Scott@JAVA

          Java, 一杯濃濃的咖啡伴你到深夜

          用協(xié)議分析工具學(xué)習(xí)TCP/IP

          摘至 中國協(xié)議分析網(wǎng)

          一、前言

            目前,網(wǎng)絡(luò)的速度發(fā)展非常快,學(xué)習(xí)網(wǎng)絡(luò)的人也越來越多,稍有網(wǎng)絡(luò)常識的人都知道TCP/IP協(xié)議是網(wǎng)絡(luò)的基礎(chǔ),是Internet的語言,可以說沒有TCP/IP協(xié)議就沒有互聯(lián)網(wǎng)的今天。目前號稱搞網(wǎng)的人非常多,許多人就是從一把夾線鉗,一個(gè)測線器聯(lián)網(wǎng)開始接觸網(wǎng)絡(luò)的,如果只是聯(lián)網(wǎng)玩玩,知道幾個(gè)Ping之類的命令就行了,如果想在網(wǎng)絡(luò)上有更多的發(fā)展不管是黑道還是紅道,必須要把TCP/IP協(xié)議搞的非常明白。

            學(xué)習(xí)過TCP/IP協(xié)議的人多有一種感覺,這東西太抽象了,沒有什么數(shù)據(jù)實(shí)例,看完不久就忘了。本文將介紹一種直觀的學(xué)習(xí)方法,利用協(xié)議分析工具學(xué)習(xí)TCP/IP,在學(xué)習(xí)的過程中能直觀的看到數(shù)據(jù)的具體傳輸過程。

            為了初學(xué)者更容易理解,本文將搭建一個(gè)最簡單的網(wǎng)絡(luò)環(huán)境,不包含子網(wǎng)。

          二、試驗(yàn)環(huán)境

          1、網(wǎng)絡(luò)環(huán)境

          如圖1所示



          圖1

            為了表述方便,下文中208號機(jī)即指地址為192.168.113.208的計(jì)算機(jī),1號機(jī)指地址為192.168.113.1的計(jì)算機(jī)。

          2、操作系統(tǒng)

          兩臺機(jī)器都為Windows 2000 ,1號機(jī)機(jī)器作為服務(wù)器,安裝FTP服務(wù)

          3、協(xié)議分析工具

            Windows環(huán)境下常用的工具有:Sniffer Pro、Natxray、Iris以及windows 2000自帶的網(wǎng)絡(luò)監(jiān)視器等。本文選用Iris作為協(xié)議分析工具。

          在客戶機(jī)208號機(jī)安裝IRIS軟件。

          三、測試過程

          1、測試?yán)樱簩?號機(jī)計(jì)算機(jī)中的一個(gè)文件通過FTP下載到208號機(jī)中。

          2、IRIS的設(shè)置。

            由于IRIS具有網(wǎng)絡(luò)監(jiān)聽的功能,如果網(wǎng)絡(luò)環(huán)境中還有其它的機(jī)器將抓很多別的數(shù)據(jù)包,這樣為學(xué)習(xí)帶來諸多不便,為了清楚地看清楚上述例子的傳輸過程首先將IRIS設(shè)置為只抓208號機(jī)和1號機(jī)之間的數(shù)據(jù)包。設(shè)置過程如下:

            1)用熱鍵CTRL+B彈出如圖所示的地址表,在表中填寫機(jī)器的IP地址,為了對抓的包看得更清楚不要添主機(jī)的名字(name),設(shè)置好后關(guān)閉此窗口。



          圖2

            2)用熱鍵CTRL+E彈出如圖所示過濾設(shè)置,選擇左欄“IP address”,右欄按下圖將address book中的地址拽到下面,設(shè)置好后確定,這樣就這抓這兩臺計(jì)算機(jī)之間的包。



          圖3

            3、抓包

            按下IRIS工具欄中 開始按鈕。在瀏覽器中輸入:FTP://192.168.113.1,找到要下載的文件 ,鼠標(biāo)右鍵該文件,在彈出的菜單中選擇“復(fù)制到文件夾”開始下載,下載完后在IRIS工具欄中按 按鈕停止抓包。圖4顯示的就是FTP的整個(gè)過程,下面我們將詳細(xì)分析這個(gè)過程。



          圖4

            說明:為了能抓到ARP協(xié)議的包,在WINDOWS 2000 中運(yùn)行arp –d 清除arp緩存。

          四、過程分析

          1、TCP/IP的基本原理

            本文的重點(diǎn)雖然是根據(jù)實(shí)例來解析TCP/IP,但要講明白下面的過程必須簡要講一下TCP/IP的基本原理。

          A.網(wǎng)絡(luò)是分層的,每一層分別負(fù)責(zé)不同的通信功能。

            TCP/IP通常被認(rèn)為是一個(gè)四層協(xié)議系統(tǒng),TCP/IP協(xié)議族是一組不同的協(xié)議組合在一起構(gòu)成的協(xié)議族。盡管通常稱該協(xié)議族為TCP/IP,但TCP和IP只是其中的兩種協(xié)議而已,如表1所示。每一層負(fù)責(zé)不同的功能:



          表1

            分層的概念說起來非常簡單,但在實(shí)際的應(yīng)用中非常的重要,在進(jìn)行網(wǎng)絡(luò)設(shè)置和排除故障時(shí)對網(wǎng)絡(luò)層次理解得很透,將對工作有很大的幫助。例如:設(shè)置路由是網(wǎng)絡(luò)層IP協(xié)議的事,要查找MAC地址是鏈路層ARP的事,常用的Ping命令由ICMP協(xié)議來做的。

            圖5顯示了各層協(xié)議的關(guān)系,理解它們之間的關(guān)系對下面的協(xié)議分析非常重要。



          圖5

            b.數(shù)據(jù)發(fā)送時(shí)是自上而下,層層加碼;數(shù)據(jù)接收時(shí)是自下而上,層層解碼。

            當(dāng)應(yīng)用程序用TCP傳送數(shù)據(jù)時(shí),數(shù)據(jù)被送入協(xié)議棧中,然后逐個(gè)通過每一層直到被當(dāng)作一串比特流送入網(wǎng)絡(luò)。其中每一層對收到的數(shù)據(jù)都要增加一些首部信息(有時(shí)還要增加尾部信息),該過程如圖6所示。TCP傳給IP的數(shù)據(jù)單元稱作TCP報(bào)文段或簡稱為TCP段。I P傳給網(wǎng)絡(luò)接口層的數(shù)據(jù)單元稱作IP數(shù)據(jù)報(bào)。 通過以太網(wǎng)傳輸?shù)谋忍亓鞣Q作幀(Frame)。

            數(shù)據(jù)發(fā)送時(shí)是按照圖6自上而下,層層加碼;數(shù)據(jù)接收時(shí)是自下而上,層層解碼。



          圖6

          c. 邏輯上通訊是在同級完成的

            垂直方向的結(jié)構(gòu)層次是當(dāng)今普遍認(rèn)可的數(shù)據(jù)處理的功能流程。每一層都有與其相鄰層的接口。為了通信,兩個(gè)系統(tǒng)必須在各層之間傳遞數(shù)據(jù)、指令、地址等信息,通信的邏輯流程與真正的數(shù)據(jù)流的不同。雖然通信流程垂直通過各層次,但每一層都在邏輯上能夠直接與遠(yuǎn)程計(jì)算機(jī)系統(tǒng)的相應(yīng)層直接通信。

            從圖7可以看出,通訊實(shí)際上是按垂直方向進(jìn)行的,但在邏輯上通信是在同級進(jìn)行的。



          圖7

          2、過程描述

            為了更好的分析協(xié)議,我們先描述一下上述例子數(shù)據(jù)的傳輸步驟。如圖8所示:

          1)FTP客戶端請求TCP用服務(wù)器的IP地址建立連接。

          2)TCP發(fā)送一個(gè)連接請求分段到遠(yuǎn)端的主機(jī),即用上述IP地址發(fā)送一份IP數(shù)據(jù)報(bào)。

          3) 如果目的主機(jī)在本地網(wǎng)絡(luò)上,那么IP數(shù)據(jù)報(bào)可以直接送到目的主機(jī)上。如果目的主機(jī)在一個(gè)遠(yuǎn)程網(wǎng)絡(luò)上,那么就通過IP選路函數(shù)來確定位于本地網(wǎng)絡(luò)上的下一站路由器地址,并讓它轉(zhuǎn)發(fā)IP數(shù)據(jù)報(bào)。在這兩種情況下,IP數(shù)據(jù)報(bào)都是被送到位于本地網(wǎng)絡(luò)上的一臺主機(jī)或路由器。

          4) 本例是一個(gè)以太網(wǎng),那么發(fā)送端主機(jī)必須把32位的IP地址變換成48位的以太網(wǎng)地址,該地址也稱為MAC地址,它是出廠時(shí)寫到網(wǎng)卡上的世界唯一的硬件地址。把IP地址翻譯到對應(yīng)的MAC地址是由ARP協(xié)議完成的。

          5) 如圖的虛線所示,ARP發(fā)送一份稱作ARP請求的以太網(wǎng)數(shù)據(jù)幀給以太網(wǎng)上的每個(gè)主機(jī),這個(gè)過程稱作廣播。ARP請求數(shù)據(jù)幀中包含目的主機(jī)的IP地址,其意思是“如果你是這個(gè)IP地址的擁有者,請回答你的硬件地址。”

