关于Ping和Tracert命令原理和一点说明.doc

关于Ping和Tracert命令原理和一点说明本文只是总结了两个常用的网络命令的实现原理和一点使用经验说明。这些东西通常都分布在各种书籍或者文章中的，我勤快那么一点点，总结一下，再加上我的一点理解和使用经验，方便大家了解。这些也是很基础的东西，没什么高深的。Ping这个应该大家都会用的吧，最主要的就是检测目标主机是不是可连通。Ping程序实际就是发送一个ICMP回显请求报文给目的主机，并等待回显的ICMP应答。然后打印出回显的报文。Ping不通一个地址，并不一定表示这个IP不存在或者没有连接在网络上，因为对方主机可能做了限制，比如安装了防火墙，因此Ping不通并不表示不能使用FTP或者TELNET连接。PING得到的结果包括字节数、反应时间、以及生存时间。Ping程序通过在ICMP报文数据中存放发送请求的时间来计算返回时间。当应答返回时，根据现在时间减去报文中存放的发送时间就得到反应时间了。生存时间（TTL），本来就存放在IP数据报的头部，直接就能够获取。上次和Dancefire说天网防火墙的时候，现在不是天网能识别哪些程序在进行网络连接么，结果试验用Ping的时候，天网就不知道了，呵呵，反正是没有警告。那ICMP木马天网能防么？Tracert一个探测路由的程序，可以让我们看见IP数据报到达目的地经过的路由。Tracert利用ICMP数据报和IP数据报头部中的TTL值。TTL（Time To Live）是一个IP数据报的生存时间，当每个IP数据报经过路由器的时候都回把TTL值减去1或者减去在路由器中停留的时间，但是大多数数据报在路由器中停留的时间都小于1秒种，因此实际上就是在TTL值减去了1。这样，TTL值就相当于一个路由器的计数器。当路由器接收到一个TTL为0或者1的IP数据报的时候，路由器就不再转发这个数据了，而直接丢弃，并且发送一个ICMP“超时”信息给源主机。Tracert程序的关键就是这个回显的ICMP报文的IP报头的信源地址就是这个路由器的IP地址。同时，如果到达了目的主机，我们并不能知道，于是，Tracert还同时发送一个UDP信息给目的主机，并且选择一个很大的值作为UDP的端口，使主机的任何一个应用程序都不使用这个端口。所以，当达到目的主机的时候，UDP模块就产生一个“端口不可到达”的错误，这样就能判断是否是到达目的地了。有说法是利用ping得到的TTL值来判断主机类型，这种办法可以大概地用来判断，有人问为什么一般得到的都不是标准的TTL值。这个就是因为ICMP数据包走的路由器线路的原因，所以，用ping 和 tracert 一起来用更容易判断主机类型（不过并不一定两次走的路线都一样，所以，还是个大概值，不过更接近点，而且主机的默认TTL值是可以改变的）。C:ping 04Pinging 04 with 32 bytes of data:Reply from 04: bytes=32 time=20ms TTL=248Reply from 04: bytes=32 time10ms TTL=248Reply from 04: bytes=32 time=10ms TTL=248Reply from 04: bytes=32 time=10ms TTL=248Ping statistics for 04:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 0ms, Maximum = 20ms, Average = 10msC:tracert 04Tracing route to 04 over a maximum of 30 hops1 10 ms 10 ms 20 ms 212 10 ms 10 ms 10 ms 3 10 ms 10 ms 20 ms 24 20 ms 10 ms 10 ms 865 10 ms 10 ms 20 ms 706 10 ms 10 ms 10 ms 547 10 ms 10 ms 10 ms 04Trace complete.C:Ping得到的TTL=248，经过了7个路由器，减少了7，所以主机的TTL值是255。这样来判断吧。下面是一些主机的默认TTL值。LINUX Kernel 2.2.x & 2.4.x ICMP 回显应答的 TTL 字段值为 64FreeBSD 4.1, 4.0, 3.4;Sun Solaris 2.5.1, 2.6, 2.7, 2.8;OpenBSD 2.6, 2.7,NetBSDHP UX 10.20ICMP 回显应答的 TTL 字段值为 255Windows 95/98/98SEWindows MEICMP 回显应答的 TTL 字段值为 32Windows NTWindows 2000ICMP 回显应答的 TTL 字段值为 128 =ping用法标签：杂谈 分类：电脑 1:ping入门入门篇微软的命令提示符提供了一个很好的入侵平台，打开的方法是单击开始运行然后输入cmd进命令提示符，下面我们来看看一些经典的命令。