用協(xié)議分析工具學(xué)習(xí)TCP.doc

用協(xié)議分析工具學(xué)習(xí)TCP/IP一、前言 目前，網(wǎng)絡(luò)的速度發(fā)展非?？?，學(xué)習(xí)網(wǎng)絡(luò)的人也越來越多，稍有網(wǎng)絡(luò)常識的人都知道TCP/IP協(xié)議是網(wǎng)絡(luò)的基礎(chǔ)，是Internet的語言，可以說沒有TCP/IP協(xié)議就沒有互聯(lián)網(wǎng)的今天。目前號稱搞網(wǎng)的人非常多，許多人就是從一把夾線鉗，一個測線器聯(lián)網(wǎng)開始接觸網(wǎng)絡(luò)的，如果只是聯(lián)網(wǎng)玩玩，知道幾個Ping之類的命令就行了，如果想在網(wǎng)絡(luò)上有更多的發(fā)展不管是黑道還是紅道，必須要把TCP/IP協(xié)議搞的非常明白。 學(xué)習(xí)過TCP/IP協(xié)議的人多有一種感覺，這東西太抽象了，沒有什么數(shù)據(jù)實(shí)例，看完不久就忘了。本文將介紹一種直觀的學(xué)習(xí)方法，利用協(xié)議分析工具學(xué)習(xí)TCP/IP，在學(xué)習(xí)的過程中能直觀的看到數(shù)據(jù)的具體傳輸過程。 為了初學(xué)者更容易理解，本文將搭建一個最簡單的網(wǎng)絡(luò)環(huán)境，不包含子網(wǎng)。 二、試驗(yàn)環(huán)境 1、網(wǎng)絡(luò)環(huán)境 如圖1所示 為了表述方便，下文中208號機(jī)即指地址為08的計(jì)算機(jī)，1號機(jī)指地址為的計(jì)算機(jī)。 2、操作系統(tǒng) 兩臺機(jī)器都為Windows 2000 ，1號機(jī)機(jī)器作為服務(wù)器，安裝FTP服務(wù) 3、協(xié)議分析工具 Windows環(huán)境下常用的工具有：Sniffer Pro、Natxray、Iris以及windows 2000自帶的網(wǎng)絡(luò)監(jiān)視器等。本文選用Iris作為協(xié)議分析工具。 在客戶機(jī)208號機(jī)安裝IRIS軟件。 三、測試過程 1、測試?yán)訉?號機(jī)計(jì)算機(jī)中的一個文件通過FTP下載到208號機(jī)中。 2、IRIS的設(shè)置 由于IRIS具有網(wǎng)絡(luò)監(jiān)聽的功能，如果網(wǎng)絡(luò)環(huán)境中還有其它的機(jī)器將抓很多別的數(shù)據(jù)包，這樣為學(xué)習(xí)帶來諸多不便，為了清楚地看清楚上述例子的傳輸過程首先將IRIS設(shè)置為只抓208號機(jī)和1號機(jī)之間的數(shù)據(jù)包。設(shè)置過程如下： 1)用熱鍵CTRL+B彈出如圖所示的地址表，在表中填寫機(jī)器的IP地址，為了對抓的包看得更清楚不要添主機(jī)的名字（name）,設(shè)置好后關(guān)閉此窗口。 2）用熱鍵CTRL+E彈出如圖所示過濾設(shè)置，選擇左欄“IP address”，右欄按下圖將address book中的地址拽到下面，設(shè)置好后確定，這樣就這抓這兩臺計(jì)算機(jī)之間的包。 3、抓包 按下IRIS工具欄中 開始按鈕。在瀏覽器中輸入：FTP:/，找到要下載的文件 ，鼠標(biāo)右鍵該文件，在彈出的菜單中選擇“復(fù)制到文件夾”開始下載，下載完后在IRIS工具欄中按 按鈕停止抓包。圖4顯示的就是FTP的整個過程，下面我們將詳細(xì)分析這個過程.說明：為了能抓到ARP協(xié)議的包，在WINDOWS 2000 中運(yùn)行arpd 清除arp緩存。四、過程分析 1、TCP/IP的基本原理 本文的重點(diǎn)雖然是根據(jù)實(shí)例來解析TCP/IP，但要講明白下面的過程必須簡要講一下TCP/IP的基本原理。 1）網(wǎng)絡(luò)是分層的，每一層分別負(fù)責(zé)不同的通信功能。 TCP/IP通常被認(rèn)為是一個四層協(xié)議系統(tǒng)，TCP/IP協(xié)議族是一組不同的協(xié)議組合在一起構(gòu)成的協(xié)議族。