别再背书了！Wireshark 抓包实战：IP 和 ICMP 的那些“猫腻”
别再背书了！Wireshark 抓包实战：IP 和 ICMP 的那些“猫腻”
1. 开场白：别再纸上谈兵了！
还在对着 RFC 文档啃 IP 头部的每一位？还在背诵 ICMP 的类型和代码？兄弟，时代变了！2026 年了，谁还死记硬背啊？ 别说我没提醒你，光看书，你永远也搞不明白 IP 和 ICMP 协议的真正作用。那些“入门教程”啊，讲得云里雾里，看完更懵逼。 真正理解网络协议，必须得撸起袖子，抄起 Wireshark，抓包！抓包！抓包！重要的事情说三遍。只有亲眼看到数据包，才能理解那些字段的含义，才能发现潜在的安全风险。
当年我刚入行的时候，也是啃书啃到头秃。后来有位老鸟告诉我，别光看书，去抓包！我试了一下，嘿，真灵！一下子就打通了任督二脉，感觉自己瞬间牛逼了起来。所以，今天我就把我的经验分享给大家，带你一起用 Wireshark 抓包，分析 IP 和 ICMP 协议的那些“猫腻”。
2. 实验环境搭建：磨刀不误砍柴工
想玩转 Wireshark 抓包，首先得有个趁手的工具。Wireshark 的安装我就不多说了，直接去官网下载就行。不过，在开始抓包之前，我们还需要做一些准备工作，避免踩坑：
- 虚拟机： 推荐使用 VirtualBox 或 VMware，搭建一个虚拟网络环境。这样可以避免在真实网络环境中抓包，影响其他用户的正常使用。
- 网络设置： 虚拟机需要配置网络连接方式。可以选择桥接模式、NAT 模式或仅主机模式。桥接模式可以直接连接到物理网络，NAT 模式可以通过宿主机进行网络访问，仅主机模式只能在虚拟机之间进行通信。建议初学者使用 NAT 模式，简单方便。
- Wireshark 配置： 安装 Wireshark 后，需要配置抓包接口。选择正确的网络接口才能抓到数据包。一般情况下，选择与虚拟机网络连接的接口即可。
实用小技巧：
- 过滤器： Wireshark 提供了强大的过滤器功能，可以帮助我们快速找到目标数据包。例如，可以使用
ip.addr == 192.168.1.100过滤出与 IP 地址 192.168.1.100 相关的数据包。 - 显示设置： 可以自定义 Wireshark 的显示设置，例如，更改颜色规则，突出显示特定类型的数据包。
3. IP 数据包分析：解剖“快递包裹”
IP 数据包是互联网上数据传输的基本单元，就像一个快递包裹，包含了源地址、目标地址、数据内容等信息。下面我们用 Wireshark 抓取一个 IP 数据包，然后对其进行详细分析。
抓包后，可以看到 Wireshark 显示了大量的网络数据包。我们可以使用过滤器 ip 来只显示 IP 数据包。
展开一个 IP 数据包，可以看到 IP 头部包含了以下重要字段：
- 版本号 (Version)： 指示 IP 协议的版本，通常为 4 (IPv4) 或 6 (IPv6)。
- 首部长度 (IHL)： 指示 IP 头部占用的字节数。通常为 20 字节，如果包含选项字段，则长度会增加。
- 服务类型 (DSCP/ECN)： 用于区分不同类型的数据包，例如，高优先级的数据包可以获得更好的服务质量。
- 总长度 (Total Length)： 指示 IP 数据包的总长度，包括头部和数据部分。
- 标识 (Identification)： 用于标识 IP 数据包的分片。如果 IP 数据包被分片，则具有相同的标识。
- 标志 (Flags)： 用于指示 IP 数据包是否允许分片，以及是否是最后一个分片。
- 片偏移 (Fragment Offset)： 指示 IP 数据包分片在原始数据包中的偏移量。
- 生存时间 (TTL)： 指示 IP 数据包在网络中可以存活的最大跳数。每经过一个路由器，TTL 值减 1，当 TTL 值为 0 时，数据包被丢弃。 TTL 字段可以用来判断数据包经过了多少跳，从而推断网络拓扑结构。
