四虎影院观看视频在线观看,91在线九色porny,超碰97在线免费观看

TCP: SYN ACK FIN RST PSH URG

三次握手Three-way Handshake

一個虛擬連接的建立是通過三次握手來實現的

1. (B) --> [SYN] --> (A)

假如服務器A和客戶機B通訊. 當A要和B通信時，B首先向A發一個SYN (Synchronize) 標記的包，告訴A請求建立連接.

注意: 一個 SYN包就是僅SYN標記設為1的TCP包(參見TCP包頭Resources). 認識到這點很重要，只有當A受到B發來的SYN包，才可建立連接，除此之外別無他法。因此，如果你的防火墻丟棄所有的發往外網接口的SYN包，那么你將不能讓外部任何主機主動建立連接。

2. (B) <-- [SYN/ACK] <--(A)

接著，A收到后會發一個對SYN包的確認包(SYN/ACK)回去，表示對第一個SYN包的確認，并繼續握手操作.

注意: SYN/ACK包是僅SYN 和 ACK 標記為1的包.

3. (B) --> [ACK] --> (A)

B收到SYN/ACK 包,B發一個確認包(ACK)，通知A連接已建立。至此，三次握手完成，一個TCP連接完成

Note: ACK包就是僅ACK 標記設為1的TCP包. 需要注意的是當三此握手完成、連接建立以后，TCP連接的每個包都會設置ACK位

這就是為何連接跟蹤很重要的原因了. 沒有連接跟蹤,防火墻將無法判斷收到的ACK包是否屬于一個已經建立的連接.一般的包過濾(Ipchains)收到ACK包時,會讓它通過(這絕對不是個好主意). 而當狀態型防火墻收到此種包時，它會先在連接表中查找是否屬于哪個已建連接，否則丟棄該包

四次握手Four-way Handshake

四次握手用來關閉已建立的TCP連接

1. (B) --> ACK/FIN --> (A)

2. (B) <-- ACK <-- (A)

3. (B) <-- ACK/FIN <-- (A)

4. (B) --> ACK --> (A)

注意: 由于TCP連接是雙向連接, 因此關閉連接需要在兩個方向上做。ACK/FIN 包(ACK 和FIN 標記設為1)通常被認為是FIN(終結)包.然而, 由于連接還沒有關閉, FIN包總是打上ACK標記. 沒有ACK標記而僅有FIN標記的包不是合法的包，并且通常被認為是惡意的

連接復位Resetting a connection

四次握手不是關閉TCP連接的唯一方法. 有時,如果主機需要盡快關閉連接(或連接超時,端口或主機不可達),RST (Reset)包將被發送. 注意在，由于RST包不是TCP連接中的必須部分, 可以只發送RST包(即不帶ACK標記). 但在正常的TCP連接中RST包可以帶ACK確認標記

請注意RST包是可以不要收到方確認的?

無效的TCP標記Invalid TCP Flags

到目前為止，你已經看到了 SYN, ACK, FIN, 和RST 標記. 另外，還有PSH (Push) 和URG (Urgent)標記.

最常見的非法組合是SYN/FIN 包. 注意:由于 SYN包是用來初始化連接的, 它不可能和 FIN和RST標記一起出現. 這也是一個惡意攻擊.

由于現在大多數防火墻已知 SYN/FIN 包, 別的一些組合,例如SYN/FIN/PSH, SYN/FIN/RST, SYN/FIN/RST/PSH。很明顯，當網絡中出現這種包時，很你的網絡肯定受到攻擊了。

別的已知的非法包有FIN (無ACK標記)和"NULL"包。如同早先討論的，由于ACK/FIN包的出現是為了關閉一個TCP連接，那么正常的FIN包總是帶有 ACK 標記。"NULL"包就是沒有任何TCP標記的包(URG,ACK,PSH,RST,SYN,FIN都為0)。

到目前為止，正常的網絡活動下，TCP協議棧不可能產生帶有上面提到的任何一種標記組合的TCP包。當你發現這些不正常的包時，肯定有人對你的網絡不懷好意。

UDP (用戶數據包協議User Datagram Protocol)
TCP是面向連接的，而UDP是非連接的協議。UDP沒有對接受進行確認的標記和確認機制。對丟包的處理是在應用層來完成的。(or accidental arrival).

