Wireshark TS | Packet Challenge 之 TCP 重传案例分析

最新推荐文章于 2024-04-23 20:00:34 发布
最新推荐文章于 2024-04-23 20:00:34 发布
阅读量1.1k 收藏 4
点赞数 2
分类专栏： NetShark 文章标签： wireshark tcp/ip 网络 tcpdump 网络协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_47627078/article/details/130660761
版权

前言

来自于 Sharkfest Packet Challenge 中的一个数据包案例，Sharkfest 是 Wireshark 官方组织的一年一度的大会，致力于在 Wireshark 开发人员和用户社区之间分享知识、经验和最佳实践。印象中早期是一年一次，近几年发展成一年两次，一次貌似固定在美国，一次会在其他地区，像是欧洲或亚洲。Packet Challenge 是大会其中一个比较有意思的活动环节，通过一系列数据包案例设置关卡，参会人员进行分析挑战，测试综合分析能力。

题目信息

本次案例为 Sharkfest 2019 EU Packet Challenge 中的第三个题目 Do it Yourself，数据包跟踪文件为 DIY.pcapng 。

主要描述如下：

A developer programmed a microcontroller to send data via TCP. Something looks bad though…

  1. What is the largest segment size that will work for both client and server?
  2. Where was the capture taken (Client local/SPAN/TAP/Server local)?
  3. What is the initial round trip time of the connection?
  4. How many router hops are between client and server?
  5. Why does the transmission of TCP data from 192.168.0.2 to 192.168.0.1 fail?

数据包信息

数据包跟踪文件基本信息如下：

λ capinfos DIY.pcapng
File name:           DIY.pcapng
File type:           Wireshark/... - pcapng
File encapsulation:  Ethernet
File timestamp precision:  microseconds (6)
Packet size limit:   file hdr: (not set)
Number of packets:   1210
File size:           1555 kB
Data size:           1499 kB
Capture duration:    4.495727 seconds
First packet time:   2017-03-27 19:02:12.959401
Last packet time:    2017-03-27 19:02:17.455128
Data byte rate:      333 kBps
Data bit rate:       2667 kbps
Average packet size: 1238.93 bytes
Average packet rate: 269 packets/s
SHA256:              4385a9ded3fdc9c7fa0c3015323ed6df10fb68e38dba07210ec0588bd65a5feb
RIPEMD160:           53562636f5037964e8b6a0bccb2cbf7648895e31
SHA1:                a0295d1e0ff87f0e4135f4bf1a87422ff562fc04
Strict time order:   True
Capture application: Sanitized by TraceWrangler v0.6.6 build 928
Number of interfaces in file: 1
Interface #0 info:
                     Name = \Device\NPF_{83DAFA6D-086A-4B8B-AA1D-562D69913D39}
                     Encapsulation = Ethernet (1 - ether)
                     Capture length = 262144
                     Time precision = microseconds (6)
                     Time ticks per second = 1000000
                     Time resolution = 0x06
                     Operating system = 64-bit Windows 10, build 14393
                     Number of stat entries = 0
                     Number of packets = 1210

在 Win10 系统上通过 Wireshark 捕获，无截断，捕获数据包数量 1210 个，捕获持续时间为 4.49 秒，平均速率 2667 kbps ，并经过 TraceWrangler 匿名化工具编辑过。

关于 TraceWrangler 匿名化软件简介，可以查看之前的文章《Wireshark 提示和技巧 | 如何匿名化数据包》

会话信息显示如下，仅有一条 TCP 会话。

image.png

专家信息如下，可以看到有非常多数量的快速重传、重传以及 Dup ACK 信息，占比很高。

image.png


数据包分析

展开数据包文件信息，如下，可以看到确实有很多的重传信息，从 No.11 到最后 No.1210 全是如此。

image.png

1. What is the largest segment size that will work for both client and server?

对于客户端和服务器来说，最大的段大小是多少?

分析步骤

Segment 自然指的是 TCP Segment，可以通过增加 tcp.len 列，从大到小排序查看，该值也会体现在 Info 列 Len 值。

image.png

λ tshark -r DIY.pcapng -Y "tcp.len" -T fields -e tcp.len | sort -rn | uniq
1460
735
0

分析答案

对于客户端和服务器来说，最大的段大小是：1460 。


2. Where was the capture taken (Client local/SPAN/TAP/Server local)?

捕获是在哪里进行的(客户端本地/SPAN/TAP/服务器本地)?

