昨天有位学习网络编程的兄弟对于TCP/IP里一些协议与概念性的东西很模糊，想让我给他讲解一下ICMP。
这不正有空，于是乎随手抓了个ICMP的包给他分析了一下：
(前面这些概念性的东西，这是基础的，必看！)
ICMP报文包含在IP数据报中，属于IP的一个用户，IP头部就在ICMP报文的前面。
所以一个ICMP报文包括IP头部、ICMP头部和ICMP报文（见图表，ICMP报文的结构和几种常见的ICMP报文格式）
IP头部的Protocol值为1就说明这是一个ICMP报文，ICMP头部中的类型（Type）域用于说明ICMP报文的作用及格式，
此外还有一个代码（Code）域用于详细说明某种ICMP报文的类型，所有数据都在ICMP头部后面。
RFC定义了13种ICMP报文格式，具体如下：
(思考：你可以在下面的包里找找，看看我下面抓的包的类型代码是多少，假如我PING不通主机会不会有ICMP数据包，为什么？)
类型代码 类型描述
0 响应应答（ECHO-REPLY）
3 不可到达
4 源抑制
5 重定向
8 响应请求（ECHO-REQUEST）
11 超时
12 参数失灵
13 时间戳请求
14 时间戳应答
15 信息请求（*已作废）
16 信息应答（*已作废）
17 地址掩码请求
18 地址掩码应答
其中代码为15、16的信息报文已经作废。
下面是几种常见的ICMP报文：
1.响应请求
我们日常使用最多的ping，就是响应请求（Type=8）和应答（Type=0），一台主机向一个节点发送一个Type=8的ICMP
报文，如果途中没有异常（例如被路由器丢弃、目标不回应ICMP或传输失败），则目标返回Type=0的ICMP报文，
说明这台主机存在，更详细的tracert通过计算ICMP报文通过的节点来确定主机与目标之间的网络距离。
2.目标不可到达、源抑制和超时报文
这三种报文的格式是一样的，目标不可到达报文（Type=3）在路由器或主机不能传递数据报时使用
，例如我们要连接对方一个不存在的系统端口（端口号小于1024）时，将返回Type=3、Code=3的ICMP报文，
它要告诉我们：“嘿，别连接了，我不在家的！”，常见的不可到达类型还有网络不可到达（Code=0）、
主机不可到达（Code=1）、协议不可到达（Code=2）等。源抑制则充当一个控制流量的角色，
它通知主机减少数据报流量，由于ICMP没有恢复传输的报文，所以只要停止该报文，主机就会逐渐恢复传输速率。
最后，无连接方式网络的问题就是数据报会丢失，或者长时间在网络游荡而找不到目标，
或者拥塞导致主机在规定时间内无法重组数据报分段，这时就要触发ICMP超时报文的产生。
超时报文的代码域有两种取值：Code=0表示传输超时，Code=1表示重组分段超时。
3.时间戳
时间戳请求报文（Type=13）和时间戳应答报文（Type=14）用于测试两台主机之间数据报来回一次的传输时间。
传输时，主机填充原始时间戳，接收方收到请求后填充接收时间戳后以Type=14的报文格式返回，
发送方计算这个时间差。一些系统不响应这种报文。
理论知识讲这么，下面是我在命令行用WildPackets OmniPeek捕获到的本机数据包：
1、打开WildPackets OmniPeek，单击New ,在Filters里选择ICMP，然后确定点击右边的Start Capture:
2、依次点击“开始/运行”，输入cmd打开命令行:
3、在命令行输入ping www.qq.com回车即可，当ping通返回一次后立即按ctr + c终止，此时OmniPeek里就有两行ICMP包了：
4、回到OmniPeek中，此是有两行记录：
5、双击打开第一个数据包，内容如下：
这样，一个完整ICMP请求的数据包就呈现在我们面前了。
6、下面是从主机返回的数据包，也是抓到的第2个包（可以从Source IP Address与Dest. IP Address区分）,
下图的数据包每项信息等这些选项我就不解释了，参照横面的看看吧：
以上就是ICMP数据包的所有内容，看书的同时最好能实际抓包来看看，这样学习起来更能加深影像！