          6) 目的主機(jī)的ARP層收到這份廣播后,識別出這是發(fā)送端在尋問它的IP地址,于是發(fā)送一個(gè)ARP應(yīng)答。這個(gè)ARP應(yīng)答包含I P地址及對應(yīng)的硬件地址。

          7) 收到ARP應(yīng)答后,使ARP進(jìn)行請求—應(yīng)答交換的IP數(shù)據(jù)包現(xiàn)在就可以傳送了。

          8) 發(fā)送IP數(shù)據(jù)報(bào)到目的主機(jī)。



          圖8

          3、實(shí)例分析

            下面通過分析用iris捕獲的包來分析一下TCP/IP的工作過程,為了更清晰的解釋數(shù)據(jù)傳送的過程,我們按傳輸?shù)牟煌A段抓了四組數(shù)據(jù),分別是查找服務(wù)器、建立連接、數(shù)據(jù)傳輸和終止連接。每組數(shù)據(jù),按下面三步進(jìn)行解釋。


          顯示數(shù)據(jù)包


          解釋該數(shù)據(jù)包


          按層分析該包的頭信息

          第一組 查找服務(wù)器

          1)下圖顯示的是1、2行的數(shù)據(jù)




          圖9

          2)解釋數(shù)據(jù)包

            這兩行數(shù)據(jù)就是查找服務(wù)器及服務(wù)器應(yīng)答的過程。

            在第1行中,源端主機(jī)的MAC地址是00:50:FC:22:C7:BE。目的端主機(jī)的MAC地址是FF:FF:FF:FF:FF:FF,這個(gè)地址是十六進(jìn)制表示的,F(xiàn)換算為二進(jìn)制就是1111,全1的地址就是廣播地址。所謂廣播就是向本網(wǎng)上的每臺網(wǎng)絡(luò)設(shè)備發(fā)送信息,電纜上的每個(gè)以太網(wǎng)接口都要接收這個(gè)數(shù)據(jù)幀并對它進(jìn)行處理,這一行反映的是步驟5)的內(nèi)容,ARP發(fā)送一份稱作ARP請求的以太網(wǎng)數(shù)據(jù)幀給以太網(wǎng)上的每個(gè)主機(jī)。網(wǎng)內(nèi)的每個(gè)網(wǎng)卡都接到這樣的信息“誰是192.168.113.1的IP地址的擁有者,請將你的硬件地址告訴我”。

            第2行反映的是步驟6)的內(nèi)容。在同一個(gè)以太網(wǎng)中的每臺機(jī)器都會"接收"到這個(gè)報(bào)文,但正常狀態(tài)下除了1號機(jī)外其他主機(jī)應(yīng)該會忽略這個(gè)報(bào)文,而1號的主機(jī)的ARP層收到這份廣播報(bào)文后,識別出這是發(fā)送端在尋問它的IP地址,于是發(fā)送一個(gè)ARP應(yīng)答。告知自己的IP地址和MAC地址。第2行可以清楚的看出1號回答的信息__自己的MAC地址00:50:FC:22:C7:BE。

            這兩行反映的是數(shù)據(jù)鏈路層之間一問一答的通信過程。這個(gè)過程就像我要在一個(gè)坐滿人的教室找一個(gè)叫“張三”的人,在門口喊了一聲“張三”,這一聲大家都聽見了,這就叫廣播。張三聽到后做了回應(yīng),別人聽到了沒做回應(yīng),這樣就與張三取得了聯(lián)系。

          3)頭信息分析

            如下圖左欄所示,第1數(shù)據(jù)包包含了兩個(gè)頭信息:以太網(wǎng)Ethernet)和ARP。



          圖10

            下表2是以太網(wǎng)的頭信息,括號內(nèi)的數(shù)均為該字段所占字節(jié)數(shù),以太網(wǎng)報(bào)頭中的前兩個(gè)字段是以太網(wǎng)的源地址和目的地址。目的地址為全1的特殊地址是廣播地址。電纜上的所有以太網(wǎng)接口都要接收廣播的數(shù)據(jù)幀。兩個(gè)字節(jié)長的以太網(wǎng)幀類型表示后面數(shù)據(jù)的類型。對于ARP請求或應(yīng)答來說,該字段的值為0806。

            第2行中可以看到,盡管ARP請求是廣播的,但是ARP應(yīng)答的目的地址卻是1號機(jī)的(00 50 FC 22 C7 BE)。ARP應(yīng)答是直接送到請求端主機(jī)的。