分析步骤

在数据包列表上通过 Length 列中的信息可知答案，因为 54 字节小于以太网最小长度 60 字节的标准，所以判断数据包捕获是在客户端 192.168.0.1 上所进行。

因为 Wireshark 抓包位置如果是在本地，那么对于本地产生所发出的数据包，Wireshark 是在进网卡之前所抓取，而填充数据以及 FCS 一般是由网卡硬件/驱动程序完成，所以 54 字节的组成并不包含填充数据，即意味着本地抓取。

image.png

关于拿到一个数据包跟踪文件，如何判断捕获是在哪里，相关的技术文章可参考《Wireshark 提示和技巧 | 捕获点之 TCP 三次握手》。

分析答案

捕获是在哪里进行的(客户机本地/SPAN/TAP/服务器本地)?：客户端本地 。


3. What is the initial round trip time of the connection?

连接的初始往返时间(IRTT)是多少？

分析步骤

Initial Round Trip Time（IRTT），即该 TCP 流中起始 TCP 三次握手的时间。

image.png

当然这个 IRTT 值也会在这条 TCP 流中的绝大多数数据包中标识有。

image.png

λ tshark -r DIY.pcapng -Y "tcp.analysis.initial_rtt" -T fields -e tcp.analysis.initial_rtt | sort | uniq
0.001735000

分析答案

连接的初始往返时间(IRTT)是多少？：0.001735 秒。


4. How many router hops are between client and server?

客户端和服务器之间有多少路由跳数?

分析步骤

在网络中，数据包每过一个路由设备，TTL 值减 1 。在 2 题中确认了是在客户端本地所抓取的包，这样查看 No.2 SYN/ACK 数据包的 TTL 值即可。

image.png

λ tshark -r DIY.pcapng -Y "frame.number==2" -T fields -e ip.ttl
100

分析答案

客户端和服务器之间有多少路由跳数?：28 。


5. Why does the transmission of TCP data from 192.168.0.2 to 192.168.0.1 fail?

为什么从 192.168.0.2 到 192.168.0.1 的 TCP 数据传输失败?

分析步骤

从数据包跟踪文件的捕获点来说，这个问题可以说是为什么客户端 192.168.0.1 没有接受服务器端 192168.0.2 所发送的数据？

image.png

a. 现象
在 TCP 三次握手成功之后，No.4-No.10 服务器所发送的数据分段，客户端并没有接收，而是产生了一个 No.11 ACK 数据包仍请求服务器 Seq Num 1 的分段，之后服务器依次产生超时重传，但客户端仍未接受相应数据包，再之后不断循环该过程直至整个跟踪文件结束。

b. 可能原因
TCP CHECKSUM INCORRECT
问题比较诡异，可能是 No.4-No.10 数据分段有问题，尝试打开 TCP 协议中 Validate the TCP checksum if possible 选项，会发现出现了大量 TCP CHECKSUM INCORRECT 告警信息。

image.png

image.png

  • 客户端 TCP CHECKSUM INCORRECT，首先客户端 TCP checksum 并不是问题。这是因为数据包是在客户端本地捕获，由于是网卡 CheckSum Offload 功能执行TCP/UDP/IP 校验和工作，所以 Wireshark 捕获时的客户端数据包的 TCP 校验和是随机填充的，因此校验和会提示不正确；
  • 服务器端 TCP CHECKSUM INCORRECT，No.4 - No.9 数据分段校验和不正确，因此客户端协议栈未正常接收，而 No.10 数据分段校验和正常，客户端协议栈正常接收，但由于与期望 Seq Num 不一致，所以触发 No.11 客户端 DUP ACK。

以上为 TCP CHECKSUM INCORRECT 疑似原因的解释，符合数据包现象，但该答案并不一定准确，主要是该题目提供的信息很少，不能完全确认校验和问题是否是匿名化软件编辑数据包引发的额外不相关的问题（所有检验和都仅相差 1，譬如 No.4 校验和 0x07f5 不正确，0x07f4 正确）。

关于数据包 TCP Checksum ，相关的技术文章也可参考《Wireshark 提示和技巧 | 捕获点之 TCP 三次握手》。

IPTABLES
iptables 也有可能是导致该问题现象的原因。譬如匹配报文特定长度，阻断了 No.4 - No.9 数据分段（TCP Length 1460 字节），而接收了 No.10 数据分段（TCP Length 735 字节），进而触发 TCP DUP ACK，此后不断循环上述过程。

