用wireshark学习TCP协议

《用wireshark学习TCP协议》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、用wireshark学习TCP协议Wireshark是一款网络分析器，它从网络接口（网卡接I」）上捕获数据包。wireshark能观察在网口过往的数据，它本身不发送任何数据，更不会进行攻击。我们现在来学习一下TCP协议。学习TCP协议，我们分两步：1、先了解什么是TCP协议，2、透过wireshark來观察TCP是怎样进行三次握手的。什么是TCP协议?TCP出现的目的只有一个，就是保证到达目的地的数据的完整性。20字节的固定首部TCP报文段TCP首部TCP数据部分注意在TCP里是不包含源IP地址

2、和目的IP地址，它们是是IP协议首部里的内容。源端口和目的端口都是16位的，是两个通信程序的端口（从汇编的角度來说，它们就是通信两台主机主板上或扩展卡上的寄存器的地址）。在TCP中每个传输的字节都彼计数，序号是发送数据包中第一个字节的序列号。确认号包含发送确认的一端所期望收到的卜•一个序号。因此，确认号是上次已成功收到数据字节序号加lo现在来看看“数据偏移”:TCP选项部分最长可以达到40byte（字节），再加上固定的20byte（字节），就是说TCP最长的首部可达60byteo实际的TCP首部

3、总长度可以通过TCP首部中的“数据偏移“來查看（提醒：TCP偏移量的单位是32位，即4byte,而偏移量共占4bit,収最大的1111来计算即十进制的15,15*4=60byte,这就是TCP首部不超过60byte的原因了）。“窗口“：表示接收缓冲区的空闲空间占V6位，用來告诉TCP连接对端自己能够接收的最大数据长度。接下来就是6个标志位了，各占lbit,我认为比较重要，接下来看看它们是如何的重要：URG的值为1时，紧急指针字段有意义；ACK的值为1时，确认号字段这时才有意义；PSH的值为1时，

4、表示“催促“接收方应该尽快将这个报文段交给应用层。Push功能;RST的值为1时，表示重建连接；SYN（synchronous）是TCP/IP建立连接时使用的握手信号。客户机首先发出一个SYN消息，服务器使用SYN+ACK应答表示接收到了这个消息，最后客户机再以ACK消息响应。这样可靠的TCP就建立起来了，数据可以传送啦！FIN表示没有数据需要发送了（在关闭TCP连接的时候使用）:任何一方都可以关闭一个TCP连接，要求双方发送一个FIN信号关闭自己的通讯频道。-•方可以在另一方Z前关闭，或者双方

5、同时关闭TCP连接。因此，当一方发送一个FIN信号时，另一方可发送“FIN+ACK”，开始关闭自己一方的通信并且确认收到了第一个FIN信号。发送第一个FIN信号的人接下来再发送一个“FIN+ACK”信息，确认收到第二个FIN信号。另一方就知道这个连接已经关闭了，并且关闭了自己的连接。发送第一个FIN的人没有办法收到最后一个ACK信号的确认信息。这时它会进入“TIME_WAIT”（等待时间）状态并启动一个定时器，防止另一方没有收到ACK信息并且认为连接仍是打开的。一般来说，这个状态会持续1至2分钟

6、。2、透过wireshark来观察TCP是怎样进行三次握手的。我通过访问省执法系统来说明三次“握手”过程（HTTP协议（应用层）是用TCP（传输层）链接的），下图中129.168.1.5是客户端,12133.200.117是服务器,先开启wireshark捕捉数据，再打开浏览器打开省执法系统，然后，观察捕捉到的数据进行分析：（1）客户端首先将SYN=1的同步信息发给服务器；01S*Mowfiopptur*JCXMoTetiphonjflootJntemMitfW•@9QQQ□Ater:tcp~E

7、xptmmml.CbeTiwScuraDewnabon144H.9496SOOOO22(476.62192.11145n.94MO5OOO1921L6S1.5220.iq•76.6214631.94X3600019213l.S220.181L76.6214732.044547000220」L8176.62192.16$[1.514832.O44622OOO220.LSI76.62192.16311.515032.249307000ProtocolUng*Wo二：_「、丄匚…二—―•一」•■■■•

8、■■■—■■■■■■•■■——•■TCP66http-14813[SYX.ACK]Seq-0Ack-1tfir»14600Len-0MSS-1440SACK-PER>*-1WS-512TCP5414813-http(ack)seq^lAck-1tdn-17280Len-0HTTP1167«T/iBp/requesx.snype»iaage4op^s4(>osicHlO34k*syFlGnK£PlfbknhOdlWYSPGNvOnzbtQiDgDoTCP60http•14813(ACK]se^-1