!通过连接实例解读TCPIP协议.docx

《!通过连接实例解读TCPIP协议.docx》由会员分享，可在线阅读，更多相关《!通过连接实例解读TCPIP协议.docx（16页珍藏版）》请在第一文库网上搜索。

1、通过连接实例解读TCP/1P协议最近狂补基础，猛看TCP/1P协议。不过，书上的东西太抽象了，没有什么数据实例，看了不久就忘了。于是，搬来一个Sniffer,抓了数据包来看，呵呵，结合书里面得讲解，理解得比较快。我就来灌点基础知识。开始吧，先介绍IP协议。IP协议(InternetProtoco1)是网络层协议，用在因特网上，TCP,UDP,ICMP,IGMP数据都是按照IP数据格式发送得。IP协议提供的是不可靠无连接得服务。IP数据包由一个头部和一个正文部分构成。正文主要是传输的数据，我们主要来理解头部数据，可以从其理解到IP协议。IP数据包头部格式(RFC791)工P数据包头部格式(RFC

2、791)012301234567890123456789012345678901VersionIH1ITyPeofServiceTota11ength+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+IdentificationF1agsFragmentOffset+-I-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ITimeto1iveProtoco1HeaderChecksumSourceAddress+-+-+-+-+-+-+-+-+-+-+-I-+-

3、+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+DestinationAddress+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-I-+-+OptionsIPadding+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-I-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+Examp1eInternetDatagramHeaderExamp1eInternetDatagramHeader上面的就是IP数据的头部格式，这里大概地介绍一下。IP头部由20字节的固定长度和

4、一个可选任意长度部分构成，以大段点机次序传送，从左到右。TCP协议TCP协议(TRANSMISSIONCONTRO1PROTOCO1)是传输层协议，为应用层提供服务，和UDP不同的是，TCP协议提供的可靠的面向连接的服务。在RFC793中是基本的TCP描述。关于TCP协议的头部格式内容的说明：TCPHeaderFORMat012301234567890123456789012345678901+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-I-+-+-+-+-+-+-+-+-+-+-+-+-+-+SourcePortDestinationPortSequenceNwnb

5、erAcknow1edgmentNumber+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-I-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+IDataIUAPRSFIOffsetReservedIR1CIS1SIY|工WindowIIIG1K1HITININ1I+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ChecksumUrgentPointer+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+OptionsIPadding+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-

6、+-+-+-+-+IdataII-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+TCPHeaderFORMat跟IP头部差不多，基本的长度也是20字节。TCP数据包是包含在一个IP数据报文中的。好了，简单介绍到此为止。来看看我捕获的例子吧。这是一次FTP的连接，呵呵，是CUteftP默认的CUteftP的FTP站点，IP地址是：216.3.226.21。我的IP地址假设为：192.168.1.1。下面的数据就是TCO/IP连接过程中的数据传输。我们可以分析TCP/IP协议数据格式以及TCP/IP连接的三次握手(Th

7、reeWay-Handshake)情况。下面的这些十六进制数据只是TCP/IP协议的数据，不是完整的网络通讯数据。第一次，我向FTP站点发送连接请求(我把TCP数据的可选部分去掉了)192.168.1.1-216.3.226.21IP头部：450000305252400080062c23ca80101d803e215TCP头部：Od280015505fa9060000000070024000c290000来看看IP头部的数据是些什么。第一字节,“45”，其中“4”是IP协议的版本(Version),说明是IP4。“5”是IH1位，表示IP头部的长度，是一个4bit字段，最大就是I111了，值为

8、12,IP头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送可选部分数据。接下来的一个字节“00”是服务类型(TyPeofService)这个8bit字段由3bit的优先权子字段(现在已经被忽略)，4bit的TOS子字段以及Ibit的未用字段(现在为0)构成.4bit的TOS子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个Ibit位最多只能有一个为1,本例中都为0,表示是一般服务。接着的两个字节“0030”是IP数据报文总长，包含头部以及数据，这里表示48字节。这48字节由20字节的IP头部以及28字节的TCP头构成(本来