（1）ping命令：ping命令是用来检查网络是否通畅以及网络连接速度的命令，对于黑客来说ping命令是第一个必须掌握的DOS命令，用Ping命令就是我们给目标IP地址发一个数据包，再根据返回值来判断目标主机的存在位置及操作系统等。下面我们来看看它的常用操作。在命令提示框中输入ping，回车。ping 的命令格式如下C:Documents and settingsAdministratorpingUsage: ping -t -a -n count -l size -f -i TTL -v TOS -r count -s count -j host-list : -k host-list -w timeout target_name 在此，我们只掌握一些基本的有用的参数就行了。-t 表示不间断的向目标IP发送数据包，直到我们按ctrl+c强迫其停止为止。如果你使用的是100M的宽带，而目标IP只是56K的小猫（调制解调器）那要不了多久目标IP就会因为接受不了这么多的数据而掉线，一次攻击就这么实现了。（不过现在已经米有什么人用56K的小猫了）l 定义发送数据包的大小，默认为32字节，最大为65500字节，再结合上面的-t一起使用，有更好的效果。例如 ping 20 -l 65500 -t(注：20为目标IP地址，65500为字节大小，可自行改动.)由于目标IP（20）有防火墙，所以我们ping 不进去显示Request timed out 我们可以按Ctrl+C让其停止。-n 定义向目标IP发送数据包的次数，默认为3次。如果n和t 一起使用，则以放在后面的为准。我们可以根据TTL（生存时间）返回值来判断其操作系统。 典型的例子 C:ping Pinging with 32 bytes of data:Reply from : bytes=32 time10ms TTL=128Reply from : bytes=32 time10ms TTL=128Reply from : bytes=32 time10ms TTL=128Reply from : bytes=32 time700)this.height=700; border=0上面用白线勾扩的地方是返回4个数据包12是论坛主机IP地址。bytes=32是发送的字节数time就是时间的意思 则返回的时间数值越小速度越快TTL是数据包从去到返回的所生存的时间.而根据LLT后面的数字我们还可以判断对方的操作系统比如返回的TTL=128对方主机则可能是WIN2000或WINXP系统，若TTL=250或TTL=64对方主机系统则可能是UNIX/LIUX操作系统而TTL=32对方则可能是WIN95/98系统.为什么说他可能呢?因为通过注册表可以来修改主机的操作系统.类型现在ping下咱们论坛的域名“ping 返回的TTL=119这样可基本判断出主机的是WINXP的系统。比如ping下百度的域名ping 通过下图我们可以看到返回的TTL=53，这样就基本可以判断百度的主机是LIUX操作系统。如果你“ping ”得到如下图的请求失败结果。首先检查网络设备是否正常，其次检查下本地连接里的DNS地址是否填写以及是否正确，以及检查下网线是否通畅、网线插口是否正确、若ping的是对方机器的IP就需要考虑下是否被对方的防火墙阻止掉。或许有人会问上面的论坛IP是怎样显示出来的？其实ping域名就可以显示出来，但是还有一个更加专业的命令就是“nslookup”。nslookup可以查询对应域名的IP地址以及A记录和CNAME记录，如果查到CNAME记录还回返回别名记录的设置记录。这里简单讲下“nslookup 域名”的用法 还是以论坛为例 在开始 运行中输入cmd打开命令提示符在输入以下命令“ nolookup ”就会得到如图所显示的结果，主要看下面用白色标记的地方域名和IP一样不差都显示出来了吧（关于nolookup命令的使用方法这里暂且不作详解，请谅解）7在此，我们就掌握一些ping常用到的命令-t 表示将不间断向目标IP发送数据包，直到我们强迫其停止方法 ping -t 在ping的时候如果想连续发送数据包 我们可以在 地址前或地址后加上一个-t比如 ping -t 或ping -t 都可以如果想停止此次命令 按下CTRL+C即可停止当前的命令（ctrl+c可停止命令提示符里的任务命令）-n 定义向目标IP发送数据包的次数，默认为3次这里发送6个数据包 我们可以这样输入“ping -n 6 ” 当发送6个数据包之后就会自动停止如果你只想确定下对方IP是否存在ping1次即可-l 定义发送数据包的大小，默认为32字节，它可以最大定义到65500字节他的使用方法跟以上的基本一样现在以发送一个600字节的数据包为例“ping -l 600 可不要小看这几个ping命令！