摘至
中國協(xié)議分析網(wǎng)一、前言 目前，網(wǎng)絡(luò)的速度發(fā)展非常快，學(xué)習(xí)網(wǎng)絡(luò)的人也越來越多，稍有網(wǎng)絡(luò)常識的人都知道
TCP/IP
協(xié)議是網(wǎng)絡(luò)的基礎(chǔ)，是Internet的語言，可以說沒有
TCP/IP
協(xié)議就沒有互聯(lián)網(wǎng)的今天。目前號稱搞網(wǎng)的人非常多，許多人就是從一把夾線鉗，一個測線器聯(lián)網(wǎng)開始接觸網(wǎng)絡(luò)的，如果只是聯(lián)網(wǎng)玩玩，知道幾個Ping之類的命令就行了，如果想在網(wǎng)絡(luò)上有更多的發(fā)展不管是黑道還是紅道，必須要把
TCP/IP
協(xié)議搞的非常明白。
學(xué)習(xí)過
TCP/IP
協(xié)議的人多有一種感覺，這東西太抽象了，沒有什么數(shù)據(jù)實例，看完不久就忘了。本文將介紹一種直觀的學(xué)習(xí)方法，利用
協(xié)議分析工具學(xué)習(xí)
TCP/IP，在學(xué)習(xí)的過程中能直觀的看到數(shù)據(jù)的具體傳輸過程。
為了初學(xué)者更容易理解，本文將搭建一個最簡單的網(wǎng)絡(luò)環(huán)境，不包含子網(wǎng)。
二、試驗環(huán)境 1、網(wǎng)絡(luò)環(huán)境 如圖1所示
圖1
為了表述方便，下文中208號機即指地址為192.168.113.208的計算機，1號機指地址為192.168.113.1的計算機。
2、操作系統(tǒng) 兩臺機器都為Windows 2000 ，1號機機器作為服務(wù)器，安裝
FTP服務(wù)
3、協(xié)議分析工具 Windows環(huán)境下常用的工具有：
Sniffer Pro、Natxray、Iris以及windows 2000自帶的網(wǎng)絡(luò)監(jiān)視器等。本文選用Iris作為
協(xié)議分析工具。
在客戶機208號機安裝IRIS軟件。
三、測試過程 1、測試?yán)樱簩?號機計算機中的一個文件通過
FTP下載到208號機中。
2、IRIS的設(shè)置。
由于IRIS具有網(wǎng)絡(luò)監(jiān)聽的功能，如果網(wǎng)絡(luò)環(huán)境中還有其它的機器將抓很多別的數(shù)據(jù)包，這樣為學(xué)習(xí)帶來諸多不便，為了清楚地看清楚上述例子的傳輸過程首先將IRIS設(shè)置為只抓208號機和1號機之間的數(shù)據(jù)包。設(shè)置過程如下：
1)用熱鍵CTRL+B彈出如圖所示的地址表，在表中填寫機器的IP地址，為了對抓的包看得更清楚不要添主機的名字（name）,設(shè)置好后關(guān)閉此窗口。
圖2
2）用熱鍵CTRL+E彈出如圖所示過濾設(shè)置，選擇左欄“IP address”，右欄按下圖將address book中的地址拽到下面，設(shè)置好后確定，這樣就這抓這兩臺計算機之間的包。
圖3
3、抓包
按下IRIS工具欄中 開始按鈕。在瀏覽器中輸入：
FTP://192.168.113.1，找到要下載的文件 ，鼠標(biāo)右鍵該文件，在彈出的菜單中選擇“復(fù)制到文件夾”開始下載，下載完后在IRIS工具欄中按 按鈕停止抓包。圖4顯示的就是
FTP的整個過程，下面我們將詳細(xì)
分析這個過程。
圖4
說明：為了能抓到ARP
協(xié)議的包，在WINDOWS 2000 中運行arp –d 清除arp緩存。
四、過程分析 1、TCP/IP的基本原理 本文的重點雖然是根據(jù)實例來解析
TCP/IP，但要講明白下面的過程必須簡要講一下
TCP/IP的基本原理。
A．網(wǎng)絡(luò)是分層的，每一層分別負(fù)責(zé)不同的通信功能。