9、截取的TCP头应该是28字节的，其中8字节为可选部分，被我省去了)。因此目前最大的IP数据包长度是65535字节。再是两个字节的标志位(Identification)：“5252”,转换为十进制就是21074。这个是让目的主机来判断新来的分段属于哪个分组。下一个字节“40”，转换为二进制就是“01000000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF.DF为1表示不要分段，MF为1表示还有进一步的分段(本例为0)。然后的“00000是分段便移(FragmentOffset)o“80”这个字节就是TT1(TimeTO1iVe)了，表示一个IP数据流的生命周期，用Pi

10、ng显示的结果，能得到H1的值，很多文章就说通过1位来判别主机类型。因为一般主机都有默认的TT1值，不同系统的默认值不一样。比如W1NDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候1就减一，当减到0时，这个数据包就消亡了。这也时TraCert的原理。本例中为“80”，转换为十进制就是128了，我用的WIN2000。继续下来的是“06”，这个字节表示传输层的协议类型(Protoco1)0在RFC790中有定义，6表示传输层是TCP协议。“2C23”这个16bit是头校验和(HeaderChecksum)。接下来“c0a80101”，这个就是源地

11、址(SOUrCeAddreSS)了，也就是我的IP地址。转换为十进制的IP地址就是：192.168.11,同样，继续下来的32位“d803e215”是目标地址，216.3.226.21好了，真累啊，终于看完基本的20字节的IP数据报头了。继续看TCP的头部吧，这个是作为IP数据包的数据部分传输的。TCP头部：Od280015505fa9060000000070024000c290000一来就是一个两字节段“0d28”，表示本地端口号，转换为十进制就是3368。第二个两字节段“0015”表示目标端口，因为我是连接FTP站点，所以，这个就是21啦，十六进制当然就是“0015”。接下来的四个字节“5

12、05fa906”是顺序号(SeqUenCeNumber),简写为SEQ,SEQ=I348446470下面的四个字节“00000000”是确认号(Acknow1edgmentNumber),简写为ACKNUMo继续两个字节，“7002”，转换为二进制吧，“0111000000000010”。这两个字节,总共16bit,有好多东西呢。第一个4bit“0111”，是TCP头长，十进制为7,表示28个字节(刚才说了，我省略了8字节的OPtiOn数据，所以你只看见了20字节)。接着的6bit现在TCP协议没有用上，都为0。最后的6bit“00OO1Ow是六个重要的标志。这是两个计算机数据交流的信息标志。

13、接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍：URG：(UrgentPointerfie1dsignificant)紧急指针。用到的时候值为1用来处理避免TCP数据流中断ACK：(ACknoW1edgmentfie1dSignifiCant)置1时表示确认号(ACknOWIedgmentNU1nber)为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。PSH：(PushFunction),PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。RST：(Resettheconnection)用于复位因某种原因引起出现的错误连接

14、，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。SYN：(SynChroniZeSeqUenCenUn1berS)用来建立连接，在连接请求中，SYN=I,ACK=O,连接响应时，SYN=1,ACK=I0即，SYN和ACK来区分ConneCtiOnRequest11ConnectionAcceptedoFIN：(Nomoredatafromsender)用来释放连接，表明发送方己经没有数据发送了。这6个标志位，你们自己对号入座吧。本例中SYN=1ACK=O,当然就是表示连接请求了。我们可以注意下面两个过程的这两位的变换。后面的“4000c290000”不讲了，呵呵，偷懒了

15、。后面两次通讯的数据，自己分开看吧。我们看看连接的过程，一些重要地方的变化。第二次，FTP站点返回一个可以连接的信号。216.3.226.21-192.168.1.1IP头部：4500002cc6be40006a06cdbad803e215ca80101TCP头部：0015Od284b4f45c1505fa9076012205864070000第三次，我确认连接。TCP连接建立起来。192. 168.1.1-216.3.226.21IP头部：45OO00285253400080062c2aca8O1O1d803e215TCP头部：Od280015505fa9074b4f45c2501040b5bIc0000好，我们看看整个ThreewayJandshake过程。第一步，我发出连接请求，TCP数据为：SEQ=505fa906,ACKNUM=OO000000,SYN=I,ACK=Oo第二步，对方确认可以连接，TCP数据为：SEQ=4b4f45cbACKNUM=505fa907,SYN=1,ACK=Io第三步，我确认建立连接。SEQ=505fa907,ACKNUM=4b4f45c2,SYN=O,ACK=Io可以看出什么变化么？正式建立连接了呢，这些东西是什么值？我接收从216.3.226.2