如果你的网速够好完全可以使用以上的ping命令去”攻击“别人哦其实想用ping来测下你的网速也不是很难的，只要用下面的公式就可以算出 （网络高峰除外）网速等于=发送的字节数/返回的时间毫秒)K字节 看到测出来的网速可不要吃惊哦我们大家都知道，平时我们在安装小区宽带的时候总听到1M，2M的带宽，大部分朋友就认为下行的极限速度是2MB/s。其实不是这样的，这里所说的1M的带宽指的1Mb/s，也就是1024kb/s，而我们平时所说的下载速度是以KB/为单位，B和b是不一样的，B指BYTE（字节）而b指bit（位），他们之间的关系是8bit=1Byte，所以1M的带宽极限下载速度应该是1024kb/s除以8=128kB/s（2M带宽就是256KB/s），所以，网上那些提高网速的帖都是骗人的，这是极限没有办法超越的，除非服务商给你更高的带宽，当然你就要出钱了被，希望这个帖能让朋友们彻底弄清楚这个问题。 _2:ping的作用 Ping是潜水艇人员的专用术语，表示回应的声纳脉冲，在网络中Ping 是一个十分好用的TCP/IP工具。它主要的功能是用来检测网络的连通情况和分析网络速度。Ping有好的善的一面也有恶的一面。先说一下善的一面吧。上面已经说过Ping的用途就是用来检测网络的连同情况和分析网络速度，但它是通过什么来显示连通呢？这首先要了解Ping的一些参数和返回信息。以下是PING的一些参数：ping -t -a -n count -l length -f -i ttl -v tos -r count -s count -j computer-list | -k computer-list -w timeout destination-list-tPing 指定的计算机直到中断。-a将地址解析为计算机名。-n count发送 count 指定的 ECHO 数据包数。默认值为 4。-l length发送包含由 length 指定的数据量的 ECHO 数据包。默认为 32 字节；最大值是65,527。-f在数据包中发送不要分段标志。数据包就不会被路由上的网关分段。-i ttl将生存时间字段设置为 ttl 指定的值。-v tos将服务类型字段设置为 tos 指定的值。-r count在记录路由字段中记录传出和返回数据包的路由。count 可以指定最少 1 台，最多 9 台计算机。-s count指定 count 指定的跃点数的时间戳。-j computer-list利用 computer-list 指定的计算机列表路由数据包。连续计算机可以被中间网关分隔（路由稀疏源）IP 允许的最大数量为 9。-k computer-list利用 computer-list 指定的计算机列表路由数据包。连续计算机不能被中间网关分隔（路由严格源）IP 允许的最大数量为 9。-w timeout指定超时间隔，单位为毫秒。destination-list指定要 ping 的远程计算机。Ping的返回信息有Request Timed Out、Destination Net Unreachable和Bad IP address还有Source quench received。Request Timed Out这个信息表示对方主机可以到达到TIME OUT，这种情况通常是为对方拒绝接收你发给它的数据包造成数据包丢失。大多数的原因可能是对方装有防火墙或已下线。Destination Net Unreachable这个信息表示对方主机不存在或者没有跟对方建立连接。这里要说明一下destination host unreachable和time out的区别，如果所经过的路由器的路由表中具有到达目标的路由，而目标因为其它原因不可到达，这时候会出现time out，如果路由表中连到达目标的路由都没有，那就会出现destination host unreachable。Bad IP address 这个信息表示你可能没有连接到DNS服务器所以无法解析这个IP地址，也可能是IP地址不存在。Source quench received信息比较特殊，它出现的机率很少。它表示对方或中途的服务器繁忙无法回应。怎样使用Ping这命令来测试网络连通呢？