盡管通常稱該協(xié)議族為TCP/IP，但TCP和IP只是其中的兩種協(xié)議而已，如表1所示。每一層負(fù)責(zé)不同的功能： TCP/IP層描述 主要協(xié)議 主要功能 應(yīng)用層 HTTP、Telnet、FTP和E-mail等 負(fù)責(zé)把數(shù)據(jù)傳輸?shù)絺鬏攲踊蚪邮諒膫鬏攲臃祷氐臄?shù)據(jù) 傳輸層 TCP和UPD 主要為兩臺主機(jī)上的應(yīng)用程序提供端到端的通信，TCP為兩臺主機(jī)提供可靠的數(shù)據(jù)通信。它所做的工作包括把應(yīng)用程序交給它的數(shù)據(jù)分成合適的小塊交給下面的網(wǎng)絡(luò)層，確認(rèn)接收到的分組，設(shè)置發(fā)送最后確認(rèn)分組的超時時鐘等。UPD則為應(yīng)用層提供一種非常簡單的服務(wù)。它只是把稱作數(shù)據(jù)報的分組從一臺主機(jī)發(fā)送到另一臺主機(jī)，但并不保證該數(shù)據(jù)能到達(dá)另一端。 網(wǎng)絡(luò)層 ICMP、IP和IGMP 有時稱作互聯(lián)網(wǎng)層，主要為數(shù)據(jù)包選擇路由，其中IP是TCP/IP協(xié)議族中最為核心的協(xié)議。所有的TCP、UPD、ICMP及IGMP數(shù)據(jù)協(xié)議都以IP數(shù)據(jù)包格式傳輸。 鏈路層 ARP、RARP和設(shè)備驅(qū)動程序及接口卡 發(fā)送時將IP包作為幀發(fā)送；接收時把接收到的位組裝成幀；提供鏈路管理、錯誤檢測等。 分層的概念說起來非常簡單，但在實(shí)際的應(yīng)用中非常的重要，在進(jìn)行網(wǎng)絡(luò)設(shè)置和排除故障時對網(wǎng)絡(luò)層次理解得很透，將對工作有很大的幫助。例如：設(shè)置路由是網(wǎng)絡(luò)層IP協(xié)議的事，要查找MAC地址是鏈路層ARP的事，常用的Ping命令由ICMP協(xié)議來做的。 圖5顯示了各層協(xié)議的關(guān)系，理解它們之間的關(guān)系對下面的協(xié)議分析非常重要。 2）數(shù)據(jù)發(fā)送時是自上而下，層層加碼；數(shù)據(jù)接收時是自下而上，層層解碼。 當(dāng)應(yīng)用程序用TCP傳送數(shù)據(jù)時，數(shù)據(jù)被送入?yún)f(xié)議棧中，然后逐個通過每一層直到被當(dāng)作一串比特流送入網(wǎng)絡(luò)。其中每一層對收到的數(shù)據(jù)都要增加一些首部信息（有時還要增加尾部信息），該過程如圖6所示。TCP傳給IP的數(shù)據(jù)單元稱作TCP報文段或簡稱為TCP段。I P傳給網(wǎng)絡(luò)接口層的數(shù)據(jù)單元稱作IP數(shù)據(jù)報。 通過以太網(wǎng)傳輸?shù)谋忍亓鞣Q作幀(Frame)。 數(shù)據(jù)發(fā)送時是按照圖6自上而下，層層加碼；數(shù)據(jù)接收時是自下而上，層層解碼.3）邏輯上通訊是在同級完成的 垂直方向的結(jié)構(gòu)層次是當(dāng)今普遍認(rèn)可的數(shù)據(jù)處理的功能流程。每一層都有與其相鄰層的接口。為了通信，兩個系統(tǒng)必須在各層之間傳遞數(shù)據(jù)、指令、地址等信息，通信的邏輯流程與真正的數(shù)據(jù)流的不同。雖然通信流程垂直通過各層次，但每一層都在邏輯上能夠直接與遠(yuǎn)程計(jì)算機(jī)系統(tǒng)的相應(yīng)層直接通信。 從圖7可以看出，通訊實(shí)際上是按垂直方向進(jìn)行的，但在邏輯上通信是在同級進(jìn)行的。 2、過程描述 為了更好的分析協(xié)議，我們先描述一下上述例子數(shù)據(jù)的傳輸步驟。如圖8所示： 1)FTP客戶端請求TCP用服務(wù)器的IP地址建立連接。 2)TCP發(fā)送一個連接請求分段到遠(yuǎn)端的主機(jī)，即用上述IP地址發(fā)送一份IP數(shù)據(jù)報。 