TCP/IP通常被認(rèn)為是一個四層
協(xié)議系統(tǒng)，
TCP/IP
協(xié)議族是一組不同的
協(xié)議組合在一起構(gòu)成的
協(xié)議族。盡管通常稱該
協(xié)議族為
TCP/IP，但
TCP和IP只是其中的兩種
協(xié)議而已，如表1所示。每一層負(fù)責(zé)不同的功能：
表１
分層的概念說起來非常簡單，但在實際的應(yīng)用中非常的重要，在進行網(wǎng)絡(luò)設(shè)置和排除故障時對網(wǎng)絡(luò)層次理解得很透，將對工作有很大的幫助。例如：設(shè)置路由是網(wǎng)絡(luò)層IP
協(xié)議的事，要查找MAC地址是鏈路層ARP的事，常用的Ping命令由ICMP
協(xié)議來做的。
圖5顯示了各層
協(xié)議的關(guān)系，理解它們之間的關(guān)系對下面的
協(xié)議分析非常重要。
圖5
b.數(shù)據(jù)發(fā)送時是自上而下，層層加碼；數(shù)據(jù)接收時是自下而上，層層解碼。
當(dāng)應(yīng)用程序用
TCP傳送數(shù)據(jù)時，數(shù)據(jù)被送入
協(xié)議棧中，然后逐個通過每一層直到被當(dāng)作一串比特流送入網(wǎng)絡(luò)。其中每一層對收到的數(shù)據(jù)都要增加一些首部信息（有時還要增加尾部信息），該過程如圖6所示。
TCP傳給IP的數(shù)據(jù)單元稱作
TCP報文段或簡稱為
TCP段。I P傳給網(wǎng)絡(luò)接口層的數(shù)據(jù)單元稱作IP數(shù)據(jù)報。 通過
以太網(wǎng)傳輸?shù)谋忍亓鞣Q作幀(Frame)。
數(shù)據(jù)發(fā)送時是按照圖6自上而下，層層加碼；數(shù)據(jù)接收時是自下而上，層層解碼。
圖6
c. 邏輯上通訊是在同級完成的
垂直方向的結(jié)構(gòu)層次是當(dāng)今普遍認(rèn)可的數(shù)據(jù)處理的功能流程。每一層都有與其相鄰層的接口。為了通信，兩個系統(tǒng)必須在各層之間傳遞數(shù)據(jù)、指令、地址等信息，通信的邏輯流程與真正的數(shù)據(jù)流的不同。雖然通信流程垂直通過各層次，但每一層都在邏輯上能夠直接與遠程計算機系統(tǒng)的相應(yīng)層直接通信。
從圖7可以看出，通訊實際上是按垂直方向進行的，但在邏輯上通信是在同級進行的。
圖7
2、過程描述 為了更好的
分析協(xié)議，我們先描述一下上述例子數(shù)據(jù)的傳輸步驟。如圖8所示：
1)
FTP客戶端請求
TCP用服務(wù)器的IP地址建立連接。
2)
TCP發(fā)送一個連接請求分段到遠端的主機，即用上述IP地址發(fā)送一份IP數(shù)據(jù)報。
3) 如果目的主機在本地網(wǎng)絡(luò)上，那么IP數(shù)據(jù)報可以直接送到目的主機上。如果目的主機在一個遠程網(wǎng)絡(luò)上，那么就通過IP選路函數(shù)來確定位于本地網(wǎng)絡(luò)上的下一站路由器地址，并讓它轉(zhuǎn)發(fā)IP數(shù)據(jù)報。在這兩種情況下，IP數(shù)據(jù)報都是被送到位于本地網(wǎng)絡(luò)上的一臺主機或路由器。
4) 本例是一個
以太網(wǎng)，那么發(fā)送端主機必須把32位的IP地址變換成48位的
以太網(wǎng)地址，該地址也稱為MAC地址，它是出廠時寫到網(wǎng)卡上的世界唯一的硬件地址。把IP地址翻譯到對應(yīng)的MAC地址是由ARP
協(xié)議完成的。
5) 如圖的虛線所示，ARP發(fā)送一份稱作ARP請求的
以太網(wǎng)數(shù)據(jù)幀給
以太網(wǎng)上的每個主機，這個過程稱作廣播。ARP請求數(shù)據(jù)幀中包含目的主機的IP地址，其意思是“如果你是這個IP地址的擁有者，請回答你的硬件地址。”
