从图中还可以看出，数据包目标端口号从33435开始并且每次加1，traceroute能够通过UDP数据包递增的目标端口号来唯一识别返回的包。
如图，第11跳的61.51.113.202路由只返回了一个ICMP超时通知，与终端显示的信息相符。
如图，TTL=34时，ICMP数据包中Type=3(Destination unreachable)，Code=3(Port unreachable)，说明目的地址向源地址发送了端口不可达通知(ICMP Port Unreachable)，表示数据包到达目的地址。
(2)Linux
traceroute www.baidu.com 。
Linux系统下的抓包解析与Mac OS类似。
2. Windows——tracert
tracert www.baidu.com 。
如图，第一跳为10.8.160.1，第二跳为10.0.14.1，第三跳为10.0.4.41;每条记录输出3个延时结果，说明源地址每次默认发送三个数据包;在第6条记录只有2个延时结果，说明源地址只收到了2个ICMP超时通知消息;数据包从源地址经过15跳之后到达目的地址。
如图，源地址10.8.169.32向目的地址220.181.111.188发送ICMP请求回显(ICMP Echo Request)数据包，每跳默认发送3个，TTL设置为1;数据包遇到路由器之后，被丢弃，返回Time tolive exceeded超时通知，解析出路由器IP地址10.8.160.1。源地址再发数据包，设置TTL=2，从而解析出第二跳路由10.0.14.1和10.0.14.5。同理，解析出第三跳路由10.0.4.41。与终端显示的信息相符。
从图中还可以看出，数据包从seq=142开始每次加1，tracert能够通过seq来唯一识别返回的包。
如图，seq=157的数据包没有得到路由器172.16.7.1的超时通知消息，因此第6跳只有两个延时结果，与终端显示的信息相符。
如图，TTL=15时，源地址收到了目的地址的ICMP回应答复(ICMP Echo Reply)，说明源地址经过了15跳到达目的地址，与终端显示信息相符。
五、The Great Cannon案例
2015年3月26日开始，因某些众所周知的原因，GitHub遭到其网站历史上最大规模DDoS攻击。 瑞典网络安全公司 Netresec 通过查看数据包中的 TTL 值断定这是一起中间人攻击事件。在此过程中，他们借助了路由追踪程序 traceroute/tracert 的实现原理。首先 建立一个正常的连接，确保数据包能够到达目标机器。然后依次发送TTL值为1,2,3…的HTTP请求。若数据包没有到达中间人设备，则不会出现HTTP响应;若数据包到达中间人设备，则会出现HTTP响应，然后只需在出现HTTP响应时，查看请求数据包设置初始TTL值即可。
安全人员根据下图发现中间人设备潜伏在11和12跳之间。Web请求中 TTL 值为11的时候数据包没有响应，而TTL值为12的时候，返回了正常响应。
六、小结
Traceroute/tracert路由追踪程序是用来追踪数据包到达网络主机所经过的路由信息的重要工具，虽然路由追踪效果一致，但实现原理略有不同：前者借助 UDP 协议，后者借助 ICMP 协议。此外，利用 TTL 追踪攻击主机的位置，也为我们提供了新的思路。