根據實驗環境，本實驗的步驟如下：
1.在測試環境使用發包工具和Wireshark抓取TCP三次握手和四次斷開的數據包。
2.詳細分析TCP協議的三次握手以及四次斷開。
任務描述：安裝發包工具，並配置TCP客戶端，服務端，與Wireshark配合使用 此工具與分析UDP協議時相同，實驗室環境中已經安裝，在此再重復一遍，我們使用" TCP&UDP測試工具"來制作和發送TCP數據包。雙擊測試者機器桌面的" TCP&UDP測試工具",會出現下圖顯示頁面：
下面我們需要配置TCP的服務端以及客戶端。
1.配置服務器端
選擇10.1.1.33的機器，雙擊桌面的" TCP&UDP測試工具",右鍵點擊服務器模式，在下拉列表中，選擇創建服務器，如下圖：
選擇"創建服務器"之后，會彈出服務器端口設置，本次使用默認工具給的6000端口即可，點擊"確定"按鈕。
點擊"確定"按鈕之后，在左側的服務器模式列表中，會出現創建的列表，選擇我們創建的服務器，右鍵點擊，選擇"啟動服務器"，即完成了服務器端的配置
2.配置客戶端
選擇10.1.1.142的機器，雙擊桌面的" TCP&UDP測試工具",右鍵點擊客戶端模式，在下拉列表中，選擇"創建連接"，如下圖：
在彈出的窗口中，選擇TCP協議，服務器IP為10.1.1.33.端口6000，本機隨意IP，如下圖
點擊創建后，如下圖，
3.獲取TCP數據包
獲取的TCP協議的數據包。分為兩部分，即TCP三次握手，四次斷開的數據。但在實際的操作中，可能遇到的情況較多，比如源IP和目的IP比較多，協議的幀號亂序等各種問題。在此，我們教大家簡單的過濾功能，着色功能方便過濾和查看。 啟動Wireshark，在Filter中輸入tcp，點擊Apply會看到很多的數據包，這是因為測試環境中，有很多的應用程序，與其服務器連接，使用TCP協議。如下圖，
我們可以看到，有很多的數據，不方便查看。在這里，我們已知兩台機器的IP情況下，可以在filter中輸入"ip.addr == 10.1.1.142 and ip.addr == 10.1.1.33"來過濾出我們想要的數據，點擊工具中的"連接"按鈕。如下圖
在發送區域輸入"hetinlabtcp"點擊發送，會持續的更新TCP數據。
在點擊"斷開連接"后，會出現TCP的四次斷開。全部的過程截圖，如下
如上圖，如果還是覺得不方便分析協議的話，Wireshark還為我們提供了着色和指定的幀信息保存功能。左鍵點擊某一幀，右鍵選擇"Colorize Conversation",橫向選擇"TCP",橫向再選擇自己喜歡的顏色，操作如下圖
從上面可以很容易的看出，4226，4227，4228幀是tcp的三次握手，4740，4741，4742，4743幀是四次斷開的數據。如果你還想把三次握手和四次斷開的數據包分別保存，Wireshark也提供了這樣的功能，並且支持幀序號亂序的情況。下面，我們先來保存三次握手的數據包，因三次握手的幀是亂序，我們先右鍵點擊4226幀，選擇"Mark Packet（toggle）'，在依次選擇4227幀，4228幀，如下圖
在Wireshark的菜單欄中，依次選擇FIle->Export Specified Packets 命令，打開如下所示頁面
選擇Marked packets,並選擇保存名字和路徑，即可。下面來保存四次斷開的數據，因428-431為連續的序號，所以在Wireshark的菜單欄中，依次選擇FIle->Export Specified Packets 命令，打開如下所示頁面
選擇Range,輸入序號的起始和結束數字，選擇保存名字和路徑即可。、
任務描述：通過實驗一，我們已經獲取了數據包，並且進行了分類保存，實驗二將對TCP的三次握手進行詳細分析
1.TCP首部
在分析TCP數據包之前，先介紹一下TCP首部格式，如下
TCP首部格式
在上面的表中，TCP首部的各字段含義如下所示：
源端口：用來傳輸數據包的端口。
目標端口:數據包將要被發送到的端口。
序號：該數字用來表示一個TCP片段。這個域用來保證數據流中的部分沒有流失。
確認號：該數字是通信中希望從另一個設備得到的下一個數據包的序號。
保留：包括Resverved、Nonce、CWR、和ENC-Echo，共6個比特位。
標記：用來表示所傳輸的TCP數據包類型。該字段中可用的標記包括URG、ACK、PSH、RST、SYN和FIN。
窗口大小：TCP接收者緩沖的字節大小。
校驗和：用來保證TCP首部和數據的內容，在達到目的地時的完整性。
緊急指針：如果設置了URG位，這個域將被檢查作為額外的指令，告訴CPU從數據包的哪里開始讀取數據。
選項：各種可選的域，可以在TCP數據包中進行指定。
上面提到了TCP傳輸時，可用到的標記位，下面分別介紹這6種標記的作用，如下：
URG：緊急標志，表示TCP包的緊急指針有效，用來保證TCP連接不被中斷，並且督促中間層設備要盡快處理這些數據。
ACK：確認標志，表示應答域有效，就是前面所說的TCP應答號將會包含在TCP數據包中，該標志位有兩個值，分別是0和1。當為1的時候，表示應答域有效。反之為0。
