TCP协议的RST标志

已于 2023-05-29 10:34:32 修改
阅读量3.3k 收藏 9
点赞数 1
分类专栏： 计算机网络 文章标签： tcp/ip 网络 网络协议
于 2023-05-29 10:26:19 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hexf9632/article/details/130891668
版权

下文中的内容多数来自【参考】中的文章，这边进行一个整理和总结，后续会慢慢增加出现各个 RST 包的测试代码，便于理解。

TCP的 “断开连接” 标志

  1. RST 标志

    Reset，复位标志，用于非正常地关闭连接。它是 TCP 协议首部里的一个标志位。发送 RST 包关闭连接时，直接丢弃缓冲区的包并发送 RST 包，而接收端收到 RST 包后，也不必发送 ACK 包来确认。

    TCP 套接字在任何状态下，只要收到 RST 包，即可进入 CLOSED 初始状态，不会有任何回应。至于是否通知上层应用，要根据应用程序是阻塞模式还是非阻塞模式：

    • 阻塞模型下，内核无法主动通知应用层出错，只有应用层主动调用 read() 或者 write() 这样的 IO 系统调用时，内核才会利用出错来通知应用层对端 RST。
    • 非阻塞模型下，select 或者 epoll 会返回 sockfd 可读，应用层对其进行读取时，read() 会报错 RST。

  2. FIN 标志

    发端完成发送任务标识。用来释放一个连接。FIN=1 表明此报文段的发送端的数据已经发送完毕，并要求释放连接。

  3. RST 和 FIN 的区别

    • 正常地关闭连接用 FIN 标志位，但 FIN 标志位不能用来处理异常情况；
    • RST 会导致连接立即终止，而在 FIN 中会得到确认。

TCP 出现 RST 包的情况

  1. 连接未监听的端口

    连接一个未监听的端口，则被连接方会发送一个 RST。也就是说主机传输层 TCP 程序接收到一个 SYN 包，而这个 SYN 包目的端口并没有 socket 监听，那么主机的协议栈会直接回复一个 RST。

  2. 向已关闭的连接发送数据

    顾名思义，主机传输层 TCP 协议程序接收到一条 TCP 数据段，而目的端口并没有 socket 监听，那么主机的协议栈会直接回复一个 RST。

  3. 向已关闭的连接发送 FIN

    主机传输层 TCP 协议程序接收到一条 FIN，而目的端口并没有 socket 监听，那么主机的协议栈会直接回复一个 RST。

  4. 向已经消逝的连接中发送数据

    和上面的举例相同。

  5. 处理半打开连接

    一方关闭了连接，另一方却没有收到结束报文（如网络故障），此时另一方还维持着原来的连接。而一方即使重启，也没有该连接的任何信息。这种状态就叫做半打开连接。而此时另一方往处于半打开状态的连接写数据，则对方回应 RST 复位报文。此时会出现 connect reset by peer 错误。详见下文测试代码。

  6. 目的主机或网络路径中的防火墙拦截

    如果目的主机或者网络路径中显式的设置了对数据包的拦截，如使用 iptables 对主机的防火墙添加了一条规则，对于目的端口是 6000 的 TCP 报文，丢弃并回复 RST。

  7. TCP 接收缓冲区 Recv-Q 中的数据未完全被应用程序读取时关闭该 socket

    接收到的数据缓存在缓冲区 Recv-Q，它们等待被上层应用取走，如果缓冲区 Recv-Q 有数据未被应用取走，而此时调用 close 函数关闭 TCP 连接，那么 TCP 协议程序发送的就不是 FIN，而是 RST。此时会出现 Connection reset by peer 错误，详见下文测试代码。

  8. 请求超时后收到回复

    主机创建 socket，设置 SO_RCVTIMEOUT 选项为100ms，向对端发送 SYN，超过100ms后才收到 ACK+SYN，那么主机的协议栈会直接回复一个 RST。

  9. SO_LINGER

    socket 设置 SO_LINGER 选项，socket 调用 close 函数时，会直接丢弃缓冲区 Send_Q 未发完的数据，并发送 RST。

  10. Linux 下启用 TIME_WAIT 快速回收

    修改 /etc/sysctl.conf 中内核参数：net.ipv4.tcp_tw_recycle = 1，当收到的 SYN 包的 timestamp 比上次的小时，就会发 RST。

  11. 移动链路

    移动网络下，国内是有5分钟后就回收信令，也就是 IM 产品，如果心跳>5分钟后服务器再给客户端发消息，就会收到 RST。也要查移动网络下 IM 保持<5min 心跳。

