TCP 协议详解（二）-- TCP首部详解与抓包分析实践(下)

前言

TCP（Transmisson Control Protocol）又叫传输控制协议作为传输层最重要的协议，对于信息的可靠传输有着重要的意义，针对这一协议的攻击也数不胜数，这里就对这一协议以及相关内容进行详细的总结，将从以下几个方面进行介绍。想了解TCP报文头部前半部分的同学可以移步上一篇博客
本文以韩立刚老师的《计算机网络》网课为基础，感兴趣的话可以私信我要资料

1.窗口

在六位标记位后面有两个字节一共16位的数据，叫做窗口：

这里面保存的值是计算机的接收缓存允许的最大值，每台计算机在传输数据的过程中，都有一个发送缓存和接收缓存，这两个大小不一定一样，是双方协商得来，如图：

A是服务器，B是客户端。
B在第一次握手时设置window size=65535，就是通知A计算机：我的缓存最大接受能力为65535个字节，当A收到这个TCP报文时，即使其发送缓存的大小，也就是发送能力远大于65535，那么其发送缓存也就只能是65535，如果A的发送缓存小于65535，比如是60000，那么双方在这一次交流中的结果就是A向B的发送缓存为60000。这里是大于65535，所以协商为65535.
A在第二次握手时，发送了自己的接收缓存，过程和第一次一样，确定了自己的接收缓存为64034，那么B的发送缓存也就是64034。
在ethereal中，抓取的数据包中TCP数据首部16进制表示如下：

图中一共是32个字节，20个字节是固定首部，后12个字节是选项（后面会讲到），那么窗口代表的如图：

2.检验和

TCP校验和（Checksum）是一个端到端的校验和，由发送端计算，然后由接收端验证。其目的是为了发现TCP首部和数据在发送端到接收端之间发生的任何改动。如果接收方检测到校验和有差错，则TCP段会被直接丢弃。
检验和是一个两个字节（16位）的数据，抓包得到的结果为：

TCP的检验和原理与UDP基本相同，先介绍一下UDP协议的情况：

UDP首部有8个字节，但是在为了计算检验和，需要加上12个字节的伪首部，这12个字节分别是4的字节的源IP地址，4个字节的目标IP地址和1个字节的全为0的保留值，一个字节用来表示协议号（TCP协议号是6，UDP协议号是17），还有两个字节的UDP长度（首部加数据的长度）
在发送端：
检验和计算过程举例如下：

在接收端：
同样，先把检验和置零，其他数据进行加法计算，得到一个结果Check_receive，假设发送发发送的检验和为Check_send，如果传输过程中没有出错的话，那么这两个值应该互为反码，那么Check_receive+Check_send的结果应该每个二进制位都是1，如果不是的话，那么就证明在传输过程中出了错，报文应该丢弃，让发送端重传。

以上是UDP检验和的原理，TCP有两点不同：1.TCP的协议号改为6。2.TCP的固定首部时20个字节，除此之外，其他全都一样。

3.紧急指针

检验和后面的是两个字节（16位）的紧急指针，首先要说明的是，只有当标记位中的URG置为1时，这里的数据才有意义，如图：

当URG位置为1时，就代表有紧急数据，那么此时这两个字节所代表的十进制数字就是紧急数据结束的字节位置，比如，当值为50时，如图：

4.选项和填充

除了20个字节的固定首部，还有长度可选的“选项”，如图：

在这个数据包中，TCP的首部总长度为32个字节，去除20个字节的固定长度，还有12个字节的选项，其中包括MSS(Maximun segment size 最大报文段长度)、时间戳、SACK（SelectiveAcknowledgment，选择性确认）等。
当选项中数据的总字节数不是4的整数倍时，用无意义的值进行填充，使其达到4的整数倍