WiFi 包分析参考

分段参考：https://www.jianshu.com/p/01cde9f9b5a5
Flag 标志：
https://cloud.tencent.com/developer/article/2103513

1. TCP 各个包信息：

Frame: 物理层的数据帧概况

Ethernet II: 数据链路层以太网帧头部信息

Internet Protocol Version 4: 互联网层IP包头部信息

Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP

Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议

2 各层包分析：

2.4 TCP 举例：

2.4.1 TCP 结构：

2.4.2 TCP 抓包实际参数值：

• Source Port: 源端口号

• Destination Port :目标端口

• Stream index: stream 是wireshark 内部对[IP address A, TCP port A,IP address B, TCP port B ] 的映射值，两个传输方向为同一个值。 比如port A–>port B , portB–>port A 对应Stream index 都为1.port C–>port D , portD–>port C 对应Stream index 都为2.

• Conversation completeness: tcp会话完整性，可以通过tcp.completeness 字段构建会话过滤纸，快速过滤TCP握手或断开

  1:SYN, 2:SYN-ACK, 4:ACK, 8：DATA, 16:FIN, 32:RST 如设置tcp.completeness =1 (SYN) + 2 (SYN/ACK) + 4 (ACK) = 7 表示三次握手）
  参考博客：https://blog.csdn.net/weixin_47627078/article/details/122642663

• TCP Segment len:应用程序数据的大小，即应用层数据经初次封装后的大小,不含TCP Head 就是纯应用数据。（数据在TCP层称为Stream, 分段称为Segment,分段在UDP称为Message.）

• Sequence Number(relative sequence number):相对序列号，便于查看分析

• raw Sequence Number:绝对的序列号，对应ATS中的sequence Number

• Next Sequence Number(relative sequence number): 当前如是PortA->PortB 的包，该栏位表示下次PortA->PortB 的相对Sequence Number.

• Acknowledgment Numeber(relative ack number): 当前如是PortA->PortB，该栏位表示下次PortB->PortA 的ACK 相对sequence Number。

• Acknowledgment Numeber(raw): 当前如是PortA->PortB，该栏位表示下次PortB->PortA 的ACK 绝对sequence Number，与CP ATS 中一致。

• Header Length: 4bits， 该字段表示TCP 报头的大小，按比例缩小。

• Flags：用于故障排除或控制特定连接的处理方式。每个标志位值为1，表示特定标志为”设置”。

  • (1).URG(Urgent，紧急标志)：当设置此位值时，数据优先于其它数据。表示数据包所携带的数据应立即由TCP堆栈处理。表明发送端向另一端使用紧急方式发送数据，包中有需要紧急处理的数据。
  • (2).ACK(Acknowledgment，确认标志)：应答响应，这个位字段在连接建立(三次握手)和数据传输期间使用。用于确认数据包已经收到，也用于确认发起请求和拆除请求。TCP规定除了最初建立连接时的SYN包之外该位必须设置为1。
  • (3).PSH(Push，推送标志)：这个位字段告诉应用程序立即发送数据。表示传入的数据应该直接传递给应用程序，而不是被缓存。PSH为0，也就是普通情况下，则不需要立即传，而是先进行缓存。
  • (4).RST(Reset，重置标志)：这个位字段设置是为了重置TCP连接。表示连接已关闭，或者服务可能不接受请求。表示TCP连接中出现异常必须强制断开连接。RST标志用于中止连接，经常用它解决网络连接问题。
  • (5).SYN(Synchronization，同步标志)：这个位标志用于发起一个连接，建立连接并设置初始序列号。
  • (6).FIN(Finish，完成标志)：这个位字段表示TCP连接的结束，表示正在断开连接或关闭连接。发送方和接收方都发送FIN包以终止连接。表示发送方完成任务，今后不会有数据发送，希望断开连接。当通信结束希望断开连接，通信双方的主机之间就可以相互交换FIN位置为1的TCP段。FIN标志用于终止TCP连接。