目录

1.抓取数据包

2．ping request数据包解析

2.1 ICMP

2.2 传输层

2.3 以太帧

2.3 数据链路层

3. ping reply数据包解析

1.抓取数据包

先用管理员权限打开WireShark应用，并在条件过滤栏输入“icmp”。打开cmd，输入:ping www.baidu.com。

这样我们在命令行中，得到如下的一个显示结果：

wireshark中显示如下的一个结果：

我们以35/36帧为例，来进行数据包的解析。比较这两帧的时间差，可以看到时间差为18.993ms，这个值跟cmd中显示的时间差19ms是可以对应起来的。

2．ping request数据包解析

我们按照TCP/IP四层模型自上而下的方式来分析ping request数据包，因为该数据就是从应用层开始，逐层添加报头来完成的数据包封包的。对端设备接收到后，又一层一层去掉报头，来获取里面的数据。这好像一个包包子和剥洋葱的过程，O(∩_∩)O哈哈~

2.1 ICMP

应用层是直接使用的icmp封包格式，如下图所示。可以看到整个数据包为40个字节。

icmp数据包的结构如下。

各字段的解释如下：

下面罗列一些常见的ICMP报文类型：

可以看到利用wireshark抓取的icmp如下，跟上面的icmp数据包可以对应起来。

2.2 传输层

传输层是增加的IP报文头部，如下图所示，工20个字节。

我们先看一下IP数据包的格式，它包括IP手部和数据部分，数据部分在本例中就是ICMP数据包。

IP头部各字段的解释:

从上面的表格可以看出，上面的字段长度加起来正好是20个字节，也就是IP头部的最小长度大小。

如果有其他数据需要放到IP头部，则可以放到可选字段，填充字段是为了保证IP头部满足4字节整数倍的要求增加的字段。

我们再结合wireshark抓取的数据做一下分析:

2.3 以太帧

我们选中以太帧报文（红色方框圈中的地方），则下面有14个字节被选中了（绿色方框圈中的地方）。可以看到圈中的数据分别是：目的地址的mac地址，源地址的mac地址，还有一个值为0x8000的数据。

我们先看一下以太帧的数据报格式：

这个0x8000表示的就是上层协议类型为ipv4。

2.3 数据链路层

双击第35帧数据包，可以得到如下的显示结果。点击数据链路层报文（红色方框标注的地方），可以看到整个74字节的报文内容（绿色方框圈起来的地方）就被选中了，这说明ping request数据链路层报文一共有74个字节。

双击该行，可以展开看到里面更详细的内容：

3. ping reply数据包解析

reply数据包跟request包没有大的区别，在这里就不用再次分析了。

如有错误，请帮忙留言指出，感谢~

今天的文章wireshark抓包分析ping数据包分享到此就结束了，感谢您的阅读。