PSH：該標志位表示Push操作。所謂Push操作就是指在數據包到達接收端以后，立即傳送給應用程序，而不是在緩存區排隊。
RST：該標志位表示鏈接復位請求，用來復位那些產生錯誤的鏈接，也被用來拒絕錯誤和非法的數據包。
SYN：表示同步序號，用來建立連接。SYN 標志位和ACK標志位搭配使用，當連接請求的時候，SYN=1，ACK=0；當連接被響應的時候，SYN=1，ACK=1。這個標志的數據包經常被用來進行端口掃描。掃描者發現一個只有SYN的數據包，如果對方主機響應了一個數據包回來，就表面該主機存在這個端口；但是由於這種掃描方式只是進行TCP三次握手的第一次握手，因此這種掃描成功表示掃描的機器不安全。因為一個安全的主機，將會強制要求一個鏈接嚴格的進行TCP的三次握手。
FIN：表示發送端以及達到數據末尾，也就是說雙方的數據傳送完畢，沒有數據可以傳送了。此時發送FIN標志位的TCP數據包后，鏈接將被斷開。這個標志的數據包也經常被用於進行端口掃描。當一個FIN標志的TCP數據包發送到一台計算機的特定端口后，如果這台計算機響應了這個數據，並且反饋回來一個RST標志的TCP包，就表明這台計算機上沒有打開這個端口，但是這台計算機是存在的；如果這台計算機沒有反饋回來任何數據包，這就標明，這台被掃描的計算機存在這個端口。
2.分析TCP的三次握手
TCP三次握手是理解TCP協議最重要的部分，下面我們就以tcp-handshake.pcapng捕獲文件為例，來分析TCP的三次握手
2.1.第一次握手
TCP第一次握手，捕獲的數據包信息如下所示
從Wireshark的Packet List面板中的Info列可以看到顯示的TCP標志位是SYN。所以該數據包是客戶端向服務器發送的第一次握手連接。在Packet Details面板中，顯示了該包的詳細信息，下面詳細介紹
以上信息，表示這是第1個數據幀的相信信息，並且該包的大小為62個字節。
以上內容是以太網幀頭部信息，其實源MAC地址為02:00:04:78:01:7b，目標MAC地址為02:00:7b:16:02:43。
以上內容是IPv4首部的詳細信息。其中源IP是10.1.1.142，目的IP為10.1.1.33。
以上內容是傳輸層首部的詳細信息，這里使用TCP協議，其中源端口為56678，目標端口為6000.下面對該首部中的每個字段進行詳細介紹，
Source Port: 56678 (56678) #源端口號
Destination Port: 6000 (6000) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 0 (relative sequence number) #序列號
Acknowledgment number: 0 #確認編號
Header Length: 28 bytes #首部長度
.... 0000 0000 0010 = Flags: 0x002 (SYN) #標志，這里是SYN
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set #緊急指針
.... ...0 .... = Acknowledgment: Not set #確認編號
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..1. = Syn: Set #設置SYN標志位，值為1
Expert Info (Chat/Sequence): Connection establish request (SYN): server port
6000 #專家信息
Connection establish request (SYN): server port 6000 #消息
Severity level: Chat #安全級別
Group: Sequence #組
.... .... ...0 = Fin: Not set #FIN標志位
Window size value: 8192 #窗口大小
Calculated window size: 8192 #估計的窗口大小
Checksum: 0x16d3 [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
Options: (8 bytes), Maximum segment size, No-Operation (NOP), No-Operation (NOP), SACK permitted #選項
Maximum segment size: 1460 bytes #最大段大小
Kind: Maximum Segment Size (2)
Length: 4
MSS Value: 1460
No-Operation (NOP) #無操作指令
Type: 1
0... .... = Copy on fragmentation: No
.00. .... = Class: Control (0)
...0 0001 = Number: No-Operation (NOP) (1)
No-Operation (NOP) #無操作指令
Type: 1
