Wireshark数据抓包分析之传输层协议(TCP协议)

时间:2024-03-08 18:45:47

TCP协议传输数据时,每发送一个数据包都要求确认。如果有一个数据包丢失,就收不到确认包,发送方就知道应该重发这个数据包,所以相比于UDP协议来说TCP协议保证了数据的安全性。

TCP端口

TCP端口就是为TCP协议通信提供服务的窗口。所有TCP通信都会使用源端口和目的端口,而这些可以在每个TCP头中找到。端口就像是老式电话机上的接口,一个总计操作员会监视着一个面板上的指示灯和插头。当指示灯亮起的时候,它就会链接这个呼叫者,问它想要和谁通话,然后插一根电缆线将它和它的目的地址链接起来。每次呼叫都需要有一个源端口(呼叫者)和目的端口(接收者)。TCP端口大概就是这样工作的。

为了能够将数据传输到远程服务器或者设备的特定应用中去,TCP数据包必须知道远程服务所监听的端口。如果想试着链接一个不同于所设置的端口,那么这个通信就会失败。这个序列中的源端口并不十分重要,所以可以随机选择。远程服务器也可以很简单的从发送过来的原始数据中得到这个端口。

客户端与不同服务器建立连接时,使用的源端口和目标端口都不同。

 

在使用TCP进行通信的时候,有65535个端口可供使用,并通常将这些端口分成两个部分,如下所示:

 

1~1023:是标准端口组(忽略掉被预留的0),特定服务会用到这些通常位于标准端口分组中的标准端口。

 

1024~65535:是临时端口组(尽管一些操作对此有着不同的定义),当一个服务想在任意时间使用端口进行通信的时候,操作系统都会随机选择这个源端口,让这个通信使用唯一的源端口。这些源端口通常就位于临时端口组。

 

TCP三次握手

 

在TCP/IP协议中,TCP协议提供可靠的链接服务,通过使用三次握手建立一个链接。所有基于TCP协议的通信都需要以两台主机的握手开始。

第一次握手建立连接时,客户端向服务器端发送SYN报文(Seq=x,SYN=1),并进入SYN_SEND状态,等待服务器确认

(Seq表示请求序列号,Ack表示确认序列号,SYN和ACK为控制位)

 

第二次握手实际上是分两部分完成的。即SYN+ACK(请求和确认)报文。

 

(1)服务器收到了客户端的请求,向客户端回复一个确认信息(Ack=x+1)

 

(2)服务器再向客户端发送一个SYN包(Seq=y)建立连接的请求,此时服务器进入SYN_RECV状态

第三次握手,客户端收到服务器的回复(SYN+ACK报文)。此时,客户端也要向服务器发送确认包(ACK).此包发送完毕,客户端和服务器进入ESTABLISHED状态,完成三次握手

此时,客户端就可以与服务器开始传送数据了

三次握手建立连接的图示如下

 

 

 

 

 

TCP四次断开

 

在TCP协议中,每次握手后都会终止。就和人与人之间相互问候一样,最终都会有一句再见。TCP终止用来在两台设备完成通信后正常的结束链接。该过程包含4个数据包,并且用一个FIN标志来标明链接的终结

 

整个过程的一个详细概述如下:

 

(1)客户端通过发送一个设置了FIN和ACK标志的TCP数据包,告诉服务器通信已经完成。

 

(2)服务器收到客户端发送的数据包后,发送一个ACK数据包来响应客户端。

 

(3)服务器再向客户端传送一个自己的FIN/ACK数据包。

 

(4)客户端收到服务器的FIN/ACK包时,响应服务器一个ACK数据包。然后结束通信过程。

四次断开的图示如下

 

TCP重置

 

在理想情况中,每一个连接都会以TCP四次断开来正常的结束会话。但是在现实中,连接经常会突然中断。

(例如,这可能由于一个潜在的攻击者正在进行断开扫描,或者仅仅是主机配置的错误)

在这些情况下,就需要使用设置了RST标志的TCP数据包。RST标志用来指出连接异常中止或拒绝连接请求的包。

 

在本次实验中,我们通过模拟局域网的两台机器之间的数据传输,来抓取和分析TCP协议数据

 

服务器:windows 系统,IP地址:10.1.1.33

 

测试者:windows系统,IP地址:10.1.1.142

 