  12. GFW

    防火长城（Great Firewall of China，简称GFW）是中国政府在互联网空间中发起的一项大规模干预措施，旨在审查并控制中国地区的互联网使用，以遏制虚假信息、不良内容和外部信息流入中国境内。防火长城被普遍认为是政府和监管机构利用技术工具监控国家居民上网行为的全球最大系统，而它的技术基础上，有多种关键的审查与监管工具，如域名解析服务（DNS）、网络流量检测和内容过滤系统（CFMS）等。

  13. 负载等设备

    负载设备需要维护连接转发策略，长时间无流量，连接也会被清除，而且很多都不告诉两层机器，新的包过来时才通告 RST。

    Apple push 服务也有这个问题，而且是不可预期的偶发性连接被 RST；RST 前第一个消息 write 是成功的，而第二条写才会告诉你连接被重置，

    曾经被它折腾没辙，因此打开每2秒一次 tcp keepalive，固定5分钟 TCP 连接回收，而且发现连接出错时，重发之前10s内消息。

  14. 超过超时重传次数

  15. seq 不正确

  16. keepalive 超时

    公网服务 tcp keepalive 最好别打开；移动网络下会增加网络负担，切容易掉线；非移动网络核心 ISP 设备也不一定都支持 keepalive，曾经也发现过广州那边有个核心节点就不支持。

  17. 数据错误，不是按照既定序列号发送数据

测试代码

  1. 上述第6种情况【TCP 接收缓冲区 Recv-Q 中的数据未完全被应用程序读取时关闭该 socket】

    客户端测试代码：

    #include <stdio.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <stdlib.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <string.h>
#include <errno.h>
#include <fcntl.h>


int main(void)
{
	int len;
    int sockFd;
    char sendBuf[256];
	struct sockaddr_in addr;
	
	bzero(&addr, sizeof(addr));
	addr.sin_family = AF_INET;
	inet_pton(AF_INET, "127.0.0.1", &addr.sin_addr);
	addr.sin_port = htons(8888);

    if ((sockFd = socket(AF_INET, SOCK_STREAM, 0)) < 0)
    {
		perror("socket error");
        return -1;
    }

    if (connect(sockFd, (struct sockaddr *)&addr, sizeof(addr)) < 0)
    {
		perror("connect error");
        close(sockFd);
        return -1;
    }

	memset(sendBuf, 0xFF, sizeof(sendBuf));
	send(sockFd, sendBuf, sizeof(sendBuf), 0);

	len = recv(sockFd, sendBuf, sizeof(sendBuf), 0);
	if (len >= 0)
	{
		printf("len: %d\n", len);
	}
	else
	{
		printf("[line:%d] errno: %d, strerror(errno): %s\n", __LINE__, errno, strerror(errno));		
	}
    
    close(sockFd);
    
    return 0;
}

    服务端测试代码：

    #include <stdio.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <stdlib.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <string.h>
#include <errno.h>
#include <fcntl.h>


int main(void)
{
	int readLen;
	int sockFd;
	int clientFd;
	char recvBuf[128] = {0};
	struct sockaddr_in saddr;

	if ((sockFd = socket(AF_INET, SOCK_STREAM, 0)) < 0)
    {
		perror("socket error");
        return -1;
    }

	bzero((void*)&saddr, sizeof(saddr));
	saddr.sin_family = AF_INET;
	saddr.sin_addr.s_addr = htonl(INADDR_ANY);
	saddr.sin_port = htons(8888);
	if (bind(sockFd, (struct sockaddr *)&saddr, sizeof(saddr)) < 0)
    {
		perror("bind error");
        close(sockFd);
        return -1;
    }
    
    if (listen(sockFd, 5) < 0)
    {
		perror("listen error");
        close(sockFd);
        return -1;
    }
	
	printf("accept waiting, sockFd: %d\n", sockFd);
	if ((clientFd = accept(sockFd, NULL, NULL)) == -1)
	{
		perror("accept error");
		close(sockFd);
		return -1;
	}
	
	while (1)
	{
		memset(recvBuf, 0, sizeof(recvBuf));

		readLen = recv(clientFd, recvBuf, sizeof(recvBuf), 0);
		if (readLen > 0)
		{
			printf("readLen: %d\n", readLen);
		}
		else if (readLen == 0)
		{
			printf("client fd is closed!\n");
			close(clientFd);
			break;
		}
		else 
		{
			printf("[line:%d] errno: %d, strerror(errno): %s\n", __LINE__, errno, strerror(errno));
			close(clientFd);
			break;
		}

		close(clientFd);
		break;
	}
	
	close(sockFd);
	
	return 0;
}

    服务端输出：
    在这里插入图片描述

    客户端输出：
    在这里插入图片描述

    wireshark 抓包结果：
    在这里插入图片描述

    该举例中，客户端发送256字节的数据到服务端，服务端只接收了128字节的数据就关闭了套接字，此时服务端的 TCP 接收缓冲区中还剩128字节未读取，所以服务端发送 RST 到客户端。