0... .... = Copy on fragmentation: No
.00. .... = Class: Control (0)
...0 0001 = Number: No-Operation (NOP) (1)
TCP SACK Permitted Option: True #TCP SACK允許選項
Kind: SACK Permitted (4)
Length: 2
根據以上信息的描述，可以看出該包是客戶端發送給服務器建立連接請求的一個數據包。建立連接的源端口號為56678，目標端口號為6000，確認編號為0。而且在標志位FLAGS（0x0002）中，只設置了SYN，也就是位同步標志，表示請求建立連接。選項是8個字節，里面的內容有最大段（MSS），大小為1460字節。
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第一次握手TCP首部
2.2.第二次握手
TCP第二次握手捕獲數據包相信信息，如下：
在該界面顯示了第二次握手數據包的詳細信息，其中位於TCP上面的信息與第一次握手時相近似，這里不做解釋，重點看TCP協議部分，如下
Source Port: 6000(6000) #源端口號
Destination Port: 56678(56678) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 0 (relative sequence number) #序列號
Acknowledgment number: 1 (relative ack number) #確認編號,值為1
Header Length: 28 bytes #首部長度
.... 0000 0001 0010 = Flags: 0x012 (SYN，ACK) #標志位，此處為（SYN，ACK）
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set
.... ...1 .... = Acknowledgment: Not set #確認編號已設置
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..1. = Syn: Set #請求位
Expert Info (Chat/Sequence): Connection establish request (SYN): server port
6000 #專家信息
Connection establish request (SYN): server port 6000 #消息
Severity level: Chat #安全級別
roup: Sequence #組
.... .... ...0 = Fin: Not set #FIN標志位
Window size value: 8192 #窗口大小
Calculated window size: 8192 #估計的窗口大小
Checksum: 0x5bf8 [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
Options: (8 bytes), Maximum segment size, No-Operation (NOP), No-Operation (NOP), SACK permitted #選項
Maximum segment size: 1460 bytes #最大段大小
Kind: Maximum Segment Size (2)
Length: 4
MSS Value: 1460
No-Operation (NOP) #無操作指令
Type: 1
0... .... = Copy on fragmentation: No
.00. .... = Class: Control (0)
...0 0001 = Number: No-Operation (NOP) (1)
No-Operation (NOP) #無操作指令
Type: 1
0... .... = Copy on fragmentation: No
.00. .... = Class: Control (0)
...0 0001 = Number: No-Operation (NOP) (1)
TCP SACK Permitted Option: True #TCP SACK允許選項
Kind: SACK Permitted (4)
Length: 2
SEQ/ACK analysis #序列號/確認編號分析
This is an ACK to the segment in frame: 1
The RTT to ACK the segment was: 0.002362000 seconds
iRTT: 0.002387000 seconds
以上描述的詳細信息是服務器收到請求后，發給客戶端的確認包（SYN+ACK）。根據以上描述，可以看到在該幀數據包中包含這個主機初始的序列號0，以及一個確認號1。這個確認號比之前那個數據包（1幀數據包）序列號大1，是因為該域是用來表示主機所期望得到的下一個序列號的值。