6) 目的主機的ARP層收到這份廣播后，識別出這是發(fā)送端在尋問它的IP地址，于是發(fā)送一個ARP應(yīng)答。這個ARP應(yīng)答包含I P地址及對應(yīng)的硬件地址。
7) 收到ARP應(yīng)答后，使ARP進行請求—應(yīng)答交換的IP數(shù)據(jù)包現(xiàn)在就可以傳送了。
8) 發(fā)送IP數(shù)據(jù)報到目的主機。
圖8
3、實例分析 下面通過
分析用iris捕獲的包來
分析一下
TCP/IP的工作過程，為了更清晰的解釋數(shù)據(jù)傳送的過程，我們按傳輸?shù)牟煌A段抓了四組數(shù)據(jù)，分別是查找服務(wù)器、建立連接、數(shù)據(jù)傳輸和終止連接。每組數(shù)據(jù)，按下面三步進行解釋。
顯示數(shù)據(jù)包
解釋該數(shù)據(jù)包
按層
分析該包的頭信息
第一組 查找服務(wù)器 1）下圖顯示的是1、2行的數(shù)據(jù)
圖9
2）解釋數(shù)據(jù)包 這兩行數(shù)據(jù)就是查找服務(wù)器及服務(wù)器應(yīng)答的過程。
在第1行中，源端主機的MAC地址是00:50:FC:22:C7:BE。目的端主機的MAC地址是FF:FF:FF:FF:FF:FF，這個地址是十六進制表示的，F(xiàn)換算為二進制就是1111，全1的地址就是廣播地址。所謂廣播就是向本網(wǎng)上的每臺網(wǎng)絡(luò)設(shè)備發(fā)送信息，電纜上的每個
以太網(wǎng)接口都要接收這個數(shù)據(jù)幀并對它進行處理，這一行反映的是步驟5）的內(nèi)容，ARP發(fā)送一份稱作ARP請求的
以太網(wǎng)數(shù)據(jù)幀給
以太網(wǎng)上的每個主機。網(wǎng)內(nèi)的每個網(wǎng)卡都接到這樣的信息“誰是192.168.113.1的IP地址的擁有者，請將你的硬件地址告訴我”。
第2行反映的是步驟6）的內(nèi)容。在同一個
以太網(wǎng)中的每臺機器都會"接收"到這個報文，但正常狀態(tài)下除了1號機外其他主機應(yīng)該會忽略這個報文，而1號的主機的ARP層收到這份廣播報文后，識別出這是發(fā)送端在尋問它的IP地址，于是發(fā)送一個ARP應(yīng)答。告知自己的IP地址和MAC地址。第2行可以清楚的看出1號回答的信息__自己的MAC地址00:50:FC:22:C7:BE。
這兩行反映的是數(shù)據(jù)鏈路層之間一問一答的通信過程。這個過程就像我要在一個坐滿人的教室找一個叫“張三”的人，在門口喊了一聲“張三”，這一聲大家都聽見了，這就叫廣播。張三聽到后做了回應(yīng)，別人聽到了沒做回應(yīng)，這樣就與張三取得了聯(lián)系。
3）頭信息分析 如下圖左欄所示，第1數(shù)據(jù)包包含了兩個頭信息：
以太網(wǎng)（
Ethernet）和ARP。
圖10
下表2是
以太網(wǎng)的頭信息，括號內(nèi)的數(shù)均為該字段所占字節(jié)數(shù)，
以太網(wǎng)報頭中的前兩個字段是
以太網(wǎng)的源地址和目的地址。目的地址為全1的特殊地址是廣播地址。電纜上的所有
以太網(wǎng)接口都要接收廣播的數(shù)據(jù)幀。兩個字節(jié)長的
以太網(wǎng)幀類型表示后面數(shù)據(jù)的類型。對于ARP請求或應(yīng)答來說，該字段的值為0806。
第2行中可以看到，盡管ARP請求是廣播的，但是ARP應(yīng)答的目的地址卻是1號機的（00 50 FC 22 C7 BE）。ARP應(yīng)答是直接送到請求端主機的。
表2
下表3是ARP
協(xié)議的頭信息。硬件類型字段表示硬件地址的類型。它的值為1即表示
以太網(wǎng)地址。
協(xié)議類型字段表示要映射的