          表2

            下表3是ARP協(xié)議的頭信息。硬件類型字段表示硬件地址的類型。它的值為1即表示以太網(wǎng)地址。協(xié)議類型字段表示要映射的協(xié)議地址類型。它的值為0800即表示IP地址。它的值與包含I P數(shù)據(jù)報(bào)的以太網(wǎng)數(shù)據(jù)幀中的類型字段的值相同。接下來的兩個(gè)1字節(jié)的字段,硬件地址長度和協(xié)議地址長度分別指出硬件地址和協(xié)議地址的長度,以字節(jié)為單位。對于以太網(wǎng)上IP地址的ARP請求或應(yīng)答來說,它們的值分別為6和4。Op即操作(Opoperation),1是ARP請求、2是ARP應(yīng)答、3是RARP請求和4為RARP應(yīng)答,第二行中該字段值為2表示應(yīng)答。接下來的四個(gè)字段是發(fā)送端的硬件地址、發(fā)送端的IP地址、目的端的硬件地址和目的端IP地址。注意,這里有一些重復(fù)信息:在以太網(wǎng)的數(shù)據(jù)幀報(bào)頭中和ARP請求數(shù)據(jù)幀中都有發(fā)送端的硬件地址。對于一個(gè)ARP請求來說,除目的端硬件地址外的所有其他的字段都有填充值。

            表3的第2行為應(yīng)答,當(dāng)系統(tǒng)收到一份目的端為本機(jī)的ARP請求報(bào)文后,它就把硬件地址填進(jìn)去,然后用兩個(gè)目的端地址分別替換兩個(gè)發(fā)送端地址,并把操作字段置為2,最后把它發(fā)送回去。



          表3

          第二組 建立連接


          1)下圖顯示的是3-5行的數(shù)據(jù)



          圖11

          2)解釋數(shù)據(jù)包

            這三行數(shù)據(jù)是兩機(jī)建立連接的過程。

            這三行的核心意思就是TCP協(xié)議的三次握手。TCP的數(shù)據(jù)包是靠IP協(xié)議來傳輸?shù)摹5獻(xiàn)P協(xié)議是只管把數(shù)據(jù)送到出去,但不能保證IP數(shù)據(jù)報(bào)能成功地到達(dá)目的地,保證數(shù)據(jù)的可靠傳輸是靠TCP協(xié)議來完成的。當(dāng)接收端收到來自發(fā)送端的信息時(shí),接受端詳發(fā)送短發(fā)送一條應(yīng)答信息,意思是:“我已收到你的信息了?!钡谌M數(shù)據(jù)將能看到這個(gè)過程。TCP是一個(gè)面向連接的協(xié)議。無論哪一方向另一方發(fā)送數(shù)據(jù)之前,都必須先在雙方之間建立一條連接。建立連接的過程就是三次握手的過程。

            這個(gè)過程就像要我找到了張三向他借幾本書,第一步:我說:“你好,我是擔(dān)子”,第二步:張三說:“你好,我是張三”,第三步:我說:“我找你借幾本書?!边@樣通過問答就確認(rèn)對方身份,建立了聯(lián)系。

            下面來分析一下此例的三次握手過程。

          1))請求端208號機(jī)發(fā)送一個(gè)初始序號(SEQ)987694419給1號機(jī)。

          2))服務(wù)器1號機(jī)收到這個(gè)序號后,將此序號加1值為987694419作為應(yīng)答信號(ACK),同時(shí)隨機(jī)產(chǎn)生一個(gè)初始序號(SEQ)1773195208,這兩個(gè)信號同時(shí)發(fā)回到請求端208號機(jī),意思為:“消息已收到,讓我們的數(shù)據(jù)流以1773195208這個(gè)數(shù)開始?!?

          3))請求端208號機(jī)收到后將確認(rèn)序號設(shè)置為服務(wù)器的初始序號(SEQ)1773195208加1為1773195209作為應(yīng)答信號。

            以上三步完成了三次握手,雙方建立了一條通道,接下來就可以進(jìn)行數(shù)據(jù)傳輸了。

            下面分析TCP頭信息就可以看出,在握手過程中TCP頭部的相關(guān)字段也發(fā)生了變化。

          3)頭信息分析

            如圖12所示,第3數(shù)據(jù)包包含了三頭信息:以太網(wǎng)Ethernet)和IP和TCP。

            頭信息少了ARP多了IP、TCP,下面的過程也沒有ARP的參與,可以這樣理解,在局域網(wǎng)內(nèi),ARP負(fù)責(zé)的是在眾多聯(lián)網(wǎng)的計(jì)算機(jī)中找到需要找的計(jì)算機(jī),找到工作就完成了。