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第二次握手TCP首部
2.3.第三次握手
TCP第三次握手捕獲數據包相信信息，如下：
這里我們直接看重點的TCP協議部分
Source Port: 56678（56678） #源端口號
Destination Port: 6000(6000) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 1 (relative sequence number) #序列號
Acknowledgment number: 1 (relative ack number) #確認編號,值為1
Header Length: 20 bytes #首部長度
.... 0000 0001 0000 = Flags: 0x010 （ACK） #標志位，此處為（ACK）
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set
.... ...1 .... = Acknowledgment: Not set #確認編號已設置
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..0. = Syn: Set #請求位
.... .... ...0 = Fin: Not set #FIN標志位
Window size value: 64240 #窗口大小
Calculated window size: 64240 #估計的窗口大小
Window size scaling factor: -2 (no window scaling used) #窗口大小縮放比例因素
Checksum: 0x16cb [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
SEQ/ACK analysis
This is an ACK to the segment in frame: 2
The RTT to ACK the segment was: 0.000025000 seconds
iRTT: 0.002387000 seconds
以上信息就是客戶端向服務器發送的確認包。在以上信息中，序列號和確認號都是1。標志位中只設置了ACK，表示該數據包是一個確認包。這樣就完成了TCP鏈接的建立階段。此時沒有Options字段。
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第三次握手TCP首部
任務描述：TCP的四次斷開，也是TCP協議的主要工作之一。下面將通過捕獲的tcp-break.pcapng文件，來分析TCP的四次斷開。
1.第一次斷開
TCP第一次斷開連接的數據包，如下：
在該界面顯示了TCP第一次斷開，數據包的詳細信息，我們具體來看下TCP部分
Source Port: 56678（56678） #源端口號
Destination Port: 6000(6000) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 1 (relative sequence number) #序列號
Acknowledgment number: 1 (relative ack number) #確認編號
Header Length: 20 bytes #首部長度
.... 0000 0001 0001 = Flags: 0x011 (FIN，ACK） #標志位，此處為（FIN，ACK）
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set
.... ...1 .... = Acknowledgment: Not set #確認編號已設置
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..0. = Syn: Set #請求位
.... .... ...1 = Fin: Not set #FIN標志位
Expert Info (Chat/Sequence): Connection finish (FIN) #專家信息
Connection finish (FIN) #消息內容，連接完成（FIN）
Severity level: Chat #安全級別
Group: Sequence
Window size value: 64240 #窗口大小
Calculated window size: 64240 #估計的窗口大小
Window size scaling factor: -1 (unknown) #窗口大小縮放比例因素
Checksum: 0x16cb [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
通過以上信息的描述，可以看到客戶端向服務器發送FIN和ACK標志的數據包開始斷開連接，其中FIN和ACK標志位都為1.