3) 如果目的主機(jī)在本地網(wǎng)絡(luò)上，那么IP數(shù)據(jù)報可以直接送到目的主機(jī)上。如果目的主機(jī)在一個遠(yuǎn)程網(wǎng)絡(luò)上，那么就通過IP選路函數(shù)來確定位于本地網(wǎng)絡(luò)上的下一站路由器地址，并讓它轉(zhuǎn)發(fā)IP數(shù)據(jù)報。在這兩種情況下，IP數(shù)據(jù)報都是被送到位于本地網(wǎng)絡(luò)上的一臺主機(jī)或路由器。 4) 本例是一個以太網(wǎng)，那么發(fā)送端主機(jī)必須把32位的IP地址變換成48位的以太網(wǎng)地址，該地址也稱為MAC地址，它是出廠時寫到網(wǎng)卡上的世界唯一的硬件地址。把IP地址翻譯到對應(yīng)的MAC地址是由ARP協(xié)議完成的。 5) 如圖的虛線所示，ARP發(fā)送一份稱作ARP請求的以太網(wǎng)數(shù)據(jù)幀給以太網(wǎng)上的每個主機(jī)，這個過程稱作廣播。ARP請求數(shù)據(jù)幀中包含目的主機(jī)的IP地址，其意思是“如果你是這個IP地址的擁有者，請回答你的硬件地址。” 6) 目的主機(jī)的ARP層收到這份廣播后，識別出這是發(fā)送端在尋問它的IP地址，于是發(fā)送一個ARP應(yīng)答。這個ARP應(yīng)答包含I P地址及對應(yīng)的硬件地址。 7) 收到ARP應(yīng)答后，使ARP進(jìn)行請求應(yīng)答交換的IP數(shù)據(jù)包現(xiàn)在就可以傳送了。 8) 發(fā)送IP數(shù)據(jù)報到目的主機(jī)。 3、實(shí)例分析 下面通過分析用iris捕獲的包來分析一下TCP/IP的工作過程，為了更清晰的解釋數(shù)據(jù)傳送的過程，我們按傳輸?shù)牟煌A段抓了四組數(shù)據(jù)，分別是查找服務(wù)器、建立連接、數(shù)據(jù)傳輸和終止連接。每組數(shù)據(jù)，按下面三步進(jìn)行解釋。顯示數(shù)據(jù)包解釋該數(shù)據(jù)包按層分析該包的頭信息 第一組 查找服務(wù)器 1）圖9顯示的是1、2行的數(shù)據(jù) 2）解釋數(shù)據(jù)包 這兩行數(shù)據(jù)就是查找服務(wù)器及服務(wù)器應(yīng)答的過程。 在第1行中，源端主機(jī)的MAC地址是00:50:FC:22:C7:BE。目的端主機(jī)的MAC地址是FF:FF:FF:FF:FF:FF，這個地址是十六進(jìn)制表示的，F(xiàn)換算為二進(jìn)制就是1111，全1的地址就是廣播地址。所謂廣播就是向本網(wǎng)上的每臺網(wǎng)絡(luò)設(shè)備發(fā)送信息，電纜上的每個以太網(wǎng)接口都要接收這個數(shù)據(jù)幀并對它進(jìn)行處理，這一行反映的是步驟5）的內(nèi)容，ARP發(fā)送一份稱作ARP請求的以太網(wǎng)數(shù)據(jù)幀給以太網(wǎng)上的每個主機(jī)。網(wǎng)內(nèi)的每個網(wǎng)卡都接到這樣的信息“誰是的IP地址的擁有者，請將你的硬件地址告訴我”。 第2行反映的是步驟6）的內(nèi)容。在同一個以太網(wǎng)中的每臺機(jī)器都會接收到這個報文，但正常狀態(tài)下除了1號機(jī)外其他主機(jī)應(yīng)該會忽略這個報文，而1號的主機(jī)的ARP層收到這份廣播報文后，識別出這是發(fā)送端在尋問它的IP地址，于是發(fā)送一個ARP應(yīng)答。告知自己的IP地址和MAC地址。第2行可以清楚的看出1號回答的信息_自己的MAC地址00:50:FC:22:C7:BE。 這兩行反映的是數(shù)據(jù)鏈路層之間一問一答的通信過程。這個過程就像我要在一個坐滿人的教室找一個叫“張三”的人，在門口喊了一聲“張三”，這一聲大家都聽見了，這就叫廣播。張三聽到后做了回應(yīng)，別人聽到了沒做回應(yīng)，這樣就與張三取得了聯(lián)系。 3）頭信息分析 如下圖10左欄所示，第1數(shù)據(jù)包包含了兩個頭信息：以太網(wǎng)（Ethernet）和ARP。 