  2. 上述第5种情况【处理半打开连接】

    客户端测试代码：

    #include <stdio.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <stdlib.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <string.h>
#include <errno.h>
#include <fcntl.h>


int main(void)
{
	int len;
    int sockFd;
    char sendBuf[256];
	struct sockaddr_in addr;
	
	bzero(&addr, sizeof(addr));
	addr.sin_family = AF_INET;
	inet_pton(AF_INET, "127.0.0.1", &addr.sin_addr);
	addr.sin_port = htons(8888);

    if ((sockFd = socket(AF_INET, SOCK_STREAM, 0)) < 0)
    {
		perror("socket error");
        return -1;
    }

    if (connect(sockFd, (struct sockaddr *)&addr, sizeof(addr)) < 0)
    {
		perror("connect error");
        close(sockFd);
        return -1;
    }

	memset(sendBuf, 0xFF, sizeof(sendBuf));
	send(sockFd, sendBuf, sizeof(sendBuf), 0);

	sleep(1);

	send(sockFd, sendBuf, sizeof(sendBuf), 0);
    
    close(sockFd);
    
    return 0;
}

    服务端测试代码：

    #include <stdio.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <stdlib.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <string.h>
#include <errno.h>
#include <fcntl.h>


int main(void)
{
	int readLen;
	int sockFd;
	int clientFd;
	char recvBuf[256] = {0};
	struct sockaddr_in saddr;

	if ((sockFd = socket(AF_INET, SOCK_STREAM, 0)) < 0)
    {
		perror("socket error");
        return -1;
    }

	bzero((void*)&saddr, sizeof(saddr));
	saddr.sin_family = AF_INET;
	saddr.sin_addr.s_addr = htonl(INADDR_ANY);
	saddr.sin_port = htons(8888);
	if (bind(sockFd, (struct sockaddr *)&saddr, sizeof(saddr)) < 0)
    {
		perror("bind error");
        close(sockFd);
        return -1;
    }
    
    if (listen(sockFd, 5) < 0)
    {
		perror("listen error");
        close(sockFd);
        return -1;
    }
	
	printf("accept waiting, sockFd: %d\n", sockFd);
	if ((clientFd = accept(sockFd, NULL, NULL)) == -1)
	{
		perror("accept error");
		close(sockFd);
		return -1;
	}
	
	while (1)
	{
		memset(recvBuf, 0, sizeof(recvBuf));

		readLen = recv(clientFd, recvBuf, sizeof(recvBuf), 0);
		if (readLen > 0)
		{
			printf("readLen: %d\n", readLen);
		}
		else if (readLen == 0)
		{
			printf("client fd is closed!\n");
			close(clientFd);
			break;
		}
		else 
		{
			printf("[line:%d] errno: %d, strerror(errno): %s\n", __LINE__, errno, strerror(errno));
			close(clientFd);
			break;
		}

		close(clientFd);
		break;
	}
	
	close(sockFd);

	return 0;
}

    wireshark 抓包结果： 在这里插入图片描述

    该举例中，客户端发送数据到服务端，服务端将数据接收后就关闭了套接字，随后，客户端又发送数据到服务端，因为此时服务端已将套接字关闭，所以服务端会发送 RST 到客户端。

参考

[1] https://zhuanlan.zhihu.com/p/361714600
[2] https://baijiahao.baidu.com/s?id=1632327385547303797&wfr=spider&for=pc
[3] https://www.cnblogs.com/JohnABC/p/6323046.html
[4] https://www.pianshen.com/article/8750375150/

