linux命令抓取TCP包

最新推荐文章于 2024-07-24 12:05:54 发布

草莓味软糖

最新推荐文章于 2024-07-24 12:05:54 发布

阅读量2.0k

点赞数

分类专栏：网络协议文章标签： linux tcpip

本文链接：https://blog.csdn.net/qq_41069581/article/details/108097969

版权

网络协议专栏收录该内容

2 篇文章 0 订阅

订阅专栏

三次握手
 四次分手
 使用tcpdump抓取TCP包
 使用exec连接redis
套接字

实践前先简单介绍下三次握手和四次分手

三次握手

TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接，如下图所示:
在这里插入图片描述

第一次握手：建立连接时，客户端A发送SYN包（SYN=i）到服务器B，并进入SYN_SEND状态，等待服务器B确认。
第二次握手：服务器B收到SYN包，必须确认客户A的SYN（ACK=i+1），同时自己也发送一个SYN包（SYN=k），即SYN+ACK包，此时服务器B进入SYN_RECV状态。
第三次握手：客户端A收到服务器B的SYN＋ACK包，向服务器B发送确认包ACK（ACK=k+1），此包发送完毕，客户端A和服务器B进入ESTABLISHED状态，完成三次握手。

四次分手

连接释放需要发送4次报文才能完成. 这是因为TCP连接是全双工的, 每一端都需要对读写部分分别进行关闭才行. 当一端关闭读/写或者都关闭时, 该端就会向对象发送FIN来告知对端我将要关闭了, 对端知道后挥发送确认, 关闭端确认后再发送一个确认给对端. 整体就是首先进行关闭的一方将执行主动关闭, 而另一方执行被动关闭. 在这里插入图片描述

在这里插入图片描述

客户端进程发出连接释放报文，并且停止发送数据。释放数据报文首部，FIN=1，其序列号为seq=u（等于前面已经传送过来的数据的最后一个字节的序号加1），此时，客户端进入FIN-WAIT-1（终止等待1）状态。 TCP规定，FIN报文段即使不携带数据，也要消耗一个序号。
服务器收到连接释放报文，发出确认报文，ACK=1，ack=u+1，并且带上自己的序列号seq=v，此时，服务端就进入了CLOSE-WAIT（关闭等待）状态。TCP服务器通知高层的应用进程，客户端向服务器的方向就释放了，这时候处于半关闭状态，即客户端已经没有数据要发送了，但是服务器若发送数据，客户端依然要接受。这个状态还要持续一段时间，也就是整个CLOSE-WAIT状态持续的时间。
客户端收到服务器的确认请求后，此时，客户端就进入FIN-WAIT-2（终止等待2）状态，等待服务器发送连接释放报文（在这之前还需要接受服务器发送的最后的数据）。
服务器将最后的数据发送完毕后，就向客户端发送连接释放报文，FIN=1，ack=u+1，由于在半关闭状态，服务器很可能又发送了一些数据，假定此时的序列号为seq=w，此时，服务器就进入了LAST-ACK（最后确认）状态，等待客户端的确认。
客户端收到服务器的连接释放报文后，必须发出确认，ACK=1，ack=w+1，而自己的序列号是seq=u+1，此时，客户端就进入了TIME-WAIT（时间等待）状态。注意此时TCP连接还没有释放，必须经过2∗∗MSL（最长报文段寿命）的时间后，当客户端撤销相应的TCB后，才进入CLOSED状态。
服务器只要收到了客户端发出的确认，立即进入CLOSED状态。同样，撤销TCB后，就结束了这次的TCP连接。可以看到，服务器结束TCP连接的时间要比客户端早一些。

参考https://blog.csdn.net/qzcsu/article/details/72861891?utm_medium=distribute.pc_relevant_t0.none-task-blog-BlogCommendFromMachineLearnPai2-1.add_param_isCf&depth_1-utm_source=distribute.pc_relevant_t0.none-task-blog-BlogCommendFromMachineLearnPai2-1.add_param_isCf

使用tcpdump抓取TCP包

下面用LINUX的curl和tcpdump命令进行抓包监听
这里我用VMware开了一个虚拟机
在这里插入图片描述
直接使用curl命令访问百度，可以看到直接返回的主体内容

curl www.baidu.com

在这里插入图片描述
这样还看不到具体的TCP的连接过程，所以这里我用Xshell连上我的VMware的那一个虚拟机。

然后使用tcpdump命令（没有需要使用yum 安装）监听80端口。

另外说一下Http协议是建立在TCP协议基础之上的，当浏览器需要从服务器获取网页数据的时候，会发出一次Http请求。Http会通过TCP建立起一个到服务器的连接通道，当本次请求需要的数据完毕后，Http会立即将TCP连接断开，这个过程是很短的。所以Http连接是一种短连接，是一种无状态的连接。所谓的无状态，是指浏览器每次向服务器发起请求的时候，不是通过一个连接，而是每次都建立一个新的连接。如果是一个连接的话，服务器进程中就能保持住这个连接并且在内存中记住一些信息状态。而每次请求结束后，连接就关闭，相关的内容就释放了，所以记不住任何状态，成为无状态连接。

tcpdump -nn  -i ens33 port 80

tcdump命令详解

这里就可以看tcpdump正在监听网络接口ens33，端口号80的tcp数据包
在这里插入图片描述
然后我在使用curl 访问百度,第一张图返回请求的数据,第二张为tcpdump的监听结果

这张图就可以看到整个访问过程。前三行就为TCP的三次握手。第4排为本地主机向百度服务器发起的请求头长度为77字节，然后第五排为百度服务器确认收到本地主机的请求，第6排就为百度服务器返回1360字节的响应头，第7排为本地机确认收到百度服务器的响应头，然后后面两排就为收到返回内容和确认收到。最后四排就为TCP的分手请求。这是一个HTTP请求，但是底层还是依赖的TCP协议。

使用exec连接redis

这里我还用一个例子来单独演示TCP请求,我用Redis来做演示，Redis的通信协议是TCP。

这里我使用是我的远程服务器，使用docker里面redis容器做演示。
在这里插入图片描述
这里使用tcpdump监听网络接口ens33，端口号6379的tcp数据包

然后切回到我的本地主机使用以下命令

exec 6<> /dev/tcp/host/6379
# 6是文件修饰符
# host填主机地址，如127.0.0.1

在这里插入图片描述

$$ 表示当前运行程序的PID

这里使用这条命令后可以看到这里这里面建立了一个socket连接,然后切换回刚才那个监听窗口，可以看到这里输出了TCP的3次握手的详细信息。
在这里插入图片描述
然后使用echo “keys *” >& 6 写入fd6中，可以看到返回的keys

最后我使用exex 6<& - 关闭fd6（关掉那个socket连接）。

这里切回监听窗口可以看见多了4条断开TCP连接的信息

这就是一个完整的使用tcp建立连接，发送数据，断开连接的过程。