文章目录
TCP 协议-三次握手抓包分析&查看状态
前面文章介绍了 TCP 报文头部的格式， TCP 协议是一个面向连接的协议，所以在使用 TCP 协议之前需要先建立连接，而建立连接就需要先 握手，在握手的时候就会有 TCP 报文头部数据的传递，这篇文章介绍一下 TCP 连接的 三次握手，然后使用 tcpdump 抓包工具分析 三次握手是如何被建立的，然后使用 netstat 命令查看分析 TCP 状态。
1.TCP 三次握手的目的
- 同步
Sequence序列号，初始化序列号ISN(Initial Sequence Number) - 交换
TCP通讯参数，如MSS、窗口比例因子、选择性确认、指定校验和算法
2.三次握手示意图
3.tcpdump抓包分析
以 curl www.baidu.com 为例，使用如下命令抓取 TCP 报文：
tcpdump host www.baidu.com -c 3 -S
Tips：其中
host www.baidu.com表示使用BFP过滤语法抓取和www.baidu.com相关的报文数据，-c 3表示抓取次数为3，-S表示信息以绝对序列号替代相对序列号。
如下图所示：
Tips：图中窗口是
tcpdump抓取报文窗口，可以另起一个窗口执行curl www.baidu.com。
4.tcpdump报文关系示意图对应
- 第一次：
SYN
18:33:27.289687 IP localhost.localdomain.33952 > localhost.http: Flags [S], seq 1108648416, win 29200, options [mss 1460,sackOK,TS val 3178219629 ecr 0,nop,wscale 7], length 0
Tips：其中
seq的值为1108648416。
- 第二次：
SYN/ACK
18:33:27.317960 IP localhost.http > localhost.localdomain.33952: Flags [S.], seq 737377256, ack 1108648417, win 64240, options [mss 1460], length 0
Tips：其中
seq的值为737377256，ack的值为1108648417，比第一次的seq大1。
- 第三次：
ACK
18:33:27.318021 IP localhost.localdomain.33952 > localhost.http: Flags [.], ack 737377257, win 29200, length 0
Tips：其中
ack的值为737377257，比第二次的seq大1。
5.wireshark 抓包分析
以抓取浏览器访问 http://www.singwa666.com 网站发起的 HTTP/1.1 请求时，建立的 TCP 连接握手为例，使用 BPF 捕获过滤器语法 host www.singwa666.com 抓取报文，然后使用 显示过滤器 语法 tcp.stream eq 1过滤报文，如下图所示：
- 第一次：
SYN
Tips：其中
Sequence Number（seq）的值为4150432755（f7 62 93 f3），FLAGS的第7位置1。
- 第二次：
SYN/ACK
Tips：其中
Sequence Number（seq）的值为257427380（0f 58 07 b4），Acknowledgment number (ack)的值为4150432756（f7 62 93 f4），比第一次的Sequence Number（seq）大1。
- 第三次：
ACK
Tips：其中
Acknowledgment number (raw)的值为257427381（0f 58 07 b5），比第二次的Sequence Number（seq）大1。
6.三次握手报文说明
6.1 第一次：SYN 报文说明
Tips：
FLAGS报文中的第7位置1表示SYN报文，此时seq序列号码有效，需要传递设置序列号码（seq）。
6.2 第二次：SYN/ACK 报文说明
Tips：
FLAGS报文中的第4和 第7位置1表示SYN/ACK报文，此时seq和ack序列号码有效，需要传递序列号码（seq）和确认号码（ack），此时确认号码（ack）是第上一次seq加1。
6.3 第三次：ACK 报文说明
Tips：
FLAGS报文中的第4位置1表示ACK报文，此时ack序列号码有效，需要传递设置确认号码（ack），此时确认号码（ack）是第上一次seq加1。
7.三次握手过程中的状态变迁
当我们做服务器端的开发时，服务器端同时处理成千上万的 TCP 连接时，需要理解 三次握手 中的状态变迁，对于定位复杂的网络问题非常有帮助。
7.1 三次流程中涉及到的五种状态及示意图
CLOSEDLISTENSYN-SENTSYN-RECEIVEDESTABLISHED
Tips：
TCB的意思是Transmission Control Block，保存连接使用的源端口、目的端口、目的 IP、序号、应答序号、对方窗口大小、己方窗口大小、TCP 状态、TCP 输入/输出队列、应用层输出队列、TCP 的重传有关变量等。
7.2 netstat 命令参数介绍
interval：重新显示选定的统计信息，各个显示间暂停的间隔秒数-a：显示所有连接和监听端口-n：以数字形式（如IP地址）显示地址和端口号-r：显示路由表-s：显示每个协议的统计信息-o（Widnows）：显示拥有的每个连接关联的进程ID-b（Windows）/