協(xié)議地址類型。它的值為0800即表示IP地址。它的值與包含I P數(shù)據(jù)報的
以太網(wǎng)數(shù)據(jù)幀中的類型字段的值相同。接下來的兩個1字節(jié)的字段，硬件地址長度和
協(xié)議地址長度分別指出硬件地址和
協(xié)議地址的長度，以字節(jié)為單位。對于
以太網(wǎng)上IP地址的ARP請求或應(yīng)答來說，它們的值分別為6和4。Op即操作（Opoperation），1是ARP請求、2是ARP應(yīng)答、3是RARP請求和4為RARP應(yīng)答，第二行中該字段值為2表示應(yīng)答。接下來的四個字段是發(fā)送端的硬件地址、發(fā)送端的IP地址、目的端的硬件地址和目的端IP地址。注意，這里有一些重復(fù)信息：在
以太網(wǎng)的數(shù)據(jù)幀報頭中和ARP請求數(shù)據(jù)幀中都有發(fā)送端的硬件地址。對于一個ARP請求來說，除目的端硬件地址外的所有其他的字段都有填充值。
表3的第2行為應(yīng)答，當(dāng)系統(tǒng)收到一份目的端為本機的ARP請求報文后，它就把硬件地址填進去，然后用兩個目的端地址分別替換兩個發(fā)送端地址，并把操作字段置為2，最后把它發(fā)送回去。
表3
第二組 建立連接 1）下圖顯示的是3-5行的數(shù)據(jù)
圖11
2）解釋數(shù)據(jù)包
這三行數(shù)據(jù)是兩機建立連接的過程。
這三行的核心意思就是
TCP協(xié)議的三次握手。
TCP的數(shù)據(jù)包是靠IP
協(xié)議來傳輸?shù)摹５獻P
協(xié)議是只管把數(shù)據(jù)送到出去，但不能保證IP數(shù)據(jù)報能成功地到達目的地，保證數(shù)據(jù)的可靠傳輸是靠
TCP協(xié)議來完成的。當(dāng)接收端收到來自發(fā)送端的信息時，接受端詳發(fā)送短發(fā)送一條應(yīng)答信息，意思是：“我已收到你的信息了。”第三組數(shù)據(jù)將能看到這個過程。
TCP是一個面向連接的
協(xié)議。無論哪一方向另一方發(fā)送數(shù)據(jù)之前，都必須先在雙方之間建立一條連接。建立連接的過程就是三次握手的過程。
這個過程就像要我找到了張三向他借幾本書，第一步：我說：“你好，我是擔(dān)子”，第二步：張三說：“你好，我是張三”，第三步：我說：“我找你借幾本書。”這樣通過問答就確認(rèn)對方身份，建立了聯(lián)系。
下面來
分析一下此例的三次握手過程。
1))請求端208號機發(fā)送一個初始序號（SEQ）987694419給1號機。
2))服務(wù)器1號機收到這個序號后，將此序號加1值為987694419作為應(yīng)答信號（ACK），同時隨機產(chǎn)生一個初始序號（SEQ）1773195208，這兩個信號同時發(fā)回到請求端208號機，意思為：“消息已收到，讓我們的數(shù)據(jù)流以1773195208這個數(shù)開始。”
3))請求端208號機收到后將確認(rèn)序號設(shè)置為服務(wù)器的初始序號（SEQ）1773195208加1為1773195209作為應(yīng)答信號。
以上三步完成了三次握手，雙方建立了一條通道，接下來就可以進行數(shù)據(jù)傳輸了。
下面
分析TCP頭信息就可以看出，在握手過程中
TCP頭部的相關(guān)字段也發(fā)生了變化。
3）頭信息
分析 如圖12所示，第3數(shù)據(jù)包包含了三頭信息：
以太網(wǎng)（
Ethernet）和IP和
TCP。
頭信息少了ARP多了IP、
TCP，下面的過程也沒有ARP的參與，可以這樣理解，在局域網(wǎng)內(nèi)，ARP負(fù)責(zé)的是在眾多聯(lián)網(wǎng)的計算機中找到需要找的計算機，找到工作就完成了。