在测试环境使用发包工具和Wireshark抓取TCP三次握手和四次断开的数据包

使用" TCP&UDP测试工具"来制作和发送TCP数据包。双击测试者机器桌面的" TCP&UDP测试工具"

 

1.配置服务器端

选择10.1.1.33的机器,双击桌面的" TCP&UDP测试工具",右键点击服务器模式,在下拉列表中,选择创建服务器

 

选择"创建服务器"之后,会弹出服务器端口设置,本次使用默认工具给的6000端口即可,点击"确定"按钮

 

点击"确定"按钮之后,在左侧的服务器模式列表中,会出现创建的列表,选择我们创建的服务器,右键点击,选择"启动服务器",即完成了服务器端的配置

 

2.配置客户端

选择10.1.1.142的机器,双击桌面的" TCP&UDP测试工具",右键点击客户端模式,在下拉列表中,选择"创建连接"

 

在弹出的窗口中,选择TCP协议,服务器IP为10.1.1.33.端口6000,本机随意IP

 

点击创建

 

3.获取TCP数据包

获取的TCP协议的数据包。分为两部分,即TCP三次握手,四次断开的数据。但在实际的操作中,可能遇到的情况较多,比如源IP和目的IP比较多,协议的帧号乱序等各种问题

启动Wireshark,在Filter中输入tcp,点击Apply会看到很多的数据包,这是因为测试环境中,有很多的应用程序,与其服务器连接,使用TCP协议

 

已知两台机器的IP情况下,可以在filter中输入"ip.addr == 10.1.1.142 and ip.addr == 10.1.1.33"来过滤出我们想要的数据,点击工具中的"连接"按钮

 

在发送区域输入"hetinlabtcp"点击发送,会持续的更新TCP数据

 

在点击"断开连接"后,会出现TCP的四次断开。全部的过程如下

 

Wireshark还为我们提供了着色和指定的帧信息保存功能。左键点击某一帧,右键选择"Colorize Conversation",横向选择"TCP",横向再选择自己喜欢的颜色

 

结果如下

从上面可以很容易的看出,70,73,74帧是tcp的三次握手,428,429,430,431帧是四次断开的数据。如果你还想把三次握手和四次断开的数据包分别保存,Wireshark也提供了这样的功能,并且支持帧序号乱序的情况。下面,我们先来保存三次握手的数据包,因三次握手的帧是乱序,我们先右键点击70帧,选择"Mark Packet(toggle)\',在依次选择73帧,74帧,如下图

在Wireshark的菜单栏中,依次选择FIle->Export Specified Packets 命令,打开如下所示页面

选择Marked packets,并选择保存名字和路径,即可。下面来保存四次断开的数据,因428-431为连续的序号,所以在Wireshark的菜单栏中,依次选择FIle->Export Specified Packets 命令,打开如下所示页面

选择Range,输入序号的起始和结束数字,选择保存名字和路径即可

 

分析TCP协议的三次握手以及四次断开

 

1.TCP首部

 

在分析TCP数据包之前,先介绍一下TCP首部格式,如下

 

 TCP首部格式

 

                       

 

在上面的表中,TCP首部的各字段含义如下所示:

 

源端口:用来传输数据包的端口。

 

目标端口:数据包将要被发送到的端口。

 

序号:该数字用来表示一个TCP片段。这个域用来保证数据流中的部分没有流失。

 

确认号:该数字是通信中希望从另一个设备得到的下一个数据包的序号。

 

保留:包括Resverved、Nonce、CWR、和ENC-Echo,共6个比特位。

 

标记:用来表示所传输的TCP数据包类型。该字段中可用的标记包括URG、ACK、PSH、RST、SYN和FIN。

 

窗口大小:TCP接收者缓冲的字节大小。

 

校验和:用来保证TCP首部和数据的内容,在达到目的地时的完整性。

 

紧急指针:如果设置了URG位,这个域将被检查作为额外的指令,告诉CPU从数据包的哪里开始读取数据。

 

选项:各种可选的域,可以在TCP数据包中进行指定。

 

上面提到了TCP传输时,可用到的标记位,下面分别介绍这6种标记的作用,如下:

 

URG:紧急标志,表示TCP包的紧急指针有效,用来保证TCP连接不被中断,并且督促中间层设备要尽快处理这些数据。

 