分析答案

为什么从 192.168.0.2 到 192.168.0.1 的 TCP 数据传输失败?：TCP 校验和或者 IPTABLES 。

7ACE
关注
  • 2
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Wireshark数据包分析实战案例
04-28
Wireshark数据包分析实战案例非常适合新手学习的好资料
Wireshark抓包分析TCP IP协议
05-03
能够使用抓包工具捕获网络中的数据包，对捕获的数据包进行筛选分析，分析网络流量是否正常。 通过抓包分析应用层协议，客户端软件和服务端软件通信，交互过程。 通过抓包工具分析传输层协议如何建立TCP连接，如何实现可靠传输，如何实现流量控制，通信完毕如何释放连接。 通过抓包工具分析网络层协议的封装。
C#使用TCP/UDP协议通信并用Wireshark抓包分析数据
02-24
本文章主要讲述使用VS2019编写C#程序，并通过UDP/TCP进行通信，使用Wireshark抓包软件抓取发送的包并分析数据结构，由于涉及到客户端和通信端，可以使用两台电脑，一台电脑编写客户端代码，一台电脑编写服务器端代码，也可以在一台电脑上开两个VS2019同时编译两个端，看自己的选择。实验环境：Window10系统开发工具：VisualStudio2019使用工具：Wireshark3.4.0下载Wireshark安装包，点击下面的链接提取，里面有2.6.4和3.2.7版本的注：我安装3.2.7版本的时候安装报错1603，百度了好久都没解决，但我室友安装时并没问题，所以我安装的是2.6.
结合wireshark分析TCP和三次握手原理.docx
04-08
tcp三次握手原理分析
Wireshark分析TCP连接断开过程分析与总结.docx
05-24
Wireshark分析TCP
Wireshark TS | 虚惊事件之 TCP 大量重传
7ACE的博客
05-01 3131
Wireshark TS | 虚惊事件之 TCP 大量重传
超详细的wireshark笔记(3)-TCP窗口和TCP重传
weixin_46622350的博客
05-29 1875
假如你是一位勤劳的快递员，要送100个包裹到某公司去，怎样送货才科学？ 最简单的方式是每次送1个，总共跑100趟。当然这也是最慢的方式，因为往返次数越多，消耗的时间就越长。除了需要减肥的快递员，一般人不会选择这种方式。 最快的方式应该是一口气送100个，这样只要跑一趟就够了。可惜现实没有这么美好，往往存在各种制约因素：公司狭小的前台只容得下20个包裹，要等签收完了才能接着送；更令人郁闷的是，电瓶车只能装10个包裹。综合这两个因素，不难推出电瓶车的运力是效率瓶颈，而前台的空间则不构成影响。 ...
计算机网络实验 ——wireshark抓包简要分析TCP、UDP协议
weixin_47826078的博客
04-29 8506
【计算机网络实验 ——wireshark抓包简要分析TCP、UDP协议】 （1）分析 TCPheader： Source Port：16bit源端口，数据发起者的端口号； Destination Port：16bit目的端口，数据接收方的端口号； Sequence Number：32bit的序列号，由发送方使用； Acknowledgment Number：32bit的确认号，接收数据方返回给发送方的通知，会在确认号的基础上加1； Data Length：4bit头部长度，TCP头部长度一般为20字节，若
15 分析篇 | 如何高效地分析TCP重传问题？
qq_37756660的博客
11-12 1308
在“开篇词”中举过一个 TCP 重传率的例子，如下图所示：这是互联网企业普遍都有的 TCP 重传率监控，它是服务器稳定性的一个指标，如果它太高，就像上图中的那些毛刺一样，往往就意味着服务器不稳定了。那 TCP 重传率究竟表示什么呢？其实 TCP 重传率是通过解析 /proc/net/snmp 这个文件里的指标计算出来的，这个文件里面和 TCP 有关的关键指标如下：TCP 重传率的计算公式如下：也就是说，单位时间内 TCP 重传包的数量除以 TCP 总的发包数量，就是 TCP 重传率。
网络基本功（二十四）：Wireshark抓包实例分析TCP重传
热门推荐
mxway的专栏
03-14 4万+
网络基本功（二十四）：Wireshark抓包实例分析TCP重传   转载请在文首保留原文出处：EMC中文支持论坛https://community.emc.com/go/chinese    介绍   TCP发送一个或一组报文，会等待收到报文的确认信息。重传，即发生在报文没有到达或确认信息没有及时返回的情况下。当发现网速变慢时，原因之一可能就是重传。发生重传的原因有多种，在
实验8 Wireshark工具的使用与TCP数据包分析实验.pdf
12-09
【实验原理】 1.Wireshark 　　Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。 　　网络封包分析软件的功能可想像成"电工技师使用电表来量测电流、电压、电阻" 的工作，只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制
