第七：Wireshark抓包-Wireshark的TCP包详解(上篇)

一.TCP是什么

1.TCP是工作在传输层，也就是网络层上一层的协议

2.它是面向连接的，可靠的，基于字节流、全双工的通信协议

3.TCP收到上一层的数据包后，会加上TCP头并且进行一些特殊处理后，再传递给网络层

二.TCP定义

1.传输控制协议是面向连接的、可靠的、基于字节流的传输层通信协议，由IETF的RFC 793定义

2.在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能

3.用户数据报协议（UDP）是同一层内另一个重要的传输协议

三.TCP理论

1.TCP提供一种面向连接的、可靠的字节流服务

2.面向连接：接双方在通信前需要预先建立一条连接，这犹如实际生活中的打电话

2.1.应用数据分割成TCP认为最适合发送的数据块。

2.2.重传机制。设置定时器，等待确认包

2.3.对首部和数据进行校验

2.4.TCP对收到的数据进行排序，然后交给应用层

2.5.TCP的接收端丢弃重复的数据

2.6.TCP还提供流量控制

3.TCP连接必须要经历三次握手，而释放一个TCP连接需要四次握手，这是由TCP的半关闭特性造成的

4.因为TCP连接时全双工的，因此，需要TCP两端要单独执行关闭

5.值得注意的是，主动关闭的一端在发送FIN后，依然还能正常接收对方的数据，只是通知对方它已经没有数据需要发送

5.1.同理，被动关闭的一端在收到FIN后，仍然可以发送数据，直到它自身同样发出FIN之后，才停止发送数据

四.什么是面向连接、无连接

1.面向连接：面向连接的协议要求发送数据前需要通过一种手段保证通信双方都准备好，之后才进行通信

2.无连接：无连接的协议则不需要，想发就发

五.什么是全双工

1.全双工是通信方式，指通信的双方可以同时发送和接收数据，而不需要像半双工那样在发送和接收之间切换

2.在全双工通信中，数据可以在两个方向上同时传输，因此通信速度更快，效率更高

六.OSI和封包详细信息的对应

7.TCP包的具体内容

7.1.从下图可以看到Wireshark捕获到的TCP包中的每个字段

八.TCP报文格式

1.TCP是面向连接、可靠的传输协议，其报文格式较复杂

2.上图简化如下注意：实际的TCP报文段会根据TCP头部长度和可选项的不同而有所变化

|  源端口（16位）  |  目的端口（16位）  |
|   序号（32位）   |
| 确认序号（32位） |
|  数据偏移（4位） | 保留（6位） | 标志位（6位） | 窗口大小（16位） |
| 校验和（16位）   |  紧急指针（16位）  |
|   选项（可选）   |
|   数据（可选）   |

2.1.主要字段解释

2.1.1.源端口：占 2 字节，标识数据包是哪个应用发出去的

2.1.2.目的端口：占 2 字节，标识数据包是发给哪个应用的
2.1.2.1.Source Port和Destination Port:分别占用16位，表示源端口号和目的端口号

2.1.2.2.用于区别主机中的不同进程，而IP地址是用来区分不同的主机的
2.1.2.2.1.源端口号和目的端口号配合上IP首部中的源IP地址和目的IP地址就能唯一的确定一个TCP连接

2.1.3.序号: 占 4 字节，TCP 连接中传送的数据流中的每一个字节都编上一个序号
2.1.2.1.其中.序号字段的值则指的是本报文段所发送的数据的第一个字节的序号

2.1.3.1.Sequence Number:用来标识从TCP发端向TCP收端发送的数据字节流
2.1.3.2.它表示在这个报文段中的的第一个数据字节在数据流中的序号
2.1.3.3.主要用来解决网络报乱序的问题；

2.1.4.确认号：占 4 字节，是期望收到对方的下一个报文段的数据的第一个字节的序号

2.1.4.1.Acknowledgment Number:32位确认序列号包含发送确认的一端所期望收到的下一个序号
2.1.4.2.因此，确认序号应当是上次已成功收到数据字节序号加1

2.1.4.3.不过，只有当标志位中的ACK标志（下面介绍）为1时该确认序列号的字段才有效
2.1.4.4.主要用来解决不丢包的问题

2.1.5.数据偏移(首部长度): 占 4 位，它指出 TCP 头部实际长度

2.1.5.1.Offset:给出首部中32 bit字的数目，需要这个值是因为任选字段的长度是可变的

2.1.5.2.这个字段占4bit（最多能表示15个32bit的的字，即4*15=60个字节的首部长度）
2.1.5.3.因此TCP最多有60字节的首部。然而，没有任选字段，正常的长度是20字节

a.在 TCP 协议中，TCP头部的长度是可变的，最小长度为 20 个字节，最大长度为 60 个字节

b.这是因为TCP头部中有一些可选字段
如TCP选项、窗口缩放因子等，这些字段的长度是可变的，因此TCP头部的长度也会随之变化

c.TCP 头部长度是通过TCP头部中的 数据偏移(首部长度)字段来指定的
它表示TCP头部的长度以32位字为单位计算的值

d.因此，TCP头部长度实际上是 数据偏移(首部长度)字段值乘以 4

e.TCPFlags：TCP首部中有6个标志比特，它们中的多个可同时被设置为1
主要是用于操控TCP的状态机的，依次为URG，ACK，PSH，RST，SYN，FIN