下面是以太網(wǎng)的頭信息，括號內(nèi)的數(shù)均為該字段所占字節(jié)數(shù)，以太網(wǎng)報頭中的前兩個字段是以太網(wǎng)的源地址和目的地址。目的地址為全1的特殊地址是廣播地址。電纜上的所有以太網(wǎng)接口都要接收廣播的數(shù)據(jù)幀。兩個字節(jié)長的以太網(wǎng)幀類型表示后面數(shù)據(jù)的類型。對于ARP請求或應(yīng)答來說，該字段的值為0806。 第2行中可以看到，盡管ARP請求是廣播的，但是ARP應(yīng)答的目的地址卻是1號機(jī)的（00 50 FC 22 C7 BE）。ARP應(yīng)答是直接送到請求端主機(jī)的。 行 以太網(wǎng)目的地址（6） 以太網(wǎng)源地址（6） 幀類型（2） 1 FF FF FF FF FF FF 00 50 FC 22 C7 BE 06 06 2 00 50 FC 22 C7 BE 00 50 27 F6 50 53 06 06 下面是ARP協(xié)議的頭信息。硬件類型字段表示硬件地址的類型。它的值為1即表示以太網(wǎng)地址。協(xié)議類型字段表示要映射的協(xié)議地址類型。它的值為0800即表示IP地址。它的值與包含I P數(shù)據(jù)報的以太網(wǎng)數(shù)據(jù)幀中的類型字段的值相同。接下來的兩個1字節(jié)的字段，硬件地址長度和協(xié)議地址長度分別指出硬件地址和協(xié)議地址的長度，以字節(jié)為單位。對于以太網(wǎng)上IP地址的ARP請求或應(yīng)答來說，它們的值分別為6和4。Op即操作（Opoperation），1是ARP請求、2是ARP應(yīng)答、3是RARP請求和4為RARP應(yīng)答，第二行中該字段值為2表示應(yīng)答。接下來的四個字段是發(fā)送端的硬件地址、發(fā)送端的IP地址、目的端的硬件地址和目的端IP地址。注意，這里有一些重復(fù)信息：在以太網(wǎng)的數(shù)據(jù)幀報頭中和ARP請求數(shù)據(jù)幀中都有發(fā)送端的硬件地址。對于一個ARP請求來說，除目的端硬件地址外的所有其他的字段都有填充值。 表3的第2行為應(yīng)答，當(dāng)系統(tǒng)收到一份目的端為本機(jī)的ARP請求報文后，它就把硬件地址填進(jìn)去，然后用兩個目的端地址分別替換兩個發(fā)送端地址，并把操作字段置為2，最后把它發(fā)送回去。 行 硬件類型（2） 協(xié)議類型（2） 硬件地址長度（1） 協(xié)議地址長度（1） Op（2） 發(fā)送端以太網(wǎng)地址（6） 發(fā)送端IP地址（4）1 00 00 08 00 06 06 00 01 0050FC22C7BE C0A871D02 00 00 08 00 06 06 00 02 005027F65053 C0A871D1目的以太網(wǎng)地址（6） 目的IP地址（4） 000000000000 C0A871D10050FC22C7BE C0A871D0第二組 建立連接 1）圖11顯示的是3-5行的數(shù)據(jù) 2）解釋數(shù)據(jù)包 這三行數(shù)據(jù)是兩機(jī)建立連接的過程。 這三行的核心意思就是TCP協(xié)議的三次握手。TCP的數(shù)據(jù)包是靠IP協(xié)議來傳輸?shù)?。但I(xiàn)P協(xié)議是只管把數(shù)據(jù)送到出去，但不能保證IP數(shù)據(jù)報能成功地到達(dá)目的地，保證數(shù)據(jù)的可靠傳輸是靠TCP協(xié)議來完成的。當(dāng)接收端收到來自發(fā)送端的信息時，接受端詳發(fā)送短發(fā)送一條應(yīng)答信息，意思是：“我已收到你的信息了?！钡谌M數(shù)據(jù)將能看到這個過程。TCP是一個面向連接的協(xié)議。無論哪一方向另一方發(fā)送數(shù)據(jù)之前，都必須先在雙方之間建立一條連接。建立連接的過程就是三次握手的過程。 