半砖
关注
  • 1
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
从TCP协议的原理来谈谈rst复位攻击
iteye_10227的博客
02-06 4652
在谈RST攻击前，必须先了解TCP：如何通过三次握手建立TCP连接、四次握手怎样把全双工的连接关闭掉、滑动窗口是怎么传输数据的、TCP的flag标志位里RST在哪些情况下出现。下面我会画一些尽量简化的图来表达清楚上述几点，之后再了解下RST攻击是怎么回事。   1、TCP是什么？ TCP是在IP网络层之上的传输层协议，用于提供port到port面向连接的可靠的字节流传输。我来用土语解释下上面...
tcp 状态机中的reset标志
沧海一声笑的专栏
08-09 1990
tcp reset
TCP中的RST标志(Reset)详解
weixin_43763259的博客
07-16 2448
在谈RST攻击前，必须先了解TCP：如何通过三次握手建立TCP连接、四次握手怎样把全双工的连接关闭掉、滑动窗口是怎么传输数据的、TCP的flag标志位里RST在哪些情况下出现。下面我会画一些尽量简化的图来表达清楚上述几点，之后再了解下RST攻击是怎么回事。1、TCP是什么？TCP是在IP网络层之上的传输层协议，用于提供port到port面向连接的可靠的字节流传输。我来用土语解释下上面的几个关键字：port到port：IP层只管数据包从一个IP到另一个IP的传输，IP层之上的TCP层...
FIN和RST的区别，几种TCP连接出现RST的情况
最新发布
zljszn的博客
04-07 740
1.安装了某安全软件，比如socket，设置RST超时的时间为100ms，但是抓包发现，从发到收花的时间超过了100ms，那么主机就会认为这个包超时了，就会发送RST包拒绝此连接。还有一种场景我也见过，公网的场景，客户端向服务端发起请求，但是这时候有冒充服务端来回包给我的客户端，但是因为ACK的值没能对上所以发送了RST包给狠狠地拒绝了。2.还有一种是服务器性能瓶颈，服务器处理不来发送过来的请求，然后就发送RST包莫名的不想理你，不想跟你建立连接，这个场景也见过。ping没有出现丢包。
收到RST，就一定会断开TCP连接吗？
ss810540895的博客
08-31 728
我们都知道TCP正常情况下断开连接是用四次挥手，那是正常时候的优雅做法。但异常情况下，收发双方都不一定正常，连挥手这件事本身都可能做不到，所以就需要一个机制去强行关闭连接。RST就是用于这种情况，一般用来异常地关闭一个连接。它是一个TCP包头中的标志位。正常情况下，不管是发出，还是收到置了这个标志位的数据包，相应的内存、端口等连接资源都会被释放。从效果上来看就是TCP连接被关闭了。而接收到 RST的一方，一般会看到一个或的报错。TCP报头RST位RST其实是TCP包头里的一个标志位，目的是为了在。
抓包分析RST报文
我活在当下，我巨他妈勇敢。
06-14 3931
大家好，我是蓝胖子，今天我们来分析下网络连接中经常出现的RST信号，连接中出现RST信号意味着这条链接将会断开，来看下什么时候会触发RST信号，这在分析连接断开的原因时十分有帮助。本文的讲解视频已经上传在开始分析触发RST的场景之前，我们先来准备下需要的客户端和服务端代码，以方便我们进行测试。服务端代码目前先是在8080端口监听，然后将接收到的消息打印出来。客户端代码，连接8080端口然后打印hello world现在，来让我们测试下触发RST的各种场景。
TCP系列09—连接管理—8、TCP Reset
weixin_30275415的博客
11-07 249
我们在介绍TCP头的时候，提到过其中有个RST标志位。当一个TCP报文中这个标志位打开的时候，我们叫做reset包(严格的说应该叫做reset段，但是很多时候段包帧并不加以区分)或者简单称呼为reset、RST。通常reset的产生是由于一个异常包导致，reset一般会导致TCP连接的快速断开。产生reset的几种常见的情形如下向一个未打开的端口发送连接请求应用程序主动终止一个连接...
什么是RST包，什么是三次握手，什么是四次握手 ---请进
weixin_34390105的博客
03-30 1971
一、RST包、本人学习后总结：RST包用于强制关闭TCP链接。 TCP连接关闭的正常方法是四次握手。但四次握手不是关闭TCP连接的唯一方法. 有时,如果主机需要尽快关闭连接(或连接超时,端口或主机不可达),RST (Reset)包将被发送. 注意，由于RST包不是TCP连接中的必须部分, 可以只发送RST包(即不带ACK标记). 但在正常的TCP连接中RST包可以带ACK确认标记。  二、三次...
TCP协议中的RST标志位 作者文章电子版 需要的下载
06-04
