：
硬件类型（2bytes） 协议类型（2bytes） 硬件地址长度（1bytes） 协议地址长度（1bytes） 操作数（2bytes）
发送端以太网地址（6bytes） 发送端ip地址（4bytes） 目的以太网地址（6bytes） 目的ip地址（4bytes） 无
接收MAC帧数据报文如下：

以太网首部：
（1） 目的MAC：00 E0 4C 83 C1 5D
（2） 源MAC: C8 5B 76 FC 2B 1B (本机以太网地址)
（3） 帧类型： 0806 表示是ARP帧类型。
（4） 数据长度 ： 46bytes
ARP字段：
（1） 硬件类型： 0001 表示是以太网。
（2） 协议类型： 0800 表示表示ARP协议的上层是IP协议，即这段数据报文需要交付给目标的网络层进行处理。
（3） 硬件地址长度：06
（4） 协议地址长度：04
（5） 操作数：00 01 表明是ARP请求。
（6） 发送端以太网地址：C8 5B 76 FC 2B 1B
（7） 发送端IP地址： C0 A8 00 0B(192.168.0.11)
（8） 目的mac地址： 00 E0 4C 83 C1 5D
（9） 目的IP: C0 A8 00 65
剩余部分为填充字段，确保MAC格式为64位

ARP响应报文mac数据格式：
分析同上：

所以，该ARP请求数据包的请求MAC地址：

对应的IP地址是：192.168.0.101；

2. ICMP报文的抓取与分析：

ICMP ECHO对应的MAC帧：

MAC帧数据分析：

MAC数据解析：
目的MAC地址：00 E0 4C 83 C1 5D(6BYTES)
源MAC : C8 5B 76 FC 2B 1B
上层帧类型： 0x0800 （IP）
数据长度：78bytes-4bytes-14bytes = 60bytes
IP数据解析：
版本号： 4
首部长度 ： 5 （5个32位的字，故20bytes）
区分服务：00 由于ICMP协议未使用到区分服务，故为0
总长度： 60bytes
标识：8912h 表示该数据报是第8912H个数据包
标志：000 MF = 0 该报文是标识规定的最后一个报文
DF = 0 不能分片
片偏移 ： 0 （13bits）
生存时间： 80h 可以进行128次路由转发
协议 ： 01 标识ICMP报文
首部校验和：2f ee
源地址：C0 A8 00 0B —— 192.168.0.11
目的地址： C0 A8 00 65 —— 192.168.0.101
数据部分： 根据协议内容可以判断这一部分是icmp报文

ICMP数据分析：
类型（8bits） 代码（8bits） 校验和（16bits）
标识（16bits） 序列号（16bits） 数据部分
类型： 08
代码： 00
校验和：4d54
标识： 0x00 01
序列号： 00 07
单次ping成功的时间：
数据 ：

ICMP echo REPLY 分析同上：

首部长度： 20bytes
总长度： 00 3c
生存时间： 128
协议 ： 01 ICMP
首部校验和 ：00 00
源IP地址：192.168.0.101
目的IP地址： 192.168.0.11

MAC帧、ip包、ICMP报文的关系
通过上述分析发现：ICMP数据报文是IP包的数据部分
Ip包是MAC帧的数据部分
例子： 搭建好网络后，使用PING命令初步测试网络是否连通，该主机产生ICMP报文，下传给计算机网络层后，该报文作为数据部分被封装成IP包，然后下传给数据链路层，ip包又作为MAC层的数据包被封装成MAC帧。