此處需要重點注意的事情是：在正常情況下，當UDP包到達一個關閉的端口時，會返回一個UDP復位包。由于UDP是非面向連接的, 因此沒有任何確認信息來確認包是否正確到達目的地。因此如果你的防火墻丟棄UDP包，它會開放所有的UDP端口(?)。

由于Internet上正常情況下一些包將被丟棄，甚至某些發往已關閉端口(非防火墻的)的UDP包將不會到達目的，它們將返回一個復位UDP包。

因為這個原因，UDP端口掃描總是不精確、不可靠的。

看起來大UDP包的碎片是常見的DOS (Denial of Service)攻擊的常見形式 (這里有個DOS攻擊的例子，http://grc.com/dos/grcdos.htm ).

ICMP (網間控制消息協議Internet Control Message Protocol)
如同名字一樣， ICMP用來在主機/路由器之間傳遞控制信息的協議。 ICMP包可以包含診斷信息(ping, traceroute - 注意目前unix系統中的traceroute用UDP包而不是ICMP)，錯誤信息(網絡/主機/端口不可達 network/host/port unreachable), 信息(時間戳timestamp, 地址掩碼address mask request, etc.)，或控制信息 (source quench, redirect, etc.) 。

你可以在http://www.iana.org/assignments/icmp-parameters中找到ICMP包的類型。

盡管ICMP通常是無害的，還是有些類型的ICMP信息需要丟棄。

Redirect (5), Alternate Host Address (6), Router Advertisement (9) 能用來轉發通訊。

Echo (8), Timestamp (13) and Address Mask Request (17) 能用來分別判斷主機是否起來，本地時間和地址掩碼。注意它們是和返回的信息類別有關的。它們自己本身是不能被利用的，但它們泄露出的信息對攻擊者是有用的。

ICMP消息有時也被用來作為DOS攻擊的一部分(例如：洪水ping flood ping,死 ping ?呵呵，有趣 ping of death)?/p>

包碎片注意A Note About Packet Fragmentation

如果一個包的大小超過了TCP的最大段長度MSS (Maximum Segment Size) 或MTU (Maximum Transmission Unit)，能夠把此包發往目的的唯一方法是把此包分片。由于包分片是正常的，它可以被利用來做惡意的攻擊。

因為分片的包的第一個分片包含一個包頭，若沒有包分片的重組功能，包過濾器不可能檢測附加的包分片。典型的攻擊Typical attacks involve in overlapping the packet data in which packet header is 典型的攻擊Typical attacks involve in overlapping the packet data in which packet header isnormal until is it overwritten with different destination IP (or port) thereby bypassing firewall rules。包分片能作為 DOS 攻擊的一部分，它可以crash older IP stacks 或漲死CPU連接能力。

Netfilter/Iptables中的連接跟蹤代碼能自動做分片重組。它仍有弱點，可能受到飽和連接攻擊，可以把CPU資源耗光。

posted on 2008-08-07 09:20 Xiaobo Sun 閱讀(9700) 評論(4) 編輯收藏所屬分類: TCP/IP UDP

握手階段：
序號方向 seq ack
1　　A->B 10000 0
2 B->A 20000 10000+1=10001
3 A->B 10001 20000+1=20001
解釋：
1：A向B發起連接請求，以一個隨機數初始化A的seq,這里假設為10000，此時ACK＝0

2：B收到A的連接請求后，也以一個隨機數初始化B的seq，這里假設為20000，意思是：你的請求我已收到，我這方的數據流就從這個數開始。B的ACK是A的seq加1，即10000＋1＝10001

