TCP报文段的首部格式

TCP报文段的首部格式

1.1.首部字段详解

image-20200128210847925

  • TCP首部包括20字节的固定首部部分及长度可变的其他选项,所以TCP首部长度可变。20个字节又分为5部分,每部分4个字节32位,如图中的5行,每行表示32位。

  • 传输层,TCP报文段包括:TCP首部和TCP数据部分;在网络层,TCP报文段成为IP数据部分,加上IP首部组成IP数据报;在数据链路层,还要在IP数据报前面加上数据链路层的首部。

image-20200128211831492

  • 源端口和目的端口字段——各占 2 字节(16位)。端口是运输层与应用层的服务接口。运输层的复用和分用功能都要通过端口才能实现。

image-20200128212259558

  • 序号字段——占 4 字节。TCP 连接中传送的数据流中的每一个字节都编上一个序号。序号字段的值则指的是本报文段所发送的数据的第一个字节的序号。比如分组的第一个数据包由文件的14个字节数据组成,那么该数据包所添加的序号就是1,同理第二个数据包由文件的59个字节数据组成,那么该数据包所添加的序号就是5;

image-20200128212555566

  • 确认号字段——占 4 字节,是期望收到对方的下一个报文段的数据的第一个字节的序号。比如接收端收到由文件14个字节数据+TCP首部组成的数据包后,删除首部提取14个字节数据,返回的确认号为5,即告诉发送端下一次应该发送文件的第5个字节及其之后字节组成的数据包过来。

image-20200128213117531

image-20200128213521800

  • 数据偏移(即首部长度)——占 4 位,它指出 TCP 报文段的数据起始处距离 TCP 报文段的起始处有多远,也就是TCP首部的长度。“数据偏移”的单位是 32 位字(以 4 字节为计算单位),最大1111表示15x4=60个字节,即表示TCP首部最大长度为60个字节,因此“选项”部分最多40个字节。

image-20200128213931870

  • 保留字段——占 6 位,保留为今后使用,但目前应置为 0。

image-20200128230901152

这里的六位二进制位,分别表示不同含义:

  • 紧急 URG —— 当 URG = 1 时,表明紧急指针字段有效。它告诉系统此报文段中有紧急数据,应尽快传送(相当于高优先级的数据)。 即URG=1的数据包不用排队直接优先传输。

  • 同步 SYN —— 同步 SYN = 1 表示这是一个连接请求或连接接受报文。即A想与B建立连接,发送过去的第一个数据包(第一次握手)中SYN=1;B返回的数据包(第二次握手)中SYN=1表示同意建立连接。

  • 确认 ACK —— 只有当 ACK = 1 时确认号字段才有效。当 ACK = 0 时,确认号无效。

    ACK是对已接受数据的确认,当A与B还在请求连接阶段,A向B发送的第一个数据包(第一次握手)中ACK=0,无效,所以数据包中不显示,表示还没从B中接收到数据;序号Seq也为0,表示A还未向B发送数据;SYN=1,表示正在建立连接。

    同理,B向A返回一个数据包(第二次握手)中,确认号ACK=1,表示B收到了A序号为0的数据包;序号Seq=0,也表示B还未向A发送数据;SYN=1表示同意建立连接。

    A再向B发送一个数据包(第三次握手)中,确认号ACK=1,表示A收到了B发出的数据包;序号Seq=1,表示A已向B发送了1个数据包(即第一次握手);SYN=0,表示已建立连接。

    以下为计算机打开网页与Web服务器建立连接时抓取的第一个数据包(第一次握手):

image-20200128233411800

可以看到计算机发出的第一个数据包(第一次握手)中,SYN=1,Seq=1,ACK=0无效,所以在蓝色框内只能看到序号Seq,看不到确认号ACK;

以下为抓取的第三个数据包(第三次握手):

image-20200128233942663

计算机发出第二个数据包(第三次握手)中,由于已经同步,建立连接,所以SYN=0,此后ACK都为1,所以蓝色框中可以看到序号Seq和确认号ACK。

所以,抓包时看到大量的SYN数据包,说明计算机在大量建立会话。另外在建立连接(三次握手)时,SYN与ACK的值与正常通讯时不一样。

有一种攻击就是针对建立连接时SYN同步的机制

比如地址为102的计算机B想要与地址为101的计算机A建立连接,B向A发送请求连接数据包,并设置数据包中的源地址为不存在,A收到之后向该不存在的地址发出同意连接的数据包,发送完之后需要等待回复。于是B继续上述操作,以此类推A不断发出同意连接数据包并不断等待,由此大量耗费系统资源。