            以太網(wǎng)的頭信息與第1、2行不同的是幀類型為0800,指明該幀類型為IP。


          圖12

          IP協(xié)議頭信息

            IP是TCP/IP協(xié)議族中最為核心的協(xié)議。從圖5可以看出所有的TCP、UDP、ICMP及IGMP數(shù)據(jù)都以IP數(shù)據(jù)報(bào)格式傳輸?shù)?,有個(gè)形象的比喻IP協(xié)議就像運(yùn)貨的卡車,將一車車的貨物運(yùn)向目的地。主要的貨物就是TCPUDP分配給它的。需要特別指出的是IP提供不可靠、無連接的數(shù)據(jù)報(bào)傳送,也就是說I P僅提供最好的傳輸服務(wù)但不保證IP數(shù)據(jù)報(bào)能成功地到達(dá)目的地??吹竭@你會不會擔(dān)心你的E_MAIL會不會送到朋友那,其實(shí)不用擔(dān)心,上文提過保證數(shù)據(jù)正確到達(dá)目的地是TCP的工作,稍后我們將詳細(xì)解釋。

            如表4是IP協(xié)議的頭信息。



          表4 IP數(shù)據(jù)報(bào)格式及首部中的各字段

            圖12中所宣布分45 00—71 01為IP的頭信息。這些數(shù)是十六進(jìn)制表示的。一個(gè)數(shù)占4位,例如:4的二進(jìn)制是0100

            4位版本:表示目前的協(xié)議版本號,數(shù)值是4表示版本為4,因此IP有時(shí)也稱作IPv4;

            4位首部長度:頭部的是長度,它的單位是32位(4個(gè)字節(jié)),數(shù)值為5表示IP頭部長度為20字節(jié)。

            8位服務(wù)類型(TOS):00,這個(gè)8位字段由3位的優(yōu)先權(quán)子字段,現(xiàn)在已經(jīng)被忽略,4位的TOS子字段以及1 位的未用字段(現(xiàn)在為0)構(gòu)成。4位的TOS子字段包含:最小延時(shí)、最大吞吐量、最高可靠性以及最小費(fèi)用構(gòu)成,這四個(gè)1位最多只能有一個(gè)為1,本例中都為0,表示是一般服務(wù)。

            16位總長度(字節(jié)數(shù)):總長度字段是指整個(gè)IP數(shù)據(jù)報(bào)的長度,以字節(jié)為單位。數(shù)值為00 30,換算為十進(jìn)制為48字節(jié),48字節(jié)=20字節(jié) 的IP頭+28字節(jié)的TCP頭,這個(gè)數(shù)據(jù)報(bào)只是傳送的控制信息,還沒有傳送真正的數(shù)據(jù),所以目前看到的總長度就是報(bào)頭的長度。

            16位標(biāo)識:標(biāo)識字段唯一地標(biāo)識主機(jī)發(fā)送的每一份數(shù)據(jù)報(bào)。通常每發(fā)送一份報(bào)文它的值就會加1,第3行為數(shù)值為30 21,第5行為30 22,第7行為30 23。分片時(shí)涉及到標(biāo)志字段和片偏移字段,本文不討論這兩個(gè)字段。

            8位生存時(shí)間(TTL):TTL(time-to-live)生存時(shí)間字段設(shè)置了數(shù)據(jù)報(bào)可以經(jīng)過的最多路由器數(shù)。它指定了數(shù)據(jù)報(bào)的生存時(shí)間。ttl的初始值由源主機(jī)設(shè)置,一旦經(jīng)過一個(gè)處理它的路由器,它的值就減去1??筛鶕?jù)TTL值判斷服務(wù)器是什么系統(tǒng)和經(jīng)過的路由器。本例為80,換算成十進(jìn)制為128,WINDOWS操作系統(tǒng)TTL初始值一般為128,UNIX操作系統(tǒng)初始值為255,本例表示兩個(gè)機(jī)器在同一網(wǎng)段且操作系統(tǒng)為WINDOWS。

            8位協(xié)議:表示協(xié)議類型,6表示傳輸層是TCP協(xié)議。

            16位首部檢驗(yàn)和:當(dāng)收到一份I P數(shù)據(jù)報(bào)后,同樣對首部中每個(gè)16 位進(jìn)行二進(jìn)制反碼的求和。由于接收方在計(jì)算過程中包含了發(fā)送方存在首部中的檢驗(yàn)和,因此,如果首部在傳輸過程中沒有發(fā)生任何差錯(cuò),那么接收方計(jì)算的結(jié)果應(yīng)該為全1。如果結(jié)果不是全1,即檢驗(yàn)和錯(cuò)誤,那么IP就丟棄收到的數(shù)據(jù)報(bào)。但是不生成差錯(cuò)報(bào)文,由上層去發(fā)現(xiàn)丟失的數(shù)據(jù)報(bào)并進(jìn)行重傳。