连通问题是由许多原因引起的，如本地配置错误、远程主机协议失效等，当然还包括设备等造成的故障。首先我们讲一下使用Ping命令的步骤。使用Ping检查连通性有五个步骤：1. 使用ipconfig /all观察本地网络设置是否正确；2. Ping ， 回送地址Ping回送地址是为了检查本地的TCP/IP协议有没有设置好；3. Ping本机IP地址，这样是为了检查本机的IP地址是否设置有误；4. Ping本网网关或本网IP地址，这样的是为了检查硬件设备是否有问题，也可以检查本机与本地网络连接是否正常；（在非局域网中这一步骤可以忽略）5. Ping远程IP地址，这主要是检查本网或本机与外部的连接是否正常。在检查网络连通的过程中可能出现一些错误，这些错误总的来说分为两种最常见。1. Request Timed Outrequest time out这提示除了在PING（一）提到的对方可能装有防火墙或已关机以外，还有就是本机的IP不正确和网关设置错误。、IP不正确：IP不正确主要是IP地址设置错误或IP地址冲突，这可以利用ipconfig /all这命令来检查。在WIN2000下IP冲突的情况很少发生，因为系统会自动检测在网络中是否有相同的IP地址并提醒你是否设置正确。在NT中不但会出现request time out这提示而且会出现Hardware error这提示信息比较特殊不要给它的提示所迷惑。、网关设置错误：这个错误可能会在第四个步骤出现。网关设置错误主要是网关地址设置不正确或网关没有帮你转发数据，还有就是可能远程网关失效。这里主要是在你Ping外部网络地址时出错。错误表现为无法Ping外部主机返回信息Request timeout。2. Destination Host Unreachable当你在开始PING网络计算机时如果网络设备出错它返回信息会提示destination host unreachable。如果局域网中使用DHCP分配IP时，而碰巧DHCP失效，这时使用 PING命令就会产生此错误。因为在DHCP失效时客户机无法分配到IP系统只有自设IP，它往往会设为不同子网的IP。所以会出现Destination Host Unreachable。另外子网掩码设置错误也会出现这错误。还有一个比较特殊就是路由返回错误信息，它一般都会在Destination Host Unreachable前加上IP地址说明哪个路由不能到达目标主机。这说明你的机器与外部网络连接没有问题，但与某台主机连接存在问题。举个例子吧。我管理的网络有19台机，由一台100M集线器连接服务器，使用DHCP动态分配IP地址。有一次有位同事匆忙地告诉我我的OUTLOOK打不开了，我到他机器检查，首先我检查了本地网络设置，我用ipconfig /all看IP分配情况一切正常。接着我就开始PING网络中的其中一台机器，第一次PING结果很正常，但OUTLOOK还是无法使用其它网络软件和Copy网络文件都可以使用但网络速度很慢，第二次PING我用了一个参数-t（-t可以不中断地PING对方，当时我想PING一次可能发现不了问题）发现有time=30ms和request time out，从服务器PING这台机就更有趣，request time out比正常数据还多，在局域中竟然有time=30ms和request time out太不正常了。开始我认为是网卡的问题但换网卡后故障依旧，重做网线还是不能解决问题，这故障真有趣！最后我没办法了把它插在集线器端口上的另一端的网线换到另一个端口，哈！故障解决了。原来是集线器端口坏了。如何用Ping命令来判断一条链路的速度？Ping这个命令除了可以检查网络的连通和检测故障以外，还有一个比较有趣的用途，那就是可以利用它的一些返回数据，来估算你跟某台主机之间的速度是多少字节每秒我们先来看看它有那些返回数据。Pinging 05 with 32 bytes of data:Reply from 05: bytes=32 time=590ms TTL=114Reply from 05: bytes=32 time=590ms TTL=114Reply from 05: bytes=32 time=590ms TTL=114Reply from 05: bytes=32 time=601ms TTL=114Ping statistics for 05:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 590ms, Maximum = 601ms, Average = 593ms在例子中bytes=32表示ICMP报文中有32个字节的测试数据（这是估算速度的关键数据），time=590ms是往返时间。