這個過程就像要我找到了張三向他借幾本書，第一步：我說：“你好，我是擔(dān)子”，第二步：張三說：“你好，我是張三”，第三步：我說：“我找你借幾本書?！边@樣通過問答就確認(rèn)對方身份，建立了聯(lián)系。 下面來分析一下此例的三次握手過程。 1)請求端208號機(jī)發(fā)送一個初始序號（SEQ）987694419給1號機(jī)。 2)服務(wù)器1號機(jī)收到這個序號后，將此序號加1值為987694419作為應(yīng)答信號（ACK），同時隨機(jī)產(chǎn)生一個初始序號（SEQ）1773195208，這兩個信號同時發(fā)回到請求端208號機(jī)，意思為：“消息已收到，讓我們的數(shù)據(jù)流以1773195208這個數(shù)開始?！?3)請求端208號機(jī)收到后將確認(rèn)序號設(shè)置為服務(wù)器的初始序號（SEQ）1773195208加1為1773195209作為應(yīng)答信號。 以上三步完成了三次握手，雙方建立了一條通道，接下來就可以進(jìn)行數(shù)據(jù)傳輸了。 下面分析TCP頭信息就可以看出，在握手過程中TCP頭部的相關(guān)字段也發(fā)生了變化。 3）頭信息分析 如圖12所示，第3數(shù)據(jù)包包含了三頭信息：以太網(wǎng)（Ethernet）和IP和TCP。 頭信息少了ARP多了IP、TCP，下面的過程也沒有ARP的參與，可以這樣理解，在局域網(wǎng)內(nèi)，ARP負(fù)責(zé)的是在眾多聯(lián)網(wǎng)的計(jì)算機(jī)中找到需要找的計(jì)算機(jī)，找到工作就完成了。 以太網(wǎng)的頭信息與第1、2行不同的是幀類型為0800，指明該幀類型為IP。 IP協(xié)議頭信息 IP是TCP/IP協(xié)議族中最為核心的協(xié)議。從圖5可以看出所有的TCP、UDP、ICMP及IGMP數(shù)據(jù)都以IP數(shù)據(jù)報格式傳輸?shù)?，有個形象的比喻IP協(xié)議就像運(yùn)貨的卡車，將一車車的貨物運(yùn)向目的地。主要的貨物就是TCP或UDP分配給它的。需要特別指出的是IP提供不可靠、無連接的數(shù)據(jù)報傳送，也就是說I P僅提供最好的傳輸服務(wù)但不保證IP數(shù)據(jù)報能成功地到達(dá)目的地?？吹竭@你會不會擔(dān)心你的E_MAIL會不會送到朋友那，其實(shí)不用擔(dān)心，上文提過保證數(shù)據(jù)正確到達(dá)目的地是TCP的工作，稍后我們將詳細(xì)解釋。 圖12中所宣布分45 0071 01為IP的頭信息。這些數(shù)是十六進(jìn)制表示的。一個數(shù)占4位，例如：4的二進(jìn)制是0100 4位版本：表示目前的協(xié)議版本號，數(shù)值是4表示版本為4，因此IP有時也稱作IPv4； 4位首部長度：頭部的是長度，它的單位是32位(4個字節(jié))，數(shù)值為5表示IP頭部長度為20字節(jié)。 8位服務(wù)類型(TOS)：00，這個8位字段由3位的優(yōu)先權(quán)子字段，現(xiàn)在已經(jīng)被忽略，4位的TOS子字段以及1 位的未用字段（現(xiàn)在為0）構(gòu)成。4位的TOS子字段包含：最小延時、最大吞吐量、最高可靠性以及最小費(fèi)用構(gòu)成，這四個1位最多只能有一個為1，本例中都為0，表示是一般服務(wù)。 16位總長度：總長度字段是指整個IP數(shù)據(jù)報的長度，以字節(jié)為單位。數(shù)值為00 30，換算為十進(jìn)制為48字節(jié)，48字節(jié)=20字節(jié) 的IP頭+28字節(jié)的TCP頭，這個數(shù)據(jù)報只是傳送的控制信息，還沒有傳送真正的數(shù)據(jù)，所以目前看到的總長度就是報頭的長度。 16位標(biāo)識：標(biāo)識字段唯一地標(biāo)識主機(jī)發(fā)送的每一份數(shù)據(jù)報。通常每發(fā)送一份報文它的值就會加1，第3行為數(shù)值為30 21，第5行為30 22，第7行為30 23。分片時涉及到標(biāo)志字段和片偏移字段，本文不討論這兩個字段。 