什么是ICMP ECHO_REQUEST：

发出ICMP ECHO_REQUEST 包到网络主机的目的是来查看网络是否通畅。

ICMP协议

ICMP被认为是IP层的一个组成部分，主要功能有查询报文和差错报文。下面各种情况都不会导致产生ICMP差错报文：⑴ ICMP差错报文（ICMP查询报文可能会产生ICMP差错报文）⑵ 目的地址是广播地址或多播地址的IP数据报⑶ 作为链路层广播的数据报⑷ 不是IP分片的第一片⑸ 源地址不是单个主机的数据报。ICMP端口不可达差错ICMP不可达报文的一般格式： 可用UDP来查看ICMP端口不可达报文（3，3）：UDP的规则之一是，如果收到一份UDP数据报而目的端口与某个正在使用的进程不相符，那么UDP将返回一个ICMP不可达报文。

# ping 192.168.0.10

192.168.0.10 is alive

# ping unix

unix is alive

# snoop -o cap1 -P

-P表示处在非混杂模式抓数据，只抓广播、主播、目的为本机的数据

Using device /dev/pcn0 ([color=Blue]non promiscuous[/color])

15 ^C 15的含义是：显示目前抓了多少个数据流

#

snoop的详细参数

Snoop 是Solaris 系统中自带的工具， 是一个用于显示网络通讯的程序， 它可捕获IP 包并将其显示或保存到指定文件. (限超级用户使用snoop) Snoop 可将捕获的包以一行的形式加以总结或用多行加以详细的描述(有调用不同的参数–v -V来实现). 在总结方式下(-V ) , 将仅显示最高层的相关协议, 例如一个NFS 包将仅显示NFS 信息, 其低层的RPC, UDP, IP, Ethernet 帧信息将不会显示, 但是当加上相应的参数(-v ), 这些信息都能被显示出来.

-C

-D

-N

-P 在非混杂模式下抓包

-S 抓包的时候显示数据包的大小

-V 半详细的显示抓的数据的信息

-t [ r | a | d ] 显示时间戳，-ta显示当前系统时间，精确到毫秒

-v 最详细的显示数据的信息

-x offset [ , length] 以16进制或ACSII方式显示某数据的部分内容，比如 -x 0,10 只显示0-10字节

#snoop -i cap1 -v -x 0 -p101 查看被抓获的第101个数据流的全部内容

根据地址：

#snoop x.x.x.x IPV4的IP

#snoop 0XX:XX:XX:XX ETHERNET的MAC地址

数据的方向：

from x.x.x.x 或者 src x.x.x.x

to x.x.x.x 或者 dst x.x.x.x

可用的数据类型的关键词：

ip, ip6, arp, rarp, pppoed, pppoes，pppoe，broadcast，multicast，apple，decnet

udp, tcp, icmp, icmp6, ah, esp

greater length

True if the packet is longer than length.

less length

True if the packet is shorter than length.

net net

# snoop from net 192.168.1.0 抓来自192.168.1.0/24的数据

# snoop from net 192.168.0.0 抓来自192.168.0.0/16的数据

port xx XX为TCP或者UDP的端口号或者 /etc/services里定义的名字

#snoop to udp and port 53 抓到UDP53的数据