Tcpdump抓包分析過程

一、TCP連接建立（三次握手）

過程

客戶端A，伺服器B，初始序號seq，確認號ack

初始狀態：B處於監聽狀態，A處於打開狀態

• A -> B : seq = x （A向B發送連接請求報文段，A進入同步發送狀態SYN-SENT）

• B -> A : ack = x + 1,seq = y （B收到報文段，向A發送確認，B進入同步收到狀態SYN-RCVD）

• A -> B : ack = y+1 （A收到B的確認後，再次確認，A進入連接狀態ESTABLISHED）

連接後的狀態：B收到A的確認後，進入連接狀態ESTABLISHED

為什麼要握手要三次

防止失效的連接請求突然傳到伺服器端，讓伺服器端誤認為要建立連接。

二、TCP連接釋放（四次揮手）

過程

A -> B : seq = u （A發出連接釋放報文段，進入終止等待1狀態FIN-WAIT-1）

B -> A : ack = u + 1,seq = v （B收到報文段，發出確認，TCP處於半關閉，B還可向A發數據，B進入關閉等待狀態WAIT）

B -> A : ack = u + 1,seq = w （B重覆發送確認號，進入最後確認狀態LAST-ACK）

A -> B : ack = w + 1,seq = u + 1 （A發出確認，進入時間等待狀態TIME-WAIT）

經過時間等待計時器設置的時間2MSL後，A才進入CLOSED狀態

為什麼A進入TIME-WAIT後必須等待2MSL

• 保證A發送的最後一個ACK報文段能達到B
• 防止失效的報文段出現在連接中

三、Tcpdump使用

tcpdump是對網路上的數據包進行截獲的包分析工具，它支持針對網路層、協議、主機、網路或埠的過濾，並提供and、or、not等邏輯語句來去掉無用的信息。

監視指定主機的數據包

tcpdump host <IP地址>：截獲該IP的主機收到的和發出的所有的數據包
tcpdump host <IP地址> and <IP地址>：截獲兩個IP對應主機之間的通信

監視指定埠的數據包

tcpdump port <埠號>：截獲本機80埠的數據包

四、抓包分析握手過程

抓包方法：首先使用tcpdump命令截獲本機與某遠程主機的數據包，然後打開某遠程主機對應的網站，這裡用我的功能變數名稱www.fonxian.cn來做試驗。

ping www.baidu.com

得到功能變數名稱對應的ip： 61.135.169.125

ifconfg

得到本機內網ip：10.128.10.24

-S 參數的目的是獲得ack的絕對值，不加該參數，第三次握手的ack為相對值1

sudo tcpdump -S host 192.168.0.108 and 151.101.100.133

得到下圖

其中 

1 S 表示是SYN 標記 客戶端正準備發起一個請求
2 客戶端發送的seq=3481431827
3 表示伺服器接收到客戶端的請求 發給客戶端 ack=34814318278 同時發送SYN=421177755
4 表示客戶端接受到伺服器的同意連接的請求 發送確認信息 ack=421177756
5 P 表示數據傳輸狀態
6 F 表示連接開始斷開的狀態
7 表示客戶端主動發起斷開連接的請求 seq=3481432002, ack=421180537
8 服務端發起確認請求 ack=3481432003
9 表示服務端發起斷開連接的請求 seq=421180537, ack=3481432003
10 表示客戶端收到服務端發送的斷開連接的請求 發送確認信息 ack=421180538