TCP 协议中的 RST 标志位详解 TCP（Transmission Control Protocol，传输控制协议）是 Internet 协议簇中的一种传输层协议，用于提供可靠的、面向连接的数据传输服务。TCP 协议中有多种标志位，用于控制数据传输的...
从TCP协议的原理来谈谈RST复位攻击
03-03
在谈RST攻击前，必须先了解TCP：如何通过三次握手建立TCP连接、四次握手怎样把全双工的连接关闭掉、滑动窗口是怎么传输数据的、TCP的flag标志位里RST在哪些情况下出现。下面我会画一些尽量简化的图来表达清楚上述几...
网络协议解析之TCP协议.docx
11-06
RST标志用于复位错误连接或拒绝非法数据包；SYN标志在连接建立时使用，与ACK标志配合完成握手；而FIN标志用于关闭连接。 TCP还具有流量控制和拥塞控制机制，通过滑动窗口和慢启动算法来防止数据过快或过多导致网络...
4.1TCP协议分析1
08-04
【TCP协议分析】 TCP（Transmission Control Protocol）是传输层的核心协议之一，主要负责在两台计算机之间提供可靠的、面向连接的数据传输服务。TCP通过一系列复杂的机制确保数据的完整性和顺序，以及在网络不稳定...
TCP连接异常分析与RST
xiaomiCJH的博客
08-12 677
的
网络服务端什么时候会发送rst包？
weixin_35748962的博客
01-13 355
网络服务端会在以下情况发送RST包: 当客户端发送了非法请求时。 当服务端收到了客户端的非法请求时。 当服务端主动关闭连接时。 当服务端检测到连接已经失效时。 ...
计算机网络 TCP和UDP、常见的状态码
赈川
08-28 1163
1、TCP 1.1 简介 1.2 功能 1.3 特点 2、UDP 2.1 简介 2.2 功能 2.3 特点 3、TCP和UDP的区别 4、常见的状态码
TCP之RST发送场景
u012252959的博客
09-12 389
TCP之RST发送场景   1.connect一个不存在的端口；   2.向一个已经关掉的连接send数据；   3.向一个已经崩溃的对端发送数据（连接之前已经被建立）；   4.close(sockfd)时，直接丢弃接收缓冲区未读取的数据，并给对方发一个RST。这个是由SO_LINGER选项来控制的；   5.a重启，收到b的保活探针，
令人无比郁闷的tcp Reset是如何产生的
热门推荐
深海蓝的技术随笔
03-05 1万+
前几天“温习”和“胡萝卜”一度在Google热门词汇里面排在前两位，因为大家发现只要搜索一下这两个词，竟然Google网站就被Reset了。神奇的国度总是有些稀奇古怪的事情！ 看看这个Reset是什么来的吧，这里的“Reset”其实是tcp的一种消息之一，用于重置连接，一般来说比如服务器端没有客户端请求的端口或者其他信息不符合时，系统的tcp协议栈就会给客户端回复一个reset通知消息。
TCP中的RST
cdcupt的博客
08-16 647
RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误； 发送RST包关闭连接时，不必等缓冲区的包都发出去，直接就丢弃缓冲区中的包，发送RST； 接收端收到RST包后，也不必发送ACK包来确认。哪些情况会发送RST（1）server关闭的情况下client发送数据 如果连接是CLOSE状态，
tcp报文段 rst ack
09-05
TCP（传输控制协议）的RST ACK报文段是一种用于复位（Reset）连接并确认（Acknowledgment）的特殊类型的TCP报文段。 RST ACK报文段主要用于两种情况下： 1. 重置连接：当一方主机接收到来自另一方主机的TCP报文段，并且确定当前的服务器或客户端连接出现了问题时，它可以发送一个RST ACK报文段来重置连接。这种情况可能发生在连接的一方发生故障或者出现了网络问题，无法处理当前的连接请求。 2. 拒绝连接：当服务器端接收到一个无效的连接请求时，它可以发送一个RST ACK报文段来拒绝该连接。这种情况可能发生在服务器端没有对应的服务端口或者已经达到了最大的连接数。 RST ACK报文段的结构与其他TCP报文段相似，它包含了源端口号、目的端口号、序列号、确认号等字段。其中，RST标志位被设置为1，表示复位连接的目的，而ACK标志位被设置为1，表示确认收到了一个特定的报文段。 发送RST ACK报文段后，TCP连接将立即被结束，通信双方将注意到连接的异常中断，并且需要重新建立连接来完成数据传输。 总之，TCP的RST ACK报文段在复位和确认连接中起着重要的作用，可以在通信过程中识别和处理连接问题，确保数据传输的可靠性和稳定性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

半砖

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值