3：A收到B的回復后，它的seq是它的上個請求的seq加1，即10000＋1＝10001，意思也是：你的回復我收到了，我這方的數據流就從這個數開始。A此時的ACK是B的seq加1，即20000+1=20001

數據傳輸階段：
序號　　方向　　　　　　seq ack size
23 A->B 40000 70000 1514
24 B->A 70000 40000+1514-54=41460 54
25 A->B 41460 70000+54-54=70000 1514
26 B->A 70000 41460+1514-54=42920 54
解釋：
23:B接收到A發來的seq=40000,ack=70000,size=1514的數據包
24:于是B向A也發一個數據包，告訴B，你的上個包我收到了。B的seq就以它收到的數據包的ACK填充，ACK是它收到的數據包的SEQ加上數據包的大小(不包括以太網協議頭，IP頭，TCP頭)，以證實B發過來的數據全收到了。
25:A在收到B發過來的ack為41460的數據包時，一看到41460，正好是它的上個數據包的seq加上包的大小，就明白，上次發送的數據包已安全到達。于是它再發一個數據包給B。這個正在發送的數據包的seq也以它收到的數據包的ACK填充，ACK就以它收到的數據包的seq(70000)加上包的size(54)填充,即ack=70000+54-54(全是頭長，沒數據項)。
26：一樣的啊回復更多評論

# re: TCP: SYN ACK FIN RST PSH URG 2008-10-09 12:38 Xiaobo Sun

其實在握手和結束時確認號應該是對方序列號加1,傳輸數據時則是對方序列號加上對方攜帶應用層數據的長度.如果從以太網包返回來計算所加的長度,就嫌走彎路了.
另外,如果對方沒有數據過來,則自己的確認號不變,序列號為上次的序列號加上本次應用層數據發送長度. 回復更多評論

# re: TCP: SYN ACK FIN RST PSH URG 2012-02-17 05:11 劉亞丹

請教一下：
socket 遠程通信，為什么同一個socket 會有多個TIME_WAIT 的狀態？
如下
tcp 0 0 58.248.1*1.*:80 124.65.82.194:2922 TIME_WAIT -
tcp 0 0 58.248.1*1.*:80 124.65.82.194:2922 TIME_WAIT -
tcp 0 0 58.248.1*1.*:80 124.65.82.194:2922 TIME_WAIT -
tcp 0 0 58.248.1*1.*:80 124.65.82.194:2922 TIME_WAIT -
tcp 0 0 58.248.1*1.*:80 124.65.82.194:2922 TIME_WAIT -
tcp 0 0 58.248.181.4:80 124.65.82.194:2922 TIME_WAIT -
tcp 0 0 58.248.181.4:80 124.65.82.194:2922 TIME_WAIT - 回復更多評論

# re: TCP: SYN ACK FIN RST PSH URG 2013-07-04 09:54 D

Hi
想請教一個問題,一般產生RST報文的時候win位是否為0?
或者,win=0直接就引起server端發送RST報文?

我聯系方式 403921798
謝謝,望給與指導回復更多評論

新用戶注冊刷新評論列表


只有注冊用戶登錄后才能發表評論。




網站導航: 博客園 IT新聞 Chat2DB C++博客博問

Xiaobo Sun

TCP: SYN ACK FIN RST PSH URG

評論

# re: TCP: SYN ACK FIN RST PSH URG 2008-10-09 12:35 Xiaobo Sun

# re: TCP: SYN ACK FIN RST PSH URG 2008-10-09 12:38 Xiaobo Sun

# re: TCP: SYN ACK FIN RST PSH URG 2012-02-17 05:11 劉亞丹

# re: TCP: SYN ACK FIN RST PSH URG 2013-07-04 09:54 D

導航

統計

常用鏈接

留言簿(3)

隨筆分類

隨筆檔案

搜索

最新評論

閱讀排行榜

評論排行榜