            32位源IP地址和32位目的IP地址:實(shí)際這是IP協(xié)議中核心的部分,但介紹這方面的文章非常多,本文搭建的又是一個(gè)最簡單的網(wǎng)絡(luò)結(jié)構(gòu),不涉及路由,本文對此只做簡單介紹,相關(guān)知識請參閱其它文章。32位的IP地址由一個(gè)網(wǎng)絡(luò)ID和一個(gè)主機(jī)ID組成。本例源IP地址為C0 A8 71 D0,轉(zhuǎn)換為十進(jìn)制為:192.168.113.208; 目的IP地址為C0 A8 71 01,轉(zhuǎn)換為十進(jìn)制為:192.168.113.1。網(wǎng)絡(luò)地址為192.168.113,主機(jī)地址分別為1和208,它們的網(wǎng)絡(luò)地址是相同的所以在一個(gè)網(wǎng)段內(nèi),這樣數(shù)據(jù)在傳送過程中可直接到達(dá)。

          TCP協(xié)議頭信息

            如表5是ICP協(xié)議的頭信息。



          表5 TCP包首部

            第三行TCP的頭信息是:04 28 00 15 3A DF 05 53 00 00 00 00 70 02 40 00 9A 8D 00 00 02 04 05 B4 01 01 04 02

            端口號:常說FTP占21端口、HTTP占80端口、TELNET占23端口等,這里指的端口就是TCPUDP的端口,端口就像通道兩端的門一樣,當(dāng)兩機(jī)進(jìn)行通訊時(shí)門必須是打開的。源端口和目的端口各占16位,2的16次方等于65536,這就是每臺電腦與其它電腦聯(lián)系所能開的“門”。一般作為服務(wù)一方每項(xiàng)服務(wù)的端口號是固定的。本例目的端口號為00 15,換算成十進(jìn)制為21,這正是FTP的默認(rèn)端口,需要指出的是這是FTP的控制端口,數(shù)據(jù)傳送時(shí)用另一端口,第三組的分析能看到這一點(diǎn)??蛻舳伺c服務(wù)器聯(lián)系時(shí)隨機(jī)開一個(gè)大于1024的端口,本例為04 28,換算成十進(jìn)制為1064。你的電腦中了木馬也會開一個(gè)服務(wù)端口。觀察端口非常重要,不但能看出本機(jī)提供的正常服務(wù),還能看出不正常的連接。Windows察看端口的命令時(shí)netstat。

            32位序號:也稱為順序號(Sequence Number),簡寫為SEQ,從上面三次握手的分析可以看出,當(dāng)一方要與另一方聯(lián)系時(shí)就發(fā)送一個(gè)初始序號給對方,意思是:“讓我們建立聯(lián)系吧?”,服務(wù)方收到后要發(fā)個(gè)獨(dú)立的序號給發(fā)送方,意思是“消息收到,數(shù)據(jù)流將以這個(gè)數(shù)開始。”由此可看出,TCP連接完全是雙向的,即雙方的數(shù)據(jù)流可同時(shí)傳輸。在傳輸過程中雙方數(shù)據(jù)是獨(dú)立的,因此每個(gè)TCP連接必須有兩個(gè)順序號分別對應(yīng)不同方向的數(shù)據(jù)流。

            32位確認(rèn)序號:也稱為應(yīng)答號(Acknowledgment Number),簡寫為ACK。在握手階段,確認(rèn)序號將發(fā)送方的序號加1作為回答,在數(shù)據(jù)傳輸階段,確認(rèn)序號將發(fā)送方的序號加發(fā)送的數(shù)據(jù)大小作為回答,表示確實(shí)收到這些數(shù)據(jù)。在第三組的分析中將看到這一過程。

            4位首部長度:。這個(gè)字段占4位,它的單位時(shí)32位(4個(gè)字節(jié))。本例值為7,TCP的頭長度為28字節(jié),等于正常的長度2 0字節(jié)加上可選項(xiàng)8個(gè)字節(jié)。,TCP的頭長度最長可為60字節(jié)(二進(jìn)制1111換算為十進(jìn)制為15,15*4字節(jié)=60字節(jié))。

            6個(gè)標(biāo)志位。

            URG 緊急指針,告訴接收TCP模塊緊要指針域指著緊要數(shù)據(jù)

            ACK 置1時(shí)表示確認(rèn)號(為合法,為0的時(shí)候表示數(shù)據(jù)段不包含確認(rèn)信息,確認(rèn)號被忽略。

            PSH 置1時(shí)請求的數(shù)據(jù)段在接收方得到后就可直接送到應(yīng)用程序,而不必等到緩沖區(qū)滿時(shí)才傳送。

            RST 置1時(shí)重建連接。如果接收到RST位時(shí)候,通常發(fā)生了某些錯(cuò)誤。

            SYN 置1時(shí)用來發(fā)起一個(gè)連接。

            FIN 置1時(shí)表示發(fā)端完成發(fā)送任務(wù)。用來釋放連接,表明發(fā)送方已經(jīng)沒有數(shù)據(jù)發(fā)送了。

            圖13的3個(gè)圖分別為3-5行TCP協(xié)議的頭信息,這三行是三次握手的過程,我們看看握手的過程標(biāo)志位發(fā)生了什么?