8位生存時間（TTL）：TTL（time-to-live）生存時間字段設(shè)置了數(shù)據(jù)報可以經(jīng)過的最多路由器數(shù)。它指定了數(shù)據(jù)報的生存時間。ttl的初始值由源主機(jī)設(shè)置，一旦經(jīng)過一個處理它的路由器，它的值就減去1?？筛鶕?jù)TTL值判斷服務(wù)器是什么系統(tǒng)和經(jīng)過的路由器。本例為80，換算成十進(jìn)制為128，WINDOWS操作系統(tǒng)TTL初始值一般為128，UNIX操作系統(tǒng)初始值為255，本例表示兩個機(jī)器在同一網(wǎng)段且操作系統(tǒng)為WINDOWS。 8位協(xié)議：表示協(xié)議類型，6表示傳輸層是TCP協(xié)議。 16位首部檢驗(yàn)和：當(dāng)收到一份IP數(shù)據(jù)報后，同樣對首部中每個16 位進(jìn)行二進(jìn)制反碼的求和。由于接收方在計(jì)算過程中包含了發(fā)送方存在首部中的檢驗(yàn)和，因此，如果首部在傳輸過程中沒有發(fā)生任何差錯，那么接收方計(jì)算的結(jié)果應(yīng)該為全1。如果結(jié)果不是全1，即檢驗(yàn)和錯誤，那么IP就丟棄收到的數(shù)據(jù)報。但是不生成差錯報文，由上層去發(fā)現(xiàn)丟失的數(shù)據(jù)報并進(jìn)行重傳。 32位源IP地址和32位目的IP地址：實(shí)際這是IP協(xié)議中核心的部分，但介紹這方面的文章非常多，本文搭建的又是一個最簡單的網(wǎng)絡(luò)結(jié)構(gòu)，不涉及路由，本文對此只做簡單介紹，相關(guān)知識請參閱其它文章。32位的IP地址由一個網(wǎng)絡(luò)ID和一個主機(jī)ID組成。本例源IP地址為C0 A8 71 D0，轉(zhuǎn)換為十進(jìn)制為：08; 目的IP地址為C0 A8 71 01，轉(zhuǎn)換為十進(jìn)制為：。網(wǎng)絡(luò)地址為192.168.113，主機(jī)地址分別為1和208，它們的網(wǎng)絡(luò)地址是相同的所以在一個網(wǎng)段內(nèi)，這樣數(shù)據(jù)在傳送過程中可直接到達(dá)。 TCP協(xié)議頭信息 端口號：常說FTP占21端口、HTTP占80端口、TELNET占23端口等，這里指的端口就是TCP或UDP的端口，端口就像通道兩端的門一樣，當(dāng)兩機(jī)進(jìn)行通訊時門必須是打開的。源端口和目的端口各占16位，2的16次方等于65536，這就是每臺電腦與其它電腦聯(lián)系所能開的“門”。一般作為服務(wù)一方每項(xiàng)服務(wù)的端口號是固定的。本例目的端口號為00 15，換算成十進(jìn)制為21，這正是FTP的默認(rèn)端口，需要指出的是這是FTP的控制端口，數(shù)據(jù)傳送時用另一端口，第三組的分析能看到這一點(diǎn)?？蛻舳伺c服務(wù)器聯(lián)系時隨機(jī)開一個大于1024的端口，本例為04 28，換算成十進(jìn)制為1064。你的電腦中了木馬也會開一個服務(wù)端口。觀察端口非常重要，不但能看出本機(jī)提供的正常服務(wù)，還能看出不正常的連接。Windows察看端口的命令時netstat。 32位序號：也稱為順序號（Sequence Number），簡寫為SEQ，從上面三次握手的分析可以看出，當(dāng)一方要與另一方聯(lián)系時就發(fā)送一個初始序號給對方，意思是：“讓我們建立聯(lián)系吧？”，服務(wù)方收到后要發(fā)個獨(dú)立的序號給發(fā)送方，意思是“消息收到，數(shù)據(jù)流將以這個數(shù)開始?！庇纱丝煽闯觯琓CP連接完全是雙向的，即雙方的數(shù)據(jù)流可同時傳輸。在傳輸過程中雙方數(shù)據(jù)是獨(dú)立的，因此每個TCP連接必須有兩個順序號分別對應(yīng)不同方向的數(shù)據(jù)流。 32位確認(rèn)序號：也稱為應(yīng)答號（Acknowledgment Number），簡寫為ACK。