ACK:确认标志,表示应答域有效,就是前面所说的TCP应答号将会包含在TCP数据包中,该标志位有两个值,分别是0和1。当为1的时候,表示应答域有效。反之为0。

 

PSH:该标志位表示Push操作。所谓Push操作就是指在数据包到达接收端以后,立即传送给应用程序,而不是在缓存区排队。

 

RST:该标志位表示链接复位请求,用来复位那些产生错误的链接,也被用来拒绝错误和非法的数据包。

 

SYN:表示同步序号,用来建立连接。SYN 标志位和ACK标志位搭配使用,当连接请求的时候,SYN=1,ACK=0;当连接被响应的时候,SYN=1,ACK=1。这个标志的数据包经常被用来进行端口扫描。扫描者发现一个只有SYN的数据包,如果对方主机响应了一个数据包回来,就表面该主机存在这个端口;但是由于这种扫描方式只是进行TCP三次握手的第一次握手,因此这种扫描成功表示扫描的机器不安全。因为一个安全的主机,将会强制要求一个链接严格的进行TCP的三次握手。

 

FIN:表示发送端以及达到数据末尾,也就是说双方的数据传送完毕,没有数据可以传送了。此时发送FIN标志位的TCP数据包后,链接将被断开。这个标志的数据包也经常被用于进行端口扫描。当一个FIN标志的TCP数据包发送到一台计算机的特定端口后,如果这台计算机响应了这个数据,并且反馈回来一个RST标志的TCP包,就表明这台计算机上没有打开这个端口,但是这台计算机是存在的;如果这台计算机没有反馈回来任何数据包,这就标明,这台被扫描的计算机存在这个端口。

 

2.分析TCP的三次握手

 

TCP三次握手是理解TCP协议最重要的部分,下面我们就以tcp-handshake.pcapng捕获文件为例,来分析TCP的三次握手

 

2.1.第一次握手

 

TCP第一次握手,捕获的数据包信息如下所示

 

 

从Wireshark的Packet List面板中的Info列可以看到显示的TCP标志位是SYN。所以该数据包是客户端向服务器发送的第一次握手连接。在Packet Details面板中,显示了该包的详细信息,下面详细介绍

 

 

以上信息,表示这是第1个数据帧的相信信息,并且该包的大小为62个字节。

 

 

以上内容是以太网帧头部信息,其实源MAC地址为02:00:04:78:01:7b,目标MAC地址为02:00:7b:16:02:43。

 

    

 

以上内容是IPv4首部的详细信息。其中源IP是10.1.1.142,目的IP为10.1.1.33。

 

 

以上内容是传输层首部的详细信息,这里使用TCP协议,其中源端口为56678,目标端口为6000.下面对该首部中的每个字段进行详细介绍,

 

Source Port: 56678 (56678)                   #源端口号

 

Destination Port: 6000 (6000)                  #目标端口号

 

Stream index: 0                             #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 0    (relative sequence number)   #序列号

 

Acknowledgment number: 0                      #确认编号

 

Header Length: 28 bytes                       #首部长度

 

.... 0000 0000 0010 = Flags: 0x002 (SYN)            #标志,这里是SYN

 

     000. .... .... = Reserved: Not set

 

     ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                #紧急指针            

 

     .... ...0 .... = Acknowledgment: Not set       #确认编号

 

     .... .... 0... = Push: Not set                 

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..1. = Syn: Set                    #设置SYN标志位,值为1

 

    Expert Info (Chat/Sequence): Connection establish request (SYN): server port                      

 

      6000                               #专家信息   

 

         Connection establish request (SYN): server port 6000   #消息

 

         Severity level: Chat                              #安全级别

 

         Group: Sequence                            #组

 

.... .... ...0 = Fin: Not set                       #FIN标志位

 

Window size value: 8192               #窗口大小

 

Calculated window size: 8192              #估计的窗口大小

 

Checksum: 0x16d3 [validation disabled]        #校验和

 

   Good Checksum: False                 

 

Bad Checksum: False

 

Urgent pointer: 0

 

Options: (8 bytes), Maximum segment size, No-Operation (NOP), No-Operation (NOP), SACK permitted                      #选项

 

    Maximum segment size: 1460 bytes                 #最大段大小

 

       Kind: Maximum Segment Size (2)

 

       Length: 4

 

       MSS Value: 1460

 

