Wireshark实战分析之TCP协议

（1） TCP是怎么样的协议？

       TCP（Transmission Control Protocol）传输控制协议，是一种面向连接的，可靠的，基于IP的传输层协议。它的主要目地是为数据提供可靠的端到端的传输。

（2） TCP协议的由来？

      上一节学习了UDP协议，可以知道UDP协议非常简单，而且容易实现。但是其可靠性较差，一旦将数据包发出，将无法知道对方是否收到。为了解决这个问题，TCP协议就诞生了。使用TCP协议，可以提供网络的安全性。因为使用TCP协议传输数据时，每发出一个数据包都要求确认。如果其中有一个数据包丢失，就收不到确定包，发送方就知道应该重发这个数据包。这样TCP协议就保证了数据的安全性。

（3）TCP三次握手

      

          上图就是TCP协议三次握手建议的连接。 其中Seq表示请求序列号，Ack表示确认序列号，SYN和ACK为控制位

        1.   第一次握手

         

          第一次握手建立连接时，客户端向服务器发送SYN报文（Seq=x， SYN=1），客户端进去SYN_SENT状态， 等待服务器确定。

          2. 第2次握手

          

         首先，服务器收到客户端的请求，向客户端回复一个确认信息（Ack = x + 1）

         其次，服务器再次向客户端发送一个SYN包（seq=y）建立连接请求，此时服务器进去SYN_RECV状态

        3.   第3次握手

         

          第三次握手客户端收到服务器的回复（SYN+ACK报文）。此时，客户端向服务器端发送ACK，此包发送完毕后客户端和服务器端进入ESTABLISHED状态。完成三次握手

（4） TCP四次断开

       在TCP通信中，当每次通信完毕后都会终止连接。该过程包含4个数据包，并且用一个FIN标志来表明连接的终结。

        

           TCP断开需要四个步骤：

           a.       客户端通过发送一个设置了FIN和ACK标志的TCP数据包，告诉服务器通信已经完成

           b.      服务器收到客户端的数据后，发送一个ACK数据包来响应客户端

           c.      服务器再次向客户端传输一个自己的FIN/ACK数据包

           d.     客户端手动啊服务器的FIN/ACK包后，响应服务器一个ACK数据包。然后结束通信。

（5）有人机会问， 为什么建立连接只需3步，而断开需要4步？

         答：   因为在客户端与服务器建立连接时，当收到客户端发送 的SYN数据后，是把ACK/SYN放在一起发送给客户端的。 但是当断开连接时，当收到客户端发送的FIN数据后，只能说明数据发送完毕，客户端不再发送数据，但是服务还是连接的。只能说明客户端没有数据发送给服务端了，但不代表服务端没有数据要发送给客户端了。当服务器所有的数据都发送完毕后，才会发送FIN/ACK数据，请求断开连接。

（1）TCP首部格式

         

          源端口：   用来传输数据报的端口

          目标端口： 数据包将要发送到的端口

          序号：      用来表示一个TCP片段。这个值用来表示数据流中的部分数据没有丢失

          确认号：  表示通信中希望从另一个设备得到的下一个数据包的序号

          数据偏移： 表示此块数据在整块数据中的偏移

          保留： 包括Reserved， Nonce， CWR和ECN-Echo，共6个比特位

          标记：用来表示所传输的TCP数据包类型。该字段中可用的标记包括URG, ACK, PSH, RST,    SYN, FIN

          窗口： TCP接受者缓冲区的大小

          检验和： 用来保证TCP首部和数据部分的完整性

         紧急指针： 如果设置了URG位，这个值将被检查作为额外的指令

         选项： 各种可选的域，可以在TCP数据包中进行指定

         上面提到了TCP传输时，可用的标记有URG， ACK， PSH， RST， SYN， FIN。 下面分别介绍这几个标记

         URG：    紧急标志。此标志表示TCP包的紧急指针域有效，用来保证TCP连接补被中断。

         ACK：     确认标志。此标志表示应答域有效。1表示应答域有效，0表示无效

         PSH：    此标志表示Push操作，所谓Push操作就是指在数据包到达接收端以后，立刻传送到应用程序，而不在缓冲区排队。

         RST：    该标志表示连接复位请求。

         SYN：    表示同步序号，用来建立连接。SYN标志位和ACK标志位搭配使用。当连接请求时SYN=1， ACK=0。 当连接被响应的时候，SYN=1， ACK=1.

         FIN：     表示发送端已经达到数据的末尾，也就是说双方的数据传输完成，没有数据可以传输了。此时发送FIN标志位的TCP数据包后，连接将被断开。

（2） 捕获TCP数据包

       

        上图是捕获的TCP数据包。接下来对三次握手和四次挥手做详细说明

（3） 第一次握手（分析461帧）

        

         从以上的分析可以看出，客户端向服务器发送请求建立连接，当前的序列号为0。

（4）第二次握手（分析462帧）

       

      从第二次的分析可以看到，服务器收到客户端的请求建立连接后，发送给客户端确定包（ACK=1）已经请求建立（SYN=1），当前的序列号为0，并且希望下一次的系列号为1.

（5）第三次握手（分析463帧）

       

      当第三次握手成功后，客户端和服务端就可以建立连接了，就可以传输数据了。

      可能这部分有点不好懂，我建议大家实际操作分析，并结合下图分析

      

（1）捕获TCP四次挥手数据包

     

（2）接下来分析四次挥手的过程，第一次挥手（分析524帧，通过FIN/ACK标志确定这个客户端提出挥手的第一次）

      

        通过第一次挥手客户端发送FIN和ACK标志，表示本次通信已经结束，请求结束连接

（3）分析第二次挥手，也就是525帧

       

（4）分析第三次挥手，也就是526帧

      

 （5）第四次挥手分析，也就是527帧

       

        到这里TCP四次挥手分析完毕，大家可以实际操作为主，同时结合下图分析