在握手階段，確認(rèn)序號將發(fā)送方的序號加1作為回答，在數(shù)據(jù)傳輸階段，確認(rèn)序號將發(fā)送方的序號加發(fā)送的數(shù)據(jù)大小作為回答，表示確實(shí)收到這些數(shù)據(jù)。在第三組的分析中將看到這一過程。 4位首部長度：這個字段占4位，它的單位時32位（4個字節(jié)）。本例值為7，TCP的頭長度為28字節(jié)，等于正常的長度2 0字節(jié)加上可選項(xiàng)8個字節(jié)。，TCP的頭長度最長可為60字節(jié)（二進(jìn)制1111換算為十進(jìn)制為15，15*4字節(jié)=60字節(jié)）。 6個標(biāo)志位： URG 緊急指針，告訴接收TCP模塊緊要指針域指著緊要數(shù)據(jù) ACK 置1時表示確認(rèn)號（為合法，為0的時候表示數(shù)據(jù)段不包含確認(rèn)信息，確認(rèn)號被忽略。 PSH 置1時請求的數(shù)據(jù)段在接收方得到后就可直接送到應(yīng)用程序，而不必等到緩沖區(qū)滿時才傳送。 RST 置1時重建連接。如果接收到RST位時候，通常發(fā)生了某些錯誤。 SYN 置1時用來發(fā)起一個連接。 FIN 置1時表示發(fā)端完成發(fā)送任務(wù)。用來釋放連接，表明發(fā)送方已經(jīng)沒有數(shù)據(jù)發(fā)送了。 圖13的3個圖分別為3-5行TCP協(xié)議的頭信息，這三行是三次握手的過程，我們看看握手的過程標(biāo)志位發(fā)生了什么？ 如圖13-1請求端208號機(jī)發(fā)送一個初始序號（SEQ）987694419給1號機(jī)。標(biāo)志位SYN置為1。 如圖13-2服務(wù)器1號機(jī)收到這個序號后，將應(yīng)答信號（ACK）和隨機(jī)產(chǎn)生一個初始序號（SEQ）1773195208發(fā)回到請求端208號機(jī)，因?yàn)橛袘?yīng)答信號和初始序號，所以標(biāo)志位ACK和SYN都置為1。 如圖13-3請求端208號機(jī)收到1號機(jī)的信號后，發(fā)回信息給1號機(jī)。標(biāo)志位ACK置為1，其它標(biāo)志為都為0。注意此時SYN值為0，SYN是標(biāo)示發(fā)起連接的，上兩部連接已經(jīng)完成。 16位窗口大?。篢CP的流量控制由連接的每一端通過聲明的窗口大小來提供。窗口大小為字節(jié)數(shù)，起始于確認(rèn)序號字段指明的值，這個值是接收端正期望接收的字節(jié)。窗口大小是一個16字節(jié)字段，因而窗口大小最大為65535字節(jié)。 16位檢驗(yàn)和：檢驗(yàn)和覆蓋了整個的TCP報文段： TCP首部和TCP數(shù)據(jù)。這是一個強(qiáng)制性的字段，一定是由發(fā)端計(jì)算和存儲，并由收端進(jìn)行驗(yàn)證。 16位緊急指針：只有當(dāng)U R G標(biāo)志置1時緊急指針才有效。緊急指針是一個正的偏移量，和序號字段中的值相加表示緊急數(shù)據(jù)最后一個字節(jié)的序號。 選項(xiàng)：圖13-1和圖13-2有8個字節(jié)選項(xiàng)，圖13-3沒有選項(xiàng)。最常見的可選字段是最長報文大小，又稱為MSS (Maximum Segment Size)。每個連接方通常都在握手的第一步中指明這個選項(xiàng)。它指明本端所能接收的最大長度的報文段。圖13-1可以看出208號機(jī)可以接受的最大字節(jié)數(shù)為1460字節(jié)，1460也是以太網(wǎng)默認(rèn)的大小，在第三組的數(shù)據(jù)分析中可以看到數(shù)據(jù)傳送正是以1460字節(jié)傳送的。 握手小結(jié) 上面我們分開講了三次握手，看著有點(diǎn)散，現(xiàn)在小結(jié)一下。 圖13A第三組 數(shù)據(jù)傳輸 1）下圖顯示的是57-60行的數(shù)據(jù) 2）解釋數(shù)據(jù)包 這四行數(shù)據(jù)是數(shù)據(jù)傳輸過程中一個發(fā)送一個接收的過程。 