No-Operation (NOP)                            #无操作指令

 

       Type: 1

 

             0... .... = Copy on fragmentation: No

 

             .00. .... = Class: Control (0)

 

             ...0 0001 = Number: No-Operation (NOP) (1)

 

No-Operation (NOP)                     #无操作指令

 

         Type: 1

 

              0... .... = Copy on fragmentation: No

 

              .00. .... = Class: Control (0)

 

              ...0 0001 = Number: No-Operation (NOP) (1)

 

TCP SACK Permitted Option: True           #TCP SACK允许选项

 

        Kind: SACK Permitted (4)

 

        Length: 2

 

 

 

根据以上信息的描述,可以看出该包是客户端发送给服务器建立连接请求的一个数据包。建立连接的源端口号为56678,目标端口号为6000,确认编号为0。而且在标志位FLAGS(0x0002)中,只设置了SYN,也就是位同步标志,表示请求建立连接。选项是8个字节,里面的内容有最大段(MSS),大小为1460字节。

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第一次握手TCP首部

 

   

 

2.2.第二次握手

 

TCP第二次握手捕获数据包相信信息,如下:

 

 

在该界面显示了第二次握手数据包的详细信息,其中位于TCP上面的信息与第一次握手时相近似,这里不做解释,重点看TCP协议部分,如下

 

Source Port: 6000(6000)                   #源端口号

 

Destination Port: 56678(56678)                  #目标端口号

 

Stream index: 0                             #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 0    (relative sequence number)   #序列号

 

Acknowledgment number: 1    (relative ack number)         #确认编号,值为1

 

Header Length: 28 bytes                       #首部长度

 

.... 0000 0001 0010 = Flags: 0x012 (SYN,ACK)    #标志位,此处为(SYN,ACK)

 

    000. .... .... = Reserved: Not set

 

    ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                           

 

     .... ...1 .... = Acknowledgment: Not set       #确认编号已设置

 

     .... .... 0... = Push: Not set                

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..1. = Syn: Set                    #请求位

 

Expert Info (Chat/Sequence): Connection establish request (SYN): server port                 

 

6000                               #专家信息   

 

Connection establish request (SYN): server port 6000   #消息

 

     Severity level: Chat                              #安全级别

 

     roup: Sequence                                  #组

 

     .... .... ...0 = Fin: Not set                               #FIN标志位

 

Window size value: 8192               #窗口大小

 

Calculated window size: 8192              #估计的窗口大小

 

Checksum: 0x5bf8 [validation disabled]        #校验和

 

Good Checksum: False                 

 

Bad Checksum: False

 

Urgent pointer: 0

 

Options: (8 bytes), Maximum segment size, No-Operation (NOP), No-Operation (NOP), SACK permitted               #选项

 

Maximum segment size: 1460 bytes                 #最大段大小

 

     Kind: Maximum Segment Size (2)

 

     Length: 4

 

     MSS Value: 1460

 

No-Operation (NOP)                            #无操作指令

 

     Type: 1

 

          0... .... = Copy on fragmentation: No

 

          .00. .... = Class: Control (0)

 

          ...0 0001 = Number: No-Operation (NOP) (1)

 

No-Operation (NOP)                     #无操作指令

 

       Type: 1

 

        0... .... = Copy on fragmentation: No

 

        .00. .... = Class: Control (0)

 

        ...0 0001 = Number: No-Operation (NOP) (1)

 

TCP SACK Permitted Option: True           #TCP SACK允许选项

 

   Kind: SACK Permitted (4)

 

   Length: 2

 

SEQ/ACK analysis                  #序列号/确认编号分析

 

This is an ACK to the segment in frame: 1

 

The RTT to ACK the segment was: 0.002362000 seconds

 

iRTT: 0.002387000 seconds

 

 

 

以上描述的详细信息是服务器收到请求后,发给客户端的确认包(SYN+ACK)。根据以上描述,可以看到在该帧数据包中包含这个主机初始的序列号0,以及一个确认号1。这个确认号比之前那个数据包(1帧数据包)序列号大1,是因为该域是用来表示主机所期望得到的下一个序列号的值。

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第二次握手TCP首部

 

 

 

2.3.第三次握手

 

TCP第三次握手捕获数据包相信信息,如下:

 

 

这里我们直接看重点的TCP协议部分

 

