实验5_使用Wireshark分析TCP协议

《实验5_使用Wireshark分析TCP协议》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、实验五使用Wireshark分析TCP协议一、实验目的分析TCP协议二、实验环境与因特网连接的计算机，操作系统为Windows,安装有Wireshark.IE等软件。三、实验步骤1、TCP介绍(1)连接建立：TCP连接通过称为三次握手的三条报文来建立的。在Wireshark屮选择open->file,选择文件tcp_pcattcp_nl.cap,其屮分组3到5显示的就是三次握手。第一条报文没有数据的TCP报文段，并将首部SYN位设置为1。因此，第一条报文常被称为SYN分组。这个报文段里的序号可以设置成任何值，表示后续报文设定的起始编号。连接不能£1动从1开始计

2、数，选择一个随机数开始计数可避免将以前连接的分组错谋地解释为当前连接的分组。观察分组3,Wireshark显示的序号是0。选择分组首部的序号字段，原始框屮显示“94f22eb尹。Wireshark显示的是逻辑序号，真正的初始序号不是0。如图1所示：082oao5004c7040206008004ooo<39801daoo87M000134E58130706040080070089005030e41o48824285do952do22060o36f0003ooof0000001000200030tcp_pcattcp_n1.cap■WiresharkFileEd

3、itViewGoCaptureAnalyzeStatisticsHelp1TimeSourceDestinationProtocolInfo30.002936192.168.0.100192.168.0.102TCP2440>140.005476192.168.0.102192.168.0.100TCP5001>5O.OO55OO192.168.0.100192.168.0.102TCP2440>60.005897192.168.0.100192.168.0.102TCP2440>70.005919192.168.0.100192.168.0.102TCP24

4、40>80.014136192.168.0.102192.168.0.100TCP5001>90.014189192.168.0.100192.168.0.102TCP2440>LO0.014212192.16&0.100192.168.0.102TCP2440>LI0.014226192.168.0.100192.168.0.102TCP2440>120.023425192.168.0.102192.168.0.100TCP5001>130.023465192.168.0.100192.168.0.102TCP2440>140.028116192.168.0

5、.102192.168.0.100TCP5001>150.029205.V/4*192.168.0.100TCP5001>Filter：notarpExpression・・・ClearApply192.168.0.1022440>TCP160.029216192.168.0.100IlliSequencenumber（t中・seq）,4bytesP:16D:14M:0图1:逻辑序号与实际初始序号SYN分组通常是从客户端发送到服务器。这个报文段请求建立连接。一旦成功建立了连接，服务器进程必须已经在监听SYN分组所指示的IP地址和端口号。如果没有建立连接，SYN分

6、组将不会应答。如果第一个分纽•丢失，客户端通常会发送若TSYN分组，否则客户端将会停止并报告一个错误给应用程序。如杲服务器进程正在监听并接收到来的连接请求，它将以一个报文段进行相应，这个报文段的SYN位和ACK位都置为1。通常称这个报文段为SYNACK分组。SYNACK分组在确认收到SYN分组的同时发出一个初始的数据流序号给客户端。分组4的确认号字段在Wireshark的协议框中显示1,并且在原始框中的值是“94f22ebr（比“94f22ebe”多1）。这解释了TCP的确认模式。TCP接收端确认第X个字节已经收到，并通过设置确认号为X+1來表明期望收到下一个

7、字节号。分组4的序号字段在Wireshark的协议显示为0,但在原始框屮的实际值却是“84cabeb3”。这勵TCP连接的双方会选择数据流中字节的起始编号。所有初始序号逻辑上都视同为序号0。最后，客户端发送带有标志ACK的TCP报文段，而不是带SYN的报文段来完成三次握手的过程。这个报文段将确认服务器发送的SYNACK分组，并检查TCP连接的两端是否正确打开合运行。(2)关闭连接当两端交换带有FIN标志的TCP报文段并且每一端都确认另一端发送的FIN包时,TCP连接将会关闭。FIN位字面上的意思是连接一方再也没有更多新的数据发送。然而,那些重传的数据会被传送，

8、直到接收端确认所有的信息。在tcp_p