搜索

[21064] 2020-06-07_TCPIP-PING包大小分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-07_TCPIP-PING包大小分析 T C P / I P - P I N G 包 大 小 分 析 L e m o n S e c   2 0 2 0 - 0 6 - 0 7 在 排 查 网 络 错 误 的 过 程 中 ， P I N G 是 我 们 必 不 可 少 的 排 错 手 段 ， P I N G 是 基 于 I C M P 协 议 ， 但 你 真 的 了 解 P I N G 么 ？ 列 如 ：         1 . 电 脑 P I N G 一 个 包 ， 抓 包 得 到 的 数 据 包 大 小 是 多 少 字 节 ， 请 求 与 回 应 的 包 结 构 是 什 么 样 的 呢 ？         2 . 如 果 使 用 指 定 P I N G 包 携 带 字 节 大 小 为 1 字 节 ， 那 么 抓 包 得 到 的 数 据 包 请 求 与 回 应 大 小 又 是 多 少 呢 ？ 今 天 在 安 全 巡 检 时 候 ， 运 维 的 一 个 同 事 问 了 上 面 这 样 的 俩 个 问 题 ， 我 给 的 答 案 是 ， 最 小 的 应 该 是 6 4 字 节 ， 一 般 P I N G 包 大 小 的 话 ， 我 的 看 看 I C M P 占 用 多 长 字 节 才 知 道 。         也 许 观 察 仔 细 的 同 学 知 道 ， 电 脑 一 般 P I N G 包 携 带 3 2 字 节 ， 也 就 是 这 种 ： 那 么 抓 包 所 得 到 的 字 节 大 小 呢 ？         7 4 字 节 ， 由 以 太 网 头 部 1 4 个 字 节 （ 源 目 M A C 各 6 个 字 节 ， T y p e   2 个 字 节 ） + I P 包 头 2 0 个 字 节 + I C M P   4 0 个 字 节 （ 8 个 固 定 字 节 + 3 2 个 d a t a 字 节 ） ， 回 包 也 应 是 如 此 。         根 据 R F C 8 9 4 文 档 指 明 ， 以 太 网 封 装 I P 数 据 包 的 最 大 长 度 是 1 5 0 0 字 节 ， 也 就 是 说 以 太 网 最 大 帧 长 应 该 是 以 太 网 首 部 加 上 1 5 0 0 ， 再 加 上 7 字 节 的 前 导 同 步 码 和 1 字 节 的 帧 开 始 定 界 符 ， 具 体 就 是 ： 7 字 节 前 导 同 步 码   +   1 字 节 帧 开 始 定 界 符   +   6 字 节 的 目 的 M A C   +   6 字 节 的 源 M A C   +   2 字 节 的 帧 类 型   +   1 5 0 0   +   4 字 节 的 F C S 。 也 就 是 1 5 2 6 字 节 ！         但 抓 包 却 是 这 个 数 值 呢 ？ 原 因 是 当 数 据 帧 到 达 网 卡 时 ， 在 物 理 层 上 网 卡 要 先 去 掉 前 导 同 步 码 和 帧 开 始 定 界 符 ， 然 后 对 帧 进 行 C R C 检 验 ， 如 果 帧 校 验 和 出 错 ， 就 丢 弃 此 帧 。 如 果 校 验 和 正 确 ， 就 判 断 帧 的 目 的 硬 件 地 址 是 否 符 合 自 己 的 接 收 条 件 （ 目 的 地 址 是 自 己 的 物 理 硬 件 地 址 、 广 播 地 址 、 可 接 收 的 多 播 硬 件 地 址 等 ） ， 如 果 符 合 ， 就 将 帧 交 给 “ 设 备 驱 动 程 序 ” 做 进 一 步 处 理 。 这 时 我 们 抓 包 的 软 件 才 能 抓 到 数 据 ， 因 此 ， 抓 包 软 件 抓 到 的 是 去 掉 前 导 同 步 码 、 帧 开 始 分 界 符 、 F C S 之 外 的 数 据 ， 其 最 大 值 是 6   +   6   +   2   +   1 5 0 0   =   1 5 1 4 。
那 么 如 果 P I N G 指 定 字 节 的 长 度 呢 ？ 比 如 P I N G 带 一 个 字 节 长 度 ， 数 据 包 字 节 大 小 应 该 是 以 太 网 头 部 1 4 个 字 节 + I P 报 头 2 0 个 字 节 + I C M P   9 个 字 节 ， 也 就 是 4 3 个 字 节 ， 回 包 也 亦 是 如 此 。 等 等 ， 以 太 网 传 输 最 短 字 节 不 应 该 是 6 4 字 节 么 ？ 那 么 ， 会 是 在 I P 还 是 I C M P 部 分 填 充 ， 直 到 达 到 6 4 字 节 呢 ？ （ 以 下 是 在 请 求 主 机 抓 的 报 文 ） 为 什 么 P I N G 包 请 求 是 4 3 字 节 ， 回 包 却 是 6 0 字 节 ？         这 是 由 于 以 太 网 规 定 ， 以 太 网 帧 数 据 域 部 分 最 小 为 4 6 字 节 ， 也 就 是 以 太 网 帧 最 小 是   6   +   6   +   2   +   4 6   +   4   =   6 4 。 除 去 4 个 字 节 的 F C S ， 因 此 ， 抓 包 时 就 是 6 0 字 节 。 当 数 据 字 段 的 长 度 小 于 4 6 字 节 时 ， M A C 子 层 就 会 在 数 据 字 段 的 后 面 填 充 以 满 足 数 据 帧 长 不 小 于 6 4   字 节 。 由 于 填 充 数 据 是 由 M A C 子 层 负 责 ， 也 就 是 设 备 驱 动 程 序 。 不 同 的 抓 包 程 序 和 设 备 驱 动 程 序 所 处 的 优 先 层 次 可 能 不 同 ， 抓 包 程 序 的 优 先 级 可 能 比 设 备 驱 动 程 序 更 高 ， 也 就 是 说 ， 我 们 的 抓 包 程 序 可 能 在 设 备 驱 动 程 序 还 没 有 填 充 不 到 6 4 字 节 帧 的 时 候 ， 已 经 捕 获 了 数 据 。 因 此 不 同 的 抓 包 工 具 抓 到 的 数 据 帧 的 大 小 可 能 不 同 。 （ 比 如 以 上 这 种 情 况 ， 就 是 由 于 没 有 抓 到 设 备 驱 动 填 充 字 段 ）         现 在 ， 我 们 来 看 当 前 请 求 和 回 应 报 文 详 细 情 况 。 请 求 报 文 ：
回 应 报 文 ： 也 就 是 ， 在 回 应 报 文 的 以 太 网 帧 填 充 了 数 据 ， 并 且 填 充 长 度 恰 好 为 1 7 字 节 （ 6 0 回 应 报 文   -   4 3 请 求 报 文 ） 。 刚 刚 好 满 足 之 前 结 论 ， 1 4 ( 以 太 网 固 定 字 节 ) + 1 7 ( 以 太 网 填 充 字 段 ) + 2 0 ( I P 包 头 ) + 9 ( 8 个 I C M P 固 定 头 部 + 一 个 d a t a 字 节 ) 。         若 同 时 在 回 应 主 机 上 抓 包 ， 会 发 现 数 据 包 字 节 恰 好 反 过 来 ， 也 就 是 请 求 6 0 字 节 ， 回 应 4 3 字 节 。       作 者 ： 梦 之 深 海 链 接 ： h t t p s : / / w w w . j i a n s h u . c o m / p / 3 a b 6 e 3 1 e d b a 8
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理