前文說過，TCP提供一種面向連接的、可靠的字節(jié)流服務(wù)。當(dāng)接收端收到來自發(fā)送端的信息時，接受端要發(fā)送一條應(yīng)答信息，表示收到此信息。數(shù)據(jù)傳送時被TCP分割成認(rèn)為最適合發(fā)送的數(shù)據(jù)塊。一般以太網(wǎng)在傳送時TCP將數(shù)據(jù)分為1460字節(jié)。也就是說數(shù)據(jù)在發(fā)送方被分成一塊一塊的發(fā)送，接受端收到這些數(shù)據(jù)后再將它們組合在一起。 57行顯示1號機(jī)給208號機(jī)發(fā)送了大小為1514字節(jié)大小的數(shù)據(jù)，注意我們前文講過數(shù)據(jù)發(fā)送時是層層加協(xié)議頭的，1514字節(jié)=14字節(jié)以太網(wǎng)頭 + 20字節(jié)IP頭 + 20字節(jié)TCP頭 + 1460字節(jié)數(shù)據(jù) 58行顯示的應(yīng)答信號ACK為：1781514222，這個數(shù)是57行得SEQ序號1781512762加上傳送的數(shù)據(jù)1460，208號機(jī)將這個應(yīng)答信號發(fā)給1號機(jī)說明已收到發(fā)來的數(shù)據(jù)。 59、60行顯示的是繼續(xù)傳送數(shù)據(jù)的過程。 這個過程就像我向張三借書，借給我?guī)妆疚乙f：“我已借了你幾本了。”，他說：“知道了”。 3）頭信息 圖15-1和圖15-2分別是57行和58行的頭信息，解釋參考第二組第四組 終止連接 1）圖16顯示的是93-96行的數(shù)據(jù)2）解釋數(shù)據(jù)包 93-96是兩機(jī)通訊完關(guān)閉的過程。 建立一個連接需要三次握手，而終止一個連接要經(jīng)過4次握手。這是因?yàn)橐粋€TCP連接是全雙工（即數(shù)據(jù)在兩個方向上能同時傳遞），每個方向必須單獨(dú)地進(jìn)行關(guān)閉。4次握手實(shí)際上就是雙方單獨(dú)關(guān)閉的過程。 本例文件下載完后，關(guān)閉瀏覽器終止了與服務(wù)器的連接圖16的93-96行顯示的就是終止連接所經(jīng)過4次握手過程。 93行數(shù)據(jù)顯示的是關(guān)閉瀏覽器后，如圖17-1所示208號機(jī)將FIN置1連同序號(SEQ)987695574發(fā)給1號機(jī)請求終止連接。 94行數(shù)據(jù)和圖17-2顯示1號機(jī)收到FIN關(guān)閉請求后，發(fā)回一個確認(rèn)，并將應(yīng)答信號設(shè)置為收到序號加1，這樣就終止了這個方向的傳輸。 95行數(shù)據(jù)和圖17-3顯示1號機(jī)將FIN置1連同序號(SEQ)1773196056發(fā)給208號機(jī)請求終止連接。 96行數(shù)據(jù)和圖17-4顯示208號機(jī)收到FIN關(guān)閉請求后，發(fā)回一個確認(rèn)，并將應(yīng)答信號設(shè)置為收到序號加1，至此TCP連接徹底關(guān)閉。 3）頭信息 五、掃描實(shí)例 下面我們再舉個ping的實(shí)例，測試某臺計(jì)算機(jī)是否通，最常用的命令就是ping命令。Ping 一臺計(jì)算機(jī)，出現(xiàn)如圖18所示界面就是通，出現(xiàn)如圖19所示界面就是不通，不通有兩種情況，一是該計(jì)算機(jī)不存在或沒接網(wǎng)線，二是該計(jì)算機(jī)安裝了防火墻并設(shè)置為不允許ping。如何區(qū)別這兩種情況呢？下面還是利用iris跟蹤上述情況。如圖20是ping通的情況。 如圖21是ping不通該計(jì)算機(jī)不存在的情況。從圖可以看出ARP請求沒有回應(yīng)。 如圖22是ping不通，該計(jì)算機(jī)存在但安裝了防火墻的情況。從圖可以看出ARP請求有回應(yīng)。但I(xiàn)CMP請求沒回應(yīng)。 從分析可以看出雖然后兩種情況的表面現(xiàn)象是一樣