下图为使用SYN同步攻击软件攻击XP系统过程中,捕获的数据包:

image-20200129000612151

红色框中的地址是攻击软件瞎编的不存在的地址,蓝色框中显示建立的会话全是请求连接的TCP报文。

Land攻击

原理与SYN攻击类似,都是通过不断建立同步SYN会话,耗尽系统资源。不同之处在于,Land攻击发起的请求同步数据包目标地址和源地址都是攻击对象的地址。

image-20200129135314841

可以看到在Land攻击时捕获的数据包,都是请求同步SYN数据包且源地址和目标地址都为攻击对象地址 192.168.80.66 。

  • 推送 PSH (PuSH) —— 接收 TCP 收到 PSH = 1 的报文段,就尽快地交付接收应用进程,而不再等到整个缓存都填满了后再向上交付。
  • 复位 RST (ReSeT) —— 当 RST = 1 时,表明 TCP 连接中出现严重差错(如由于主机崩溃或其他原因),必须释放连接,然后再重新建立运输连接。
  • 终止 FIN (FINis) —— 用来释放一个连接。FIN = 1 表明此报文段的发送端的数据已发送完毕,并要求释放运输连接。

image-20200129140126516

  • 窗口字段 —— 占 2 字节,用来让对方设置发送窗口的依据,单位为字节。

image-20200129141607637

如图A要告诉B自己的接收缓存为Y1,B根据A的接收缓存Y1决定发送缓存X2;同理B告诉A自己的接收缓存Y2,A根据B的接收缓存Y2决定自己的发送缓存X1。也就是A/B的接收缓存决定了B/A的发送缓存。

image-20200129141936818

可以看见建立TCP连接时发送的三个数据包(三次握手)的第一个数据包中,Window Size:65535;表示的即是某一连接方的窗口大小。

image-20200129142359815

  • 检验和 —— 占 2 字节。检验和字段检验的范围包括首部和数据这两部分。在计算检验和时,要在 TCP 报文段的前面加上 12 字节的伪首部。

image-20200129142457843

  • 紧急指针字段 —— 占 16 位,指出在本报文段中紧急数据共有多少个字节(紧急数据放在本报文段数据的最前面)。

image-20200129143158285

  • 选项字段 —— 长度可变。TCP 最初只规定了一种选项,即最大报文段长度 MSS (Maximum Segment Size)是 TCP 报文段中的数据字段的最大长度。数据字段加上 TCP 首部才等于整个的 TCP 报文段。

    MSS 告诉对方 TCP:“我的缓存所能接收的报文段的数据字段的最大长度是 MSS 个字节。”

    其他选项有:窗口扩大选项、时间戳选项、选择确认选项(SACK)。

image-20200129143434462

  • 填充字段 —— 这是为了使整个首部长度是 4 字节的整数倍。

1.2.抓包验证

通过抓取计算机访问Web网站过程抓到的数据包,分析验证TCP报文段的结构。

image-20200128222330093

这就是建立TCP连接的“三次握手”过程,可以看到第一个数据包(第一次握手),是计算机给web站点发的,建立会话数据包都是SYN类型的,MSS表示最大数据包,即计算机告诉Web站点我支持的最大数据包容量为1460个字节;

第二个数据包(第二次握手),是Web站点给计算机发的同步数据包,告诉计算机我支持的最大数据包为1460个字节。还告诉计算机Win即Web服务器的发送窗口的缓存最多为60240个字节,当Web服务器发送完60240个数据包之后没有收到确认信息,就停止发送数据包。

第三个数据包(第三次握手),是计算机给Web服务器发送的。Win=65535,表示告诉服务器计算机移动窗口最大缓存为65535个字节,说明计算机最多能接收处理来自Web服务器的65535个字节数据,若Web服务器没有收到确认,就暂停传输数据包,等计算机处理完了再继续发送。

可以看到建立会话的三个数据包,不仅为了测试网络是否通畅,还协商了一些参数。

下面就到正题了,可以看到HTTP协议只用一个数据包就能解决问题。

image-20200128224540937

选中TCP协议可以看到目标端口是80,源端口是1057,序号是1,确认号是1,TCP首部长度是20个字节。

之后便是Web服务器给计算机发送网站数据,其中夹杂着计算机给Web服务器的数据包是否收到的反馈信息。

1.3.TCP首部参数图解:

image-20200128230332613

  • 黄色表示TCP报文数据部分,蓝色表示TCP首部。可以看到四段TCP报文中序号Seq都是TCP报文数据部分的第一个字节的编号。因为计算机给Web服务器发送的数据为1203字节,所以Web服务器给计算机发送的三个TCP报文中确认号都是204,表示Web服务器收到了1203个字节数据,让计算机从数据的第204个字节开始发。
  • 第五段为计算机给Web服务器发的第二个TCP报文,因为发送的第一个TCP报文已包含1203个字节数据,所以第二个TCP报文发送的数据从204字节开始,所以该报文序号为204;由于收到了Web服务器发的三个TCP报文总计12053个字节的数据,所以该报文的确认号为2054,表示告诉Web服务器,我收到了你传输的1~2053个字节,接着从2054个字节开始给我发数据。
  • 这就是确认号和序号怎么来的。
posted @ 2020-02-19 17:25  AhuntSun  阅读(3599)  评论(1编辑  收藏  举报