            如圖13-1請求端208號機(jī)發(fā)送一個(gè)初始序號(SEQ)987694419給1號機(jī)。標(biāo)志位SYN置為1。

            如圖13-2服務(wù)器1號機(jī)收到這個(gè)序號后,將應(yīng)答信號(ACK)和隨機(jī)產(chǎn)生一個(gè)初始序號(SEQ)1773195208發(fā)回到請求端208號機(jī),因?yàn)橛袘?yīng)答信號和初始序號,所以標(biāo)志位ACK和SYN都置為1。

            如圖13-3請求端208號機(jī)收到1號機(jī)的信號后,發(fā)回信息給1號機(jī)。標(biāo)志位ACK置為1,其它標(biāo)志為都為0。注意此時(shí)SYN值為0,SYN是標(biāo)示發(fā)起連接的,上兩部連接已經(jīng)完成。



            16位窗口大?。?A target=_blank>TCP的流量控制由連接的每一端通過聲明的窗口大小來提供。窗口大小為字節(jié)數(shù),起始于確認(rèn)序號字段指明的值,這個(gè)值是接收端正期望接收的字節(jié)。窗口大小是一個(gè)16字節(jié)字段,因而窗口大小最大為65535字節(jié)。

            16位檢驗(yàn)和:檢驗(yàn)和覆蓋了整個(gè)的TCP報(bào)文段: TCP首部和TCP數(shù)據(jù)。這是一個(gè)強(qiáng)制性的字段,一定是由發(fā)端計(jì)算和存儲,并由收端進(jìn)行驗(yàn)證。

            16位緊急指針:只有當(dāng)U R G標(biāo)志置1時(shí)緊急指針才有效。緊急指針是一個(gè)正的偏移量,和序號字段中的值相加表示緊急數(shù)據(jù)最后一個(gè)字節(jié)的序號。

            選項(xiàng):圖13-1和圖13-2有8個(gè)字節(jié)選項(xiàng),圖13-3沒有選項(xiàng)。最常見的可選字段是最長報(bào)文大小,又稱為MSS (Maximum Segment Size)。每個(gè)連接方通常都在握手的第一步中指明這個(gè)選項(xiàng)。它指明本端所能接收的最大長度的報(bào)文段。圖13-1可以看出208號機(jī)可以接受的最大字節(jié)數(shù)為1460字節(jié),1460也是以太網(wǎng)默認(rèn)的大小,在第三組的數(shù)據(jù)分析中可以看到數(shù)據(jù)傳送正是以1460字節(jié)傳送的。

          握手小結(jié)

            上面我們分開講了三次握手,看著有點(diǎn)散,現(xiàn)在小結(jié)一下。



          第三組 數(shù)據(jù)傳輸

          1)下圖顯示的是57-60行的數(shù)據(jù)



          圖14

          2)解釋數(shù)據(jù)包

            這四行數(shù)據(jù)是數(shù)據(jù)傳輸過程中一個(gè)發(fā)送一個(gè)接收的過程。

            前文說過,TCP提供一種面向連接的、可靠的字節(jié)流服務(wù)。當(dāng)接收端收到來自發(fā)送端的信息時(shí),接受端要發(fā)送一條應(yīng)答信息,表示收到此信息。數(shù)據(jù)傳送時(shí)被TCP分割成認(rèn)為最適合發(fā)送的數(shù)據(jù)塊。一般以太網(wǎng)在傳送時(shí)TCP將數(shù)據(jù)分為1460字節(jié)。也就是說數(shù)據(jù)在發(fā)送方被分成一塊一塊的發(fā)送,接受端收到這些數(shù)據(jù)后再將它們組合在一起。

            57行顯示1號機(jī)給208號機(jī)發(fā)送了大小為1514字節(jié)大小的數(shù)據(jù),注意我們前文講過數(shù)據(jù)發(fā)送時(shí)是層層加協(xié)議頭的,1514字節(jié)=14字節(jié)以太網(wǎng)頭 + 20字節(jié)IP頭 + 20字節(jié)TCP頭 + 1460字節(jié)數(shù)據(jù)

            58行顯示的應(yīng)答信號ACK為:1781514222,這個(gè)數(shù)是57行得SEQ序號1781512762加上傳送的數(shù)據(jù)1460,208號機(jī)將這個(gè)應(yīng)答信號發(fā)給1號機(jī)說明已收到發(fā)來的數(shù)據(jù)。

            59、60行顯示的是繼續(xù)傳送數(shù)據(jù)的過程。

            這個(gè)過程就像我向張三借書,借給我?guī)妆疚乙f:“我已借了你幾本了?!保f:“知道了”。

          3)頭信息

            圖15-1和圖15-2分別是57行和58行的頭信息,解釋參考第二組。



          第四組 終止連接

          1)下圖顯示的是93-96行的數(shù)據(jù)