WireShark TCP分析
Fly_鹏程万里
10-20 1034
TCP是一种面向连接的、基于字节流的、可靠的传输层通信协议，面向连接意味着使用TCP的应用程序在传输数据前必须先建立连接，就如打电话一样需要先进行拨号等待对方响应之后才能开始说话，字节流是指两个应用程序通过TCP连接交换8 bit字节构成的字节流，TCP对字节流的内容不作任何解释，它并不知道传输的数据字节流是二进制数据，还是ASCII字符或者其他类型数据，对于字节流的解释由TCP连接双方的应用层解释，TCP协议通过以下几种机制来提高可靠性：确认机制：TCP协议采用确认机制来确保数据的可靠传输，发送方在发送数
Wireshark理解TCP乱序重组和HTTP解析渲染
diaomu5377的博客
01-12 444
TCP数据传输过程 TCP乱序重组原理 HTTP解析渲染 TCP乱序重组 TCP具有乱序重组的功能。（1）TCP具有缓冲区（2）TCP报文具有序列号所以，对于你说的问题，一种常见的处理方式是：TCP会先将报文段3缓存下来，当报文段2到达时，再根据序列号进行拼接。2 当然缓冲区也有满的时候，这时接收端会直接丢弃报文，不做任何其他处理；发送方的定时器发现迟迟收不到接收方丢弃报...
Wireshark---TCP的重传
m0_37039331的博客
09-13 660
为什么会有重传？重传的阈值是怎么计算的？重传有哪几种方式？ ①网络的传输大小不可能无限大，那么就会有限制，如果超过这个限制就会导致网络拥塞，拥塞就会丢包，丢包就需要重传。 ②动态的，无法精确计算。 ③快速重传，超时重传 1.慢启动 刚建立连接，发送方对网络不了解，如果一次发送太多就可能拥塞，RFC建议把初始拥塞窗口设置为2-4个MSS的大小，然后每收到n个确认，就把拥塞窗口增加n个MSS。 2.拥...
用wireshark流量分析的四个案例
vt_yjx的博客
08-26 2387
筛选：(ip.addr == 192.168.1.8 || ip.addr == 202.1.1.2) && http.request.method == POST。前面已经知道黑客的Ip了，直接筛选(ip.addr == 192.168.1.8 || ip.addr == 202.1.1.2) && http。根据1得到内网主机Ip，直接筛选：(ip.addr == 192.168.1.8 || ip.addr == 202.1.1.2) && http。
wireshark学习——10.tcp重传技术
WY_记录
08-09 676
步骤2：TCP重传的原理 在TCP重传的理论中，重传计时器是用于决定是否有必要进行数据包重传的一个主要机制。重传计时器维护着一个叫做重传超时（Retransmission timeout，RTO）的值。在使用TCP进行数据包的传送时，重传计时器就会被启动。当收到数据包的ACK，也就是确认数据包时，计时器就会停止。从发送数据包到接收到确认数据包的时间，被称作往返时间（Round-trip time...
Wireshark网络抓包(三)——网络协议
weixin_30245867的博客
02-06 1608
一、ARP协议 ARP（Address Resolution Protocol）地址解析协议，将IP地址解析成MAC地址。 IP地址在OSI模型第三层，MAC地址在OSI第二层，彼此不直接通信； 在通过以太网发生IP数据包时，先封装第三层（32位IP地址）和第二层（48位MAC地址）的报头； 但由于发送数据包时只知道目标IP地址，不知道其Mac地址，且不能跨越第二、三层，所以需要...
wireshark常见使用操作讲解以及几个故障解决案例分享
qq_23930765的博客
02-28 3772
问题解决：把端口映射配置删除掉，重新配置了一次，问题解决，映射生效，可以正常的建立三次握手建立TCP连接了，如果实际中重新配置还是没用，还可以在服务器端口开启wireshark的抓包，匹配客户端过来的地址，看是否有收到，如果没收到，正面对方流量没过来，可能是运营商过滤了，或者路由器收到没有转发。实际中，可能会遇到这样的情况，Ping对方是通的，但是访问具体的业务却不通，在无法定位的时候，wireshark可以帮忙缩短这些可能性的范围。192.168.1.1，则匹配出192.168.1.1的信息。
wireshark RTP分析参数
最新发布
安安爸Chris的专栏
04-23 424
根据载荷可以知道正确的delta应该是多少，比如G711A，ptime=20，那么delta理论上应该趋近于20.这里的delta,分为了好几种，mean Delta应该趋同于ptime，所以这里的值是ok的。min和max评价抖动情况，但是主要mean是正常的就可以。是当前udp包接收到的时间减去上一个udp包接收到的时间。就是丢掉的udp包，所占的比率。主要看丢弃和Delta，
wireshark分析tcp重传
07-28
Wireshark是一款网络分析工具，可以用于分析TCP重传。通过Wireshark，你可以捕获网络数据包，并查看每个数据包的详细信息。在Wireshark的Packet List面板中，你可以观察到重传报文，它们通常以黑色背景和红色字体...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值