2.1.6.状态位，占6比特

a.URG：此标志表示TCP包的紧急指针域（后面马上就要说到）有效
用来保证TCP连接不被中断，并且督促中间层设备要尽快处理这些数据

b.ACK：该位为 1 时，「确认号」的字段变为有效，否则无效
此标志表示应答域有效，就是说前面所说的TCP应答号将会包含在TCP数据包中
有两个取值：0和1，为1的时候表示应答域有效，反之为0；
TCP协议规定，只有ACK=1时有效，也规定连接建立后所有发送的报文的ACK必须为1

c.PSH：这个标志位表示Push操作
所谓Push操作就是指在数据包到达接收端以后，立即传送给应用程序，而不是在缓冲区中排队

d.RST：该位为 1 时，表示 TCP 连接中出现异常必须强制断开连接，然后重新建立新链接
这个标志表示连接复位请求
用来复位那些产生错误的连接，也被用来拒绝错误和非法的数据包

e.SYN：该位为 1 时，表示希望建立连接，并在其「序号」的字段进行序列号初始值的设定
表示同步序号，用来建立连接
SYN标志位和ACK标志位搭配使用，当连接请求的时候，SYN=1，ACK=0；连接被响应的时候SYN=1，ACK=1；这个标志的数据包经常被用来进行端口扫描
扫描者发送一个只有SYN的数据包，如果对方主机响应了一个数据包回来 ，就表明这台主机存在这个端口
但是由于这种扫描方式只是进行TCP三次握手的第一次握手
因此这种扫描的成功表示被扫描的机器不很安全，一台安全的主机将会强制要求一个连接严格的进行TCP的三次握手

FIN：该位为 1 时，表示数据发送传输完毕，希望断开连接。表示发送端已经达到数据末尾，也就是说双方的数据传送完成，没有数据可以传送了，发送FIN标志位的TCP数据包后，连接将被断开。这个标志的数据包也经常被用于进行端口扫描。

2.1.7.窗口：占2字节，用于流量控制，通信双方各声明一个窗口，标识自己当前的处理能力
2.1.7.1.控制报文别发太快，也别发太慢

2.1.7.2.16位2字节，用于表示滑动窗口大小，窗口大小最大为65535(2^16-1)字节

2.1.7.3.接收方的流量控制手段，窗口大小为字节数，起始于确认序号字段指明的值，这个值是接收端正期望接收的字节

2.7.1.4.告诉发送端，接收端目前允许发送端数据量

2.7.1.5.大小两字节65535，在客户端与服务端 TCP 都允许的情况下，选项中可存在窗口扩展选项。

2.7.1.6.示例中：窗口大小65535，代表告诉发送方，从这个下一包0的序号开始，接收方只能接受65535个字节长度（当然这里还没有算上扩展选项，稍后再讲）

2.1.8.检验和: 占 2 字节，校验数据是否完整未更改

2.1.8.1.16位2字节，检验和覆盖整个的TCP报文段：TCP首部和TCP数据

2.1.8.2.这是一个强制性的字段，一定是由发端计算和存储，并由收端进行验证

2.1.8.3.和UDP用户数据报一样，在计算检验和时，要在TCP报文段的前面加上12字节的伪首部

2.1.8.4.伪首部的格式和 UDP 用户数据报的伪首部一样

2.1.8.5.但应把伪首部第4个字段中的17改为6（TCP的协议号是6）
2.1.8.5.1.把第5字段中的UDP中的长度改为TCP长度

2.1.8.6.接收方收到此报文段后，仍要加上这个伪首部来计算检验和

2.1.8.7.若使用TPv6，则相应的伪首部也要改变

2.1.8.8.校验和错误的分组丢弃（因为源IP地址、源端口号或者协议字段可能被破坏）

2.1.9.紧急指针：16位2字节，在紧急URG标志执1的时候有效，代表一个偏移量
2.1.9.1.和序号字段值相加，代表紧急数据最后一个字节的序号

2.1.10.选项：长度可变，最长可达40字节

2.1.10.1.当没有使用“选项”时，TCP 的首部长度是20字节

2.1.10.2.其最大长度可根据 TCP 首部长度进行推算

2.1.10.3.TCP首部长度用4位数据偏移表示，单位是4字节，那么选项部分最长为：(2^4-1)*4-20=40字节

2.1.10.4.TCP协议最初只规定一种选项，即最长报文段长度（数据字段加上TCP首部），又称为MSS

2.1.10.5.MSS告诉对方TCP“我的缓存所能接收的报文段的数据字段的最大长度是MSS个字节”

2.11.1.填充: 为使整个首部长度是 4 字节的整数倍
2.11.2.选项长度是指不一定是32位的整数倍

2.11.3.所以要加填充位，即在这个字段中加入额外的0，以保证TCP头部是32的整数倍

3.TCP报文字段说明表格展示