以太網(wǎng)的頭信息與第1、2行不同的是幀類型為0800，指明該幀類型為IP。
圖12
IP
協(xié)議頭信息
IP是
TCP/IP
協(xié)議族中最為核心的
協(xié)議。從圖5可以看出所有的
TCP、
UDP、ICMP及IGMP數(shù)據(jù)都以IP數(shù)據(jù)報格式傳輸?shù)模袀€形象的比喻IP
協(xié)議就像運貨的卡車，將一車車的貨物運向目的地。主要的貨物就是
TCP或
UDP分配給它的。需要特別指出的是IP提供不可靠、無連接的數(shù)據(jù)報傳送，也就是說I P僅提供最好的傳輸服務(wù)但不保證IP數(shù)據(jù)報能成功地到達目的地。看到這你會不會擔(dān)心你的E_MAIL會不會送到朋友那，其實不用擔(dān)心，上文提過保證數(shù)據(jù)正確到達目的地是
TCP的工作，稍后我們將詳細(xì)解釋。
如表4是IP
協(xié)議的頭信息。
表4 IP數(shù)據(jù)報格式及首部中的各字段
圖12中所宣布分45 00—71 01為IP的頭信息。這些數(shù)是十六進制表示的。一個數(shù)占4位，例如：4的二進制是0100
4位版本：表示目前的
協(xié)議版本號，數(shù)值是4表示版本為4，因此IP有時也稱作
IPv4；
4位首部長度：頭部的是長度，它的單位是32位(4個字節(jié))，數(shù)值為5表示IP頭部長度為20字節(jié)。
8位服務(wù)類型(TOS)：00，這個8位字段由3位的優(yōu)先權(quán)子字段，現(xiàn)在已經(jīng)被忽略，4位的TOS子字段以及1 位的未用字段（現(xiàn)在為0）構(gòu)成。4位的TOS子字段包含：最小延時、最大吞吐量、最高可靠性以及最小費用構(gòu)成，這四個1位最多只能有一個為1，本例中都為0，表示是一般服務(wù)。
16位總長度(字節(jié)數(shù))：總長度字段是指整個IP數(shù)據(jù)報的長度，以字節(jié)為單位。數(shù)值為00 30，換算為十進制為48字節(jié)，48字節(jié)=20字節(jié) 的IP頭+28字節(jié)的
TCP頭，這個數(shù)據(jù)報只是傳送的控制信息，還沒有傳送真正的數(shù)據(jù)，所以目前看到的總長度就是報頭的長度。
16位標(biāo)識：標(biāo)識字段唯一地標(biāo)識主機發(fā)送的每一份數(shù)據(jù)報。通常每發(fā)送一份報文它的值就會加1，第3行為數(shù)值為30 21，第5行為30 22，第7行為30 23。分片時涉及到標(biāo)志字段和片偏移字段，本文不討論這兩個字段。
8位生存時間（TTL）：TTL（time-to-live）生存時間字段設(shè)置了數(shù)據(jù)報可以經(jīng)過的最多路由器數(shù)。它指定了數(shù)據(jù)報的生存時間。ttl的初始值由源主機設(shè)置，一旦經(jīng)過一個處理它的路由器，它的值就減去1。可根據(jù)TTL值判斷服務(wù)器是什么系統(tǒng)和經(jīng)過的路由器。本例為80，換算成十進制為128，WINDOWS操作系統(tǒng)TTL初始值一般為128，UNIX操作系統(tǒng)初始值為255，本例表示兩個機器在同一網(wǎng)段且操作系統(tǒng)為WINDOWS。
8位
協(xié)議：表示
協(xié)議類型，6表示傳輸層是
TCP協(xié)議。
16位首部檢驗和：當(dāng)收到一份I P數(shù)據(jù)報后，同樣對首部中每個16 位進行二進制反碼的求和。由于接收方在計算過程中包含了發(fā)送方存在首部中的檢驗和，因此，如果首部在傳輸過程中沒有發(fā)生任何差錯，那么接收方計算的結(jié)果應(yīng)該為全1。如果結(jié)果不是全1，即檢驗和錯誤，那么IP就丟棄收到的數(shù)據(jù)報。但是不生成差錯報文，由上層去發(fā)現(xiàn)丟失的數(shù)據(jù)報并進行重傳。