怎样估算链路的速度呢？举个例子吧。我们把A和B之间设置为PPP链路。从上面的PING例子可以注意到，默认情况下发送的ICMP报文有32个字节。除了这32个字节外再加上20个字节的IP首部和8个字节的ICMP首部，整个IP数据报文的总长度就是60个字节（因为IP和ICMP是Ping命令的主要使用协议，所以整个数据报文要加上它们）。另外在使用Ping命令时还使用了另一个协议进行传输，那就是PPP协议（点对点协议），所以在数据的开始和结尾再加上8个字节。在传输过程中，由于每个字节含有8bit数据、1bit起始位和1bit结束位，因此传输速率是每个字节2.98ms。由此我们可以估计需要405ms。即68*2.98*2（乘2是因为我们还要计算它的往返时间）。我们来测试一下33600 b/s的链路：Pinging 25 with 32 bytes of data:Reply from 25: bytes=32 time=415ms TTL=114Reply from 25: bytes=32 time=415ms TTL=114Reply from 25: bytes=32 time=415ms TTL=114Reply from 25: bytes=32 time=421ms TTL=114Ping statistics for 25:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 415ms, Maximum = 421ms, Average = 417ms看是不是差不多啊。_这里大家可能要注意到，这估算值跟实际值是有误差的，为什么呢？因为我们现在估算的是一个理论值，还有一些东西我们没有考虑。比如在网络中的其它干扰，这些干扰主要来之别的计算机。因为在你测试时不可能全部计算机停止使用网络给你做测试，这是不实际的。另外就是传输设备，因为有某些设备如MODEM它在传输时会把数据压缩后再发送，这大大减少了传输时间。这些东西产生的误差我们是不能避免的，但其数值大约在5%以内我们都可以接受（利用MODEM传输例外），但是可以减少误差的产生。比如把MODEM的压缩功能关闭和在网络没有那么繁忙时进行测试。有时候误差是无须消除的。因为我们需要这些误差跟所求得的理论值进行比较分析，从而找出网络的缺陷而进行优化。这时测试网络的所有数据包括误差都会成为我们优化的依据。还要注意，这种算法在局域网并不适用，因为在局域网中速度非常的快几乎少于1ms，而Ping的最小时间分辨率是1ms，所以根本无法用Ping命令来检测速度。如果想测试速度那就要用专门仪器来检测。总的来说，Ping命令是一个在故障检查方面很有用而且很便利的工具，你不应该忽视它的存在。（_3:网络命令当你打开浏览器，自由地游弋于浩如烟海的互联网世界之时，是否也沉迷于下载各种实用软件？其中也许有很大一部分就是网络工具吧！但请你不要忽视你的面前windows（包括win98和nt）作系统中本来就带有不少的网络实用工具，虽然比较简单，却并不简陋。本着“简单就是美”的原则，下面就为你展现windows网络实用工具的丰采pingping是个使用频率极高的实用程序，用于确定本地主机是否能与另一台主机交换（发送与接收）数据报。根据返回的信息，你就可以推断tcp/ip参数是否设置得正确以及运行是否正常。需要注意的是：成功地与另一台主机进行一次或两次数据报交换并不表示tcp/ip配置就是正确的，你必须执行大量的本地主机与远程主机的数据报交换，才能确信tcp/ip的正确性。简单的说，ping就是一个测试程序，如果ping运行正确，你大体上就可以排除网络访问层、网卡、modem的输入输出线路、电缆和路由器等存在的故障，从而减小了问题的范围。但由于可以自定义所发数据报的大小及无休止的高速发送，ping也被某些别有用心的人作为ddos（拒绝服务攻击）的工具，前段时间yahoo就是被黑客利用数百台可以高速接入互联网的电脑连续发送大量ping数据报而瘫痪的。按照缺省设置，windows上运行的ping命令发送4个icmp（网间控制报文协议）回送请求，每个32字节数据，如果一切正常，你应能得到4个回送应答。ping能够以毫秒为单位显示发送回送请求到返回回送应答之间的时间量。如果应答时间短，表示数据报不必通过太多的路由器或网络连接速度比较快。ping还能显示ttl（time to live存在时间）值，你可以通过ttl值推算一下数据包已经通过了多少个路由器：源地点ttl起始值（就是比返回ttl略大的一个2的乘方数）-返回时ttl值。例如，返回ttl值为119，那么可以推算数据报离开源地址的ttl起始值为128，而源地点到目标地点要通过9个路由器网段（12