Source Port: 56678(56678)                  #源端口号

 

Destination Port: 6000(6000)                  #目标端口号

 

Stream index: 0                             #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 1   (relative sequence number)   #序列号

 

Acknowledgment number: 1    (relative ack number)         #确认编号,值为1

 

Header Length: 20 bytes                       #首部长度

 

.... 0000 0001 0000 = Flags: 0x010  (ACK)           #标志位,此处为(ACK)

 

     000. .... .... = Reserved: Not set

 

     ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                          

 

     .... ...1 .... = Acknowledgment: Not set       #确认编号已设置

 

     .... .... 0... = Push: Not set                

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..0. = Syn: Set                    #请求位

 

     .... .... ...0 = Fin: Not set                               #FIN标志位

 

Window size value: 64240               #窗口大小

 

Calculated window size: 64240                   #估计的窗口大小

 

Window size scaling factor: -2 (no window scaling used)  #窗口大小缩放比例因素

 

Checksum: 0x16cb [validation disabled]        #校验和

 

    Good Checksum: False                 

 

    Bad Checksum: False

 

Urgent pointer: 0

 

SEQ/ACK analysis                  

 

    This is an ACK to the segment in frame: 2

 

The RTT to ACK the segment was: 0.000025000 seconds

 

iRTT: 0.002387000 seconds

 

 

 

以上信息就是客户端向服务器发送的确认包。在以上信息中,序列号和确认号都是1。标志位中只设置了ACK,表示该数据包是一个确认包。这样就完成了TCP链接的建立阶段。此时没有Options字段。

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第三次握手TCP首部

 

 

接下来分析TCP的四次断开

 

1.第一次断开

 

TCP第一次断开连接的数据包,如下:

 

 

在该界面显示了TCP第一次断开,数据包的详细信息,我们具体来看下TCP部分

 

Source Port: 56678(56678)                  #源端口号

 

Destination Port: 6000(6000)                  #目标端口号

 

Stream index: 0                         #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 1   (relative sequence number)       #序列号

 

Acknowledgment number: 1    (relative ack number)         #确认编号

 

Header Length: 20 bytes                       #首部长度

 

.... 0000 0001 0001 = Flags: 0x011 (FIN,ACK)    #标志位,此处为(FIN,ACK)

 

     000. .... .... = Reserved: Not set

 

     ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                          

 

     .... ...1 .... = Acknowledgment: Not set       #确认编号已设置

 

     .... .... 0... = Push: Not set                

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..0. = Syn: Set                    #请求位

 

     .... .... ...1 = Fin: Not set                               #FIN标志位

 

Expert Info (Chat/Sequence): Connection finish (FIN)       #专家信息

 

     Connection finish (FIN)          #消息内容,连接完成(FIN)

 

     Severity level: Chat           #安全级别

 

     Group: Sequence

 

Window size value: 64240               #窗口大小

 

Calculated window size: 64240                   #估计的窗口大小

 

   Window size scaling factor: -1 (unknown)      #窗口大小缩放比例因素

 

Checksum: 0x16cb [validation disabled]        #校验和

 

   Good Checksum: False                 

 

   Bad Checksum: False

 

Urgent pointer: 0

 

通过以上信息的描述,可以看到客户端向服务器发送FIN和ACK标志的数据包开始断开连接,其中FIN和ACK标志位都为1.

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第一次断开TCP首部格式

 

 

2.第二次断开

 

TCP第二次断开连接的数据包,如下

 

 

在该界面显示了TCP第二次断开,数据包的详细信息,我们具体来看下TCP部分

 

Source Port: 6000(6000)                  #源端口号

 

Destination Port: 56678(56678)                  #目标端口号

 

Stream index: 0                             #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 1   (relative sequence number)    #序列号

 

Acknowledgment number: 2    (relative ack number)         #确认编号

 

Header Length: 20 bytes                       #首部长度

 

.... 0000 0001 0000 = Flags: 0x010(ACK)    #标志位,此处为(ACK)

 

     000. .... .... = Reserved: Not set

 

     ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                          

 

     .... ...1 .... = Acknowledgment: Not set       #确认编号已设置

 

     .... .... 0... = Push: Not set                

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..0. = Syn: Set                    #请求位

 

     .... .... ...0= Fin: Not set                               #FIN标志位

 

Window size value: 64240               #窗口大小

 

Calculated window size: 64240                   #估计的窗口大小

 

Window size scaling factor: -1 (unknown)      #窗口大小缩放比例因素

 

Checksum: 0xadbe [validation disabled]        #校验和

 

    Good Checksum: False                 

 

    Bad Checksum: False

 

Urgent pointer: 0

 

SEQ/ACK analysis

 

     This is an ACK to the segment in frame: 1

 

     The RTT to ACK the segment was: 0.000369000 seconds

 

通过以上信息的描述,可以看出该包是服务器向客户端发送的ACK包。其中ACK标志位为1.