32位源IP地址和32位目的IP地址：實際這是IP
協(xié)議中核心的部分，但介紹這方面的文章非常多，本文搭建的又是一個最簡單的網(wǎng)絡(luò)結(jié)構(gòu)，不涉及路由，本文對此只做簡單介紹，相關(guān)知識請參閱其它文章。32位的IP地址由一個網(wǎng)絡(luò)ID和一個主機ID組成。本例源IP地址為C0 A8 71 D0，轉(zhuǎn)換為十進制為：192.168.113.208; 目的IP地址為C0 A8 71 01，轉(zhuǎn)換為十進制為：192.168.113.1。網(wǎng)絡(luò)地址為192.168.113，主機地址分別為1和208，它們的網(wǎng)絡(luò)地址是相同的所以在一個網(wǎng)段內(nèi)，這樣數(shù)據(jù)在傳送過程中可直接到達。
TCP協(xié)議頭信息
如表5是ICP
協(xié)議的頭信息。
表5
TCP包首部
第三行
TCP的頭信息是：04 28 00 15 3A DF 05 53 00 00 00 00 70 02 40 00 9A 8D 00 00 02 04 05 B4 01 01 04 02
端口號：常說
FTP占21端口、HTTP占80端口、
TELNET占23端口等，這里指的端口就是
TCP或
UDP的端口，端口就像通道兩端的門一樣，當(dāng)兩機進行通訊時門必須是打開的。源端口和目的端口各占16位，2的16次方等于65536，這就是每臺電腦與其它電腦聯(lián)系所能開的“門”。一般作為服務(wù)一方每項服務(wù)的端口號是固定的。本例目的端口號為00 15，換算成十進制為21，這正是
FTP的默認(rèn)端口，需要指出的是這是
FTP的控制端口，數(shù)據(jù)傳送時用另一端口，第三組的
分析能看到這一點。客戶端與服務(wù)器聯(lián)系時隨機開一個大于1024的端口，本例為04 28，換算成十進制為1064。你的電腦中了木馬也會開一個服務(wù)端口。觀察端口非常重要，不但能看出本機提供的正常服務(wù)，還能看出不正常的連接。Windows察看端口的命令時netstat。
32位序號：也稱為順序號（Sequence Number），簡寫為SEQ，從上面三次握手的
分析可以看出，當(dāng)一方要與另一方聯(lián)系時就發(fā)送一個初始序號給對方，意思是：“讓我們建立聯(lián)系吧？”，服務(wù)方收到后要發(fā)個獨立的序號給發(fā)送方，意思是“消息收到，數(shù)據(jù)流將以這個數(shù)開始。”由此可看出，
TCP連接完全是雙向的，即雙方的數(shù)據(jù)流可同時傳輸。在傳輸過程中雙方數(shù)據(jù)是獨立的，因此每個
TCP連接必須有兩個順序號分別對應(yīng)不同方向的數(shù)據(jù)流。
32位確認(rèn)序號：也稱為應(yīng)答號（Acknowledgment Number），簡寫為ACK。在握手階段，確認(rèn)序號將發(fā)送方的序號加1作為回答，在數(shù)據(jù)傳輸階段，確認(rèn)序號將發(fā)送方的序號加發(fā)送的數(shù)據(jù)大小作為回答，表示確實收到這些數(shù)據(jù)。在第三組的
分析中將看到這一過程。
4位首部長度：。這個字段占4位，它的單位時32位（4個字節(jié)）。本例值為7，
TCP的頭長度為28字節(jié)，等于正常的長度2 0字節(jié)加上可選項8個字節(jié)。，
TCP的頭長度最長可為60字節(jié)（二進制1111換算為十進制為15，15*4字節(jié)=60字節(jié)）。
6個標(biāo)志位。
URG 緊急指針，告訴接收
TCP模塊緊要指針域指著緊要數(shù)據(jù)