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第一次斷開TCP首部格式
2.第二次斷開
TCP第二次斷開連接的數據包，如下
在該界面顯示了TCP第二次斷開，數據包的詳細信息，我們具體來看下TCP部分
Source Port: 6000（6000） #源端口號
Destination Port: 56678(56678) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 1 (relative sequence number) #序列號
Acknowledgment number: 2 (relative ack number) #確認編號
Header Length: 20 bytes #首部長度
.... 0000 0001 0000 = Flags: 0x010(ACK） #標志位，此處為（ACK）
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set
.... ...1 .... = Acknowledgment: Not set #確認編號已設置
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..0. = Syn: Set #請求位
.... .... ...0= Fin: Not set #FIN標志位
Window size value: 64240 #窗口大小
Calculated window size: 64240 #估計的窗口大小
Window size scaling factor: -1 (unknown) #窗口大小縮放比例因素
Checksum: 0xadbe [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
SEQ/ACK analysis
This is an ACK to the segment in frame: 1
The RTT to ACK the segment was: 0.000369000 seconds
通過以上信息的描述，可以看出該包是服務器向客戶端發送的ACK包。其中ACK標志位為1.
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第二次斷開TCP首部格式
3.第三次斷開
TCP第三次斷開連接的數據包，如下
在該界面顯示了TCP第三次斷開，數據包的詳細信息，我們具體來看下TCP部分
Source Port: 6000（6000） #源端口號
Destination Port: 56678(56678) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 1 (relative sequence number) #序列號
Acknowledgment number: 2 (relative ack number) #確認編號
Header Length: 20 bytes #首部長度
.... 0000 0001 0001 = Flags: 0x010(FIN，ACK） #標志位，此處為（FIN，ACK）
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set
.... ...1 .... = Acknowledgment: Not set #確認編號已設置
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..0. = Syn: Set #請求位
.... .... ...1= Fin: Not set #FIN標志位
Expert Info (Chat/Sequence): Connection finish (FIN) #專家信息
Connection finish (FIN)
Severity level: Chat
Group: Sequence
Window size value: 64240 #窗口大小
Calculated window size: 64240 #估計的窗口大小
Window size scaling factor: -1 (unknown) #窗口大小縮放比例因素
Checksum: 0xadbe [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
通過以上信息的描述，可以看出該包是服務器向客戶端發送的FIN和ACK包。其中FIN和ACK標志位為1.
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第三次斷開TCP首部格式
4.第四次斷開
TCP第四次斷開連接的數據包，如下
在該界面顯示了TCP第四次斷開，數據包的詳細信息，我們具體來看下TCP部分
Source Port: 56678（56678） #源端口號
Destination Port: 6000(6000) #目標端口號
Stream index: 0 #流節點號
TCP Segment Len: 0 #分段長度
Sequence number: 2 (relative sequence number) #序列號
Acknowledgment number: 1 (relative ack number) #確認編號
Header Length: 20 bytes #首部長度
.... 0000 0001 0000 = Flags: 0x010 (ACK） #標志位，此處為（ACK）
000. .... .... = Reserved: Not set
...0 .... .... = Nonce: Not set
.... 0... .... = Congestion Window Reduced (CWR): Not set
.... .0.. .... = ECN-Echo: Not set
.... ..0. .... = Urgent: Not set
.... ...1 .... = Acknowledgment: Not set #確認編號已設置
.... .... 0... = Push: Not set
.... .... .0.. = Reset: Not set
.... .... ..0. = Syn: Set #請求位
.... .... ...1 = Fin: Not set #FIN標志位
Window size value: 64240 #窗口大小
Calculated window size: 64240 #估計的窗口大小
Window size scaling factor: -1 (unknown) #窗口大小縮放比例因素
Checksum: 0x16cb [validation disabled] #校驗和
Good Checksum: False
Bad Checksum: False
Urgent pointer: 0
SEQ/ACK analysis
This is an ACK to the segment in frame: 3
The RTT to ACK the segment was: 0.000040000 seconds
通過以上信息的描述，可以看到客戶端向服務器發送ACK的包。其中，ACK標志位都為1.
我們將上面的信息，對應到TCP首部格式的每個字段，如下：
第四次斷開TCP首部格式