          圖16

          2)解釋數(shù)據(jù)包

          93-96是兩機(jī)通訊完關(guān)閉的過程。

            建立一個(gè)連接需要三次握手,而終止一個(gè)連接要經(jīng)過4次握手。這是因?yàn)橐粋€(gè)TCP連接是全雙工(即數(shù)據(jù)在兩個(gè)方向上能同時(shí)傳遞),每個(gè)方向必須單獨(dú)地進(jìn)行關(guān)閉。4次握手實(shí)際上就是雙方單獨(dú)關(guān)閉的過程。

            本例文件下載完后,關(guān)閉瀏覽器終止了與服務(wù)器的連接圖16的93-96行顯示的就是終止連接所經(jīng)過4次握手過程。

            93行數(shù)據(jù)顯示的是關(guān)閉瀏覽器后,如圖17-1所示208號機(jī)將FIN置1連同序號(SEQ)987695574發(fā)給1號機(jī)請求終止連接。

            94行數(shù)據(jù)和圖17-2顯示1號機(jī)收到FIN關(guān)閉請求后,發(fā)回一個(gè)確認(rèn),并將應(yīng)答信號設(shè)置為收到序號加1,這樣就終止了這個(gè)方向的傳輸。

            95行數(shù)據(jù)和圖17-3顯示1號機(jī)將FIN置1連同序號(SEQ)1773196056發(fā)給208號機(jī)請求終止連接。

            96行數(shù)據(jù)和圖17-4顯示208號機(jī)收到FIN關(guān)閉請求后,發(fā)回一個(gè)確認(rèn),并將應(yīng)答信號設(shè)置為收到序號加1,至此TCP連接徹底關(guān)閉。

          3)頭信息






          六、掃描實(shí)例

            下面我們再舉個(gè)ping的實(shí)例,測試某臺計(jì)算機(jī)是否通,最常用的命令就是ping命令。Ping 一臺計(jì)算機(jī),出現(xiàn)如圖18所示界面就是通,出現(xiàn)如圖19所示界面就是不通,不通有兩種情況,一是該計(jì)算機(jī)不存在或沒接網(wǎng)線,二是該計(jì)算機(jī)安裝了防火墻并設(shè)置為不允許ping。如何區(qū)別這兩種情況呢?下面還是利用iris跟蹤上述情況。



          圖18



          圖19

            如圖20是ping通的情況。

            如圖21是ping不通該計(jì)算機(jī)不存在的情況。從圖可以看出ARP請求沒有回應(yīng)。

            如圖22是ping不通,該計(jì)算機(jī)存在但安裝了防火墻的情況。從圖可以看出ARP請求有回應(yīng)。但I(xiàn)CMP請求沒回應(yīng)。

            從分析可以看出雖然后兩種情況的表面現(xiàn)象是一樣的,但實(shí)質(zhì)確是截然相反的。通過頭信息可以清楚的看出PING是

            ICMP協(xié)議來完成的,通訊過程是在第三層完成的,沒有用到第四層的TCP協(xié)議。



          圖20



          圖21



          圖22


          七、后記

            本文不是個(gè)教程,許多問題都沒有涉及到,比如TCP重發(fā)、IP分解、路由等,只是提出個(gè)學(xué)習(xí)思路,希望能起到拋磚引玉的作用。TCP/IP協(xié)議族是非常復(fù)雜的,但只要理解了還是不難學(xué)的。最后向感興趣的朋友提個(gè)問題:分別telnet三臺機(jī)器,一臺正常23端口開放,一臺網(wǎng)是通的但23端口沒開放,另外一臺是不存在的。用我們學(xué)過的方法跟蹤一下,比較三個(gè)的不同。其實(shí)這就是用TCP掃描判斷對方機(jī)器是否在線的一種方法。

          posted on 2005-12-04 13:20 Scott@JAVA 閱讀(1256) 評論(0)  編輯  收藏 所屬分類: Network & Telecom

          主站蜘蛛池模板: 竹北市| 昌都县| 抚宁县| 丽水市| 清水县| 贵州省| 乌恰县| 将乐县| 中牟县| 桃园市| 边坝县| 普洱| 广饶县| 秭归县| 丹巴县| 安龙县| 涟源市| 武汉市| 金寨县| 泽州县| 同心县| 尼勒克县| 琼中| 玛纳斯县| 宝兴县| 乐平市| 依兰县| 雅安市| 蒙城县| 石阡县| 永年县| 阜南县| 墨竹工卡县| 黄冈市| 绿春县| 嘉义县| 阿拉善盟| 屏南县| 霍邱县| 怀化市| 剑阁县|