ACK 置1時表示確認(rèn)號（為合法，為0的時候表示數(shù)據(jù)段不包含確認(rèn)信息，確認(rèn)號被忽略。
PSH 置1時請求的數(shù)據(jù)段在接收方得到后就可直接送到應(yīng)用程序，而不必等到緩沖區(qū)滿時才傳送。
RST 置1時重建連接。如果接收到RST位時候，通常發(fā)生了某些錯誤。
SYN 置1時用來發(fā)起一個連接。
FIN 置1時表示發(fā)端完成發(fā)送任務(wù)。用來釋放連接，表明發(fā)送方已經(jīng)沒有數(shù)據(jù)發(fā)送了。
圖13的3個圖分別為3-5行
TCP協(xié)議的頭信息，這三行是三次握手的過程，我們看看握手的過程標(biāo)志位發(fā)生了什么？
如圖13-1請求端208號機發(fā)送一個初始序號（SEQ）987694419給1號機。標(biāo)志位SYN置為1。
如圖13-2服務(wù)器1號機收到這個序號后，將應(yīng)答信號（ACK）和隨機產(chǎn)生一個初始序號（SEQ）1773195208發(fā)回到請求端208號機，因為有應(yīng)答信號和初始序號，所以標(biāo)志位ACK和SYN都置為1。
如圖13-3請求端208號機收到1號機的信號后，發(fā)回信息給1號機。標(biāo)志位ACK置為1，其它標(biāo)志為都為0。注意此時SYN值為0，SYN是標(biāo)示發(fā)起連接的，上兩部連接已經(jīng)完成。
16位窗口大小：
TCP的流量控制由連接的每一端通過聲明的窗口大小來提供。窗口大小為字節(jié)數(shù)，起始于確認(rèn)序號字段指明的值，這個值是接收端正期望接收的字節(jié)。窗口大小是一個16字節(jié)字段，因而窗口大小最大為65535字節(jié)。
16位檢驗和：檢驗和覆蓋了整個的
TCP報文段：
TCP首部和
TCP數(shù)據(jù)。這是一個強制性的字段，一定是由發(fā)端計算和存儲，并由收端進行驗證。
16位緊急指針：只有當(dāng)U R G標(biāo)志置1時緊急指針才有效。緊急指針是一個正的偏移量，和序號字段中的值相加表示緊急數(shù)據(jù)最后一個字節(jié)的序號。
選項：圖13-1和圖13-2有8個字節(jié)選項，圖13-3沒有選項。最常見的可選字段是最長報文大小，又稱為MSS (Maximum Segment Size)。每個連接方通常都在握手的第一步中指明這個選項。它指明本端所能接收的最大長度的報文段。圖13-1可以看出208號機可以接受的最大字節(jié)數(shù)為1460字節(jié)，1460也是
以太網(wǎng)默認(rèn)的大小，在第三組的數(shù)據(jù)
分析中可以看到數(shù)據(jù)傳送正是以1460字節(jié)傳送的。
握手小結(jié)
上面我們分開講了三次握手，看著有點散，現(xiàn)在小結(jié)一下。
第三組 數(shù)據(jù)傳輸 1）下圖顯示的是57-60行的數(shù)據(jù)
圖14
2）解釋數(shù)據(jù)包
這四行數(shù)據(jù)是數(shù)據(jù)傳輸過程中一個發(fā)送一個接收的過程。
前文說過，
TCP提供一種面向連接的、可靠的字節(jié)流服務(wù)。當(dāng)接收端收到來自發(fā)送端的信息時，接受端要發(fā)送一條應(yīng)答信息，表示收到此信息。數(shù)據(jù)傳送時被
TCP分割成認(rèn)為最適合發(fā)送的數(shù)據(jù)塊。一般
以太網(wǎng)在傳送時
TCP將數(shù)據(jù)分為1460字節(jié)。也就是說數(shù)據(jù)在發(fā)送方被分成一塊一塊的發(fā)送，接受端收到這些數(shù)據(jù)后再將它們組合在一起。
57行顯示1號機給208號機發(fā)送了大小為1514字節(jié)大小的數(shù)據(jù)，注意我們前文講過數(shù)據(jù)發(fā)送時是層層加
