Tcpdump抓包分析過程

一、TCP連接建立（三次握手）

過程

客戶端A，服務器B，初始序號seq，確認號ack

初始狀態：B處於監聽狀態，A處於打開狀態

• A -> B : seq = x （A向B發送連接請求報文段，A進入同步發送狀態SYN-SENT）

• B -> A : ack = x + 1,seq = y （B收到報文段，向A發送確認，B進入同步收到狀態SYN-RCVD）

• A -> B : ack = y+1 （A收到B的確認后，再次確認，A進入連接狀態ESTABLISHED）

連接后的狀態：B收到A的確認后，進入連接狀態ESTABLISHED

為什么要握手要三次

防止失效的連接請求突然傳到服務器端，讓服務器端誤認為要建立連接。

二、TCP連接釋放（四次揮手）

過程

A -> B : seq = u （A發出連接釋放報文段，進入終止等待1狀態FIN-WAIT-1）

B -> A : ack = u + 1,seq = v （B收到報文段，發出確認，TCP處於半關閉，B還可向A發數據，B進入關閉等待狀態WAIT）

B -> A : ack = u + 1,seq = w （B重復發送確認號，進入最后確認狀態LAST-ACK）

A -> B : ack = w + 1,seq = u + 1 （A發出確認，進入時間等待狀態TIME-WAIT）

經過時間等待計時器設置的時間2MSL后，A才進入CLOSED狀態

為什么A進入TIME-WAIT后必須等待2MSL

• 保證A發送的最后一個ACK報文段能達到B
• 防止失效的報文段出現在連接中

三、Tcpdump使用

tcpdump是對網絡上的數據包進行截獲的包分析工具，它支持針對網絡層、協議、主機、網絡或端口的過濾，並提供and、or、not等邏輯語句來去掉無用的信息。

監視指定主機的數據包

tcpdump host <IP地址>：截獲該IP的主機收到的和發出的所有的數據包
tcpdump host <IP地址> and <IP地址>：截獲兩個IP對應主機之間的通信

監視指定端口的數據包

tcpdump port <端口號>：截獲本機80端口的數據包

四、抓包分析握手過程

抓包方法：首先使用tcpdump命令截獲本機與某遠程主機的數據包，然后打開某遠程主機對應的網站，這里用我的域名www.fonxian.cn來做試驗。

ping www.baidu.com

得到域名對應的ip： 61.135.169.125

ifconfg

得到本機內網ip：10.128.10.24

-S 參數的目的是獲得ack的絕對值，不加該參數，第三次握手的ack為相對值1

sudo tcpdump -S host 192.168.0.108 and 151.101.100.133 

得到下圖

 

 

其中 

1 S 表示是SYN 標記 客戶端正准備發起一個請求
2 客戶端發送的seq=3481431827
3 表示服務器接收到客戶端的請求 發給客戶端 ack=34814318278 同時發送SYN=421177755
4 表示客戶端接受到服務器的同意連接的請求 發送確認信息 ack=421177756
5 P 表示數據傳輸狀態
6 F 表示連接開始斷開的狀態
7 表示客戶端主動發起斷開連接的請求 seq=3481432002, ack=421180537
8 服務端發起確認請求 ack=3481432003
9 表示服務端發起斷開連接的請求 seq=421180537, ack=3481432003
10 表示客戶端收到服務端發送的斷開連接的請求 發送確認信息 ack=421180538