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第二次断开TCP首部格式

 

 

3.第三次断开

 

TCP第三次断开连接的数据包,如下

 

 

在该界面显示了TCP第三次断开,数据包的详细信息,我们具体来看下TCP部分

 

Source Port: 6000(6000)                  #源端口号

 

Destination Port: 56678(56678)                  #目标端口号

 

Stream index: 0                             #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 1   (relative sequence number)      #序列号

 

Acknowledgment number: 2    (relative ack number)         #确认编号

 

Header Length: 20 bytes                       #首部长度

 

.... 0000 0001 0001 = Flags: 0x010(FIN,ACK)    #标志位,此处为(FIN,ACK)

 

     000. .... .... = Reserved: Not set

 

     ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                          

 

     .... ...1 .... = Acknowledgment: Not set       #确认编号已设置

 

     .... .... 0... = Push: Not set                

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..0. = Syn: Set                    #请求位

 

     .... .... ...1= Fin: Not set                     #FIN标志位

 

Expert Info (Chat/Sequence): Connection finish (FIN)    #专家信息

 

      Connection finish (FIN)

 

      Severity level: Chat

 

      Group: Sequence

 

Window size value: 64240               #窗口大小

 

Calculated window size: 64240                   #估计的窗口大小

 

Window size scaling factor: -1 (unknown)   #窗口大小缩放比例因素

 

Checksum: 0xadbe [validation disabled]        #校验和

 

   Good Checksum: False                 

 

   Bad Checksum: False

 

Urgent pointer: 0

 

通过以上信息的描述,可以看出该包是服务器向客户端发送的FIN和ACK包。其中FIN和ACK标志位为1.

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第三次断开TCP首部格式

 

 

4.第四次断开

 

TCP第四次断开连接的数据包,如下

 

 

在该界面显示了TCP第四次断开,数据包的详细信息,我们具体来看下TCP部分

 

Source Port: 56678(56678)                  #源端口号

 

Destination Port: 6000(6000)                  #目标端口号

 

Stream index: 0                          #流节点号

 

TCP Segment Len: 0                        #分段长度

 

Sequence number: 2   (relative sequence number)      #序列号

 

Acknowledgment number: 1    (relative ack number)         #确认编号

 

Header Length: 20 bytes                       #首部长度

 

.... 0000 0001 0000 = Flags: 0x010 (ACK)    #标志位,此处为(ACK)

 

     000. .... .... = Reserved: Not set

 

     ...0 .... .... = Nonce: Not set

 

     .... 0... .... = Congestion Window Reduced (CWR): Not set

 

     .... .0.. .... = ECN-Echo: Not set

 

     .... ..0. .... = Urgent: Not set                          

 

     .... ...1 .... = Acknowledgment: Not set       #确认编号已设置

 

     .... .... 0... = Push: Not set                

 

     .... .... .0.. = Reset: Not set

 

     .... .... ..0. = Syn: Set                    #请求位

 

     .... .... ...1 = Fin: Not set                               #FIN标志位

 

Window size value: 64240               #窗口大小

 

Calculated window size: 64240                   #估计的窗口大小

 

Window size scaling factor: -1 (unknown)      #窗口大小缩放比例因素

 

Checksum: 0x16cb [validation disabled]        #校验和

 

    Good Checksum: False                 

 

    Bad Checksum: False

 

Urgent pointer: 0

 

SEQ/ACK analysis

 

    This is an ACK to the segment in frame: 3

 

    The RTT to ACK the segment was: 0.000040000 seconds

 

通过以上信息的描述,可以看到客户端向服务器发送ACK的包。其中,ACK标志位都为1.

 

我们将上面的信息,对应到TCP首部格式的每个字段,如下:

 

第四次断开TCP首部格式