協(xié)議頭的，1514字節(jié)=14字節(jié)
以太網(wǎng)頭 + 20字節(jié)IP頭 + 20字節(jié)
TCP頭 + 1460字節(jié)數(shù)據(jù)
58行顯示的應(yīng)答信號ACK為：1781514222，這個數(shù)是57行得SEQ序號1781512762加上傳送的數(shù)據(jù)1460，208號機將這個應(yīng)答信號發(fā)給1號機說明已收到發(fā)來的數(shù)據(jù)。
59、60行顯示的是繼續(xù)傳送數(shù)據(jù)的過程。
這個過程就像我向張三借書，借給我?guī)妆疚乙f：“我已借了你幾本了。”，他說：“知道了”。
3）頭信息
圖15-1和圖15-2分別是57行和58行的頭信息，解釋參考第二組。
第四組 終止連接 1）下圖顯示的是93-96行的數(shù)據(jù)
圖16
2）解釋數(shù)據(jù)包
93-96是兩機通訊完關(guān)閉的過程。
建立一個連接需要三次握手，而終止一個連接要經(jīng)過4次握手。這是因為一個
TCP連接是全雙工（即數(shù)據(jù)在兩個方向上能同時傳遞），每個方向必須單獨地進行關(guān)閉。4次握手實際上就是雙方單獨關(guān)閉的過程。
本例文件下載完后，關(guān)閉瀏覽器終止了與服務(wù)器的連接圖16的93-96行顯示的就是終止連接所經(jīng)過4次握手過程。
93行數(shù)據(jù)顯示的是關(guān)閉瀏覽器后，如圖17-1所示208號機將FIN置1連同序號(SEQ)987695574發(fā)給1號機請求終止連接。
94行數(shù)據(jù)和圖17-2顯示1號機收到FIN關(guān)閉請求后，發(fā)回一個確認(rèn)，并將應(yīng)答信號設(shè)置為收到序號加1，這樣就終止了這個方向的傳輸。
95行數(shù)據(jù)和圖17-3顯示1號機將FIN置1連同序號(SEQ)1773196056發(fā)給208號機請求終止連接。
96行數(shù)據(jù)和圖17-4顯示208號機收到FIN關(guān)閉請求后，發(fā)回一個確認(rèn)，并將應(yīng)答信號設(shè)置為收到序號加1，至此
TCP連接徹底關(guān)閉。
3）頭信息
六、掃描實例 下面我們再舉個ping的實例，測試某臺計算機是否通，最常用的命令就是ping命令。Ping 一臺計算機，出現(xiàn)如圖18所示界面就是通，出現(xiàn)如圖19所示界面就是不通，不通有兩種情況，一是該計算機不存在或沒接網(wǎng)線，二是該計算機安裝了防火墻并設(shè)置為不允許ping。如何區(qū)別這兩種情況呢？下面還是利用iris跟蹤上述情況。
圖18
圖19
如圖20是ping通的情況。
如圖21是ping不通該計算機不存在的情況。從圖可以看出ARP請求沒有回應(yīng)。
如圖22是ping不通，該計算機存在但安裝了防火墻的情況。從圖可以看出ARP請求有回應(yīng)。但ICMP請求沒回應(yīng)。
從
分析可以看出雖然后兩種情況的表面現(xiàn)象是一樣的，但實質(zhì)確是截然相反的。通過頭信息可以清楚的看出PING是
ICMP
協(xié)議來完成的，通訊過程是在第三層完成的，沒有用到第四層的
TCP協(xié)議。
圖20
圖21
圖22
七、后記 本文不是個教程，許多問題都沒有涉及到，比如TCP重發(fā)、IP分解、路由等，只是提出個學(xué)習(xí)思路，希望能起到拋磚引玉的作用。TCP/IP協(xié)議族是非常復(fù)雜的，但只要理解了還是不難學(xué)的。最后向感興趣的朋友提個問題：分別telnet三臺機器，一臺正常23端口開放，一臺網(wǎng)是通的但23端口沒開放，另外一臺是不存在的。用我們學(xué)過的方法跟蹤一下，比較三個的不同。其實這就是用TCP掃描判斷對方機器是否在線的一種方法。