- 协议 (Protocol)： 指示 IP 数据包中封装的上层协议，例如，TCP、UDP 或 ICMP。
- 首部校验和 (Header Checksum)： 用于校验 IP 头部是否损坏。
- 源 IP 地址 (Source Address)： 指示 IP 数据包的发送者 IP 地址。
- 目标 IP 地址 (Destination Address)： 指示 IP 数据包的接收者 IP 地址。
举个栗子：
假设我们抓取到一个 IP 数据包，其 TTL 值为 64。经过分析，我们发现数据包经过了 5 个路由器才到达目标主机。那么，我们可以推断出数据包的初始 TTL 值为 69 (64 + 5)。
4. ICMP 协议分析：网络世界的“侦察兵”
ICMP 协议是 Internet 控制报文协议，用于在 IP 主机或路由器之间传递控制消息。例如，当数据包无法到达目标主机时，路由器会发送 ICMP 目标不可达消息。
下面我们使用 Wireshark 抓取 ICMP 数据包，并对其进行详细分析。
抓包后，我们可以使用过滤器 icmp 来只显示 ICMP 数据包。
展开一个 ICMP 数据包，可以看到 ICMP 报文包含了以下重要字段：
- 类型 (Type)： 指示 ICMP 报文的类型，例如，回显请求 (Echo Request)、回显应答 (Echo Reply)、目标不可达 (Destination Unreachable)、超时 (Time Exceeded) 等。
- 代码 (Code)： 指示 ICMP 报文的子类型，例如，目标不可达报文可以指示网络不可达、主机不可达、端口不可达等。
- 校验和 (Checksum)： 用于校验 ICMP 报文是否损坏。
结合 ping 和 traceroute 命令：
- ping 命令： 使用 ICMP 回显请求和回显应答报文来测试网络连通性。当 ping 命令成功时，会收到 ICMP 回显应答报文。当 ping 命令失败时，可能会收到 ICMP 目标不可达报文或超时报文。
- traceroute 命令： 使用 ICMP 超时报文来跟踪数据包的路由路径。traceroute 命令会发送一系列 TTL 值递增的 UDP 数据包，当数据包到达路由器时，路由器会发送 ICMP 超时报文。通过分析这些超时报文，我们可以了解数据包经过的路由器。
通过分析 traceroute 的结果，可以发现网络中的瓶颈。例如，如果某个路由器的响应时间明显高于其他路由器，则该路由器可能是网络瓶颈。
5. 安全漏洞挖掘：魔鬼藏在细节里
IP 和 ICMP 协议虽然是网络通信的基础，但也存在一些潜在的安全漏洞。例如：
- ICMP flood 攻击： 攻击者发送大量的 ICMP 回显请求报文，消耗目标主机的资源，导致拒绝服务。
- IP 欺骗攻击： 攻击者伪造源 IP 地址，冒充其他主机发送数据包。这种攻击可以用于绕过防火墙的访问控制，或者进行恶意攻击。
如何通过 Wireshark 抓包来检测这些攻击：
- ICMP flood 攻击： 通过 Wireshark 抓包，可以观察到大量的 ICMP 回显请求报文，源 IP 地址可能来自不同的主机。
- IP 欺骗攻击： 通过 Wireshark 抓包，可以观察到源 IP 地址与实际发送数据包的主机不符。
防御建议：
- 配置防火墙规则： 限制 ICMP 流量，例如，禁止 ICMP 回显请求报文通过防火墙。
- 使用入侵检测系统 (IDS)： 监控网络流量，检测 ICMP flood 攻击和 IP 欺骗攻击。
6. 总结：实践出真知
说了这么多，最重要的还是实践！理论知识再好，不如动手抓几个包。只有亲身经历过，才能真正理解 IP 和 ICMP 协议的精髓。希望本文能够帮助你入门 Wireshark 抓包分析，提升你的网络安全技能。
思考题：
除了本文介绍的漏洞，你还能发现哪些与 IP 和 ICMP 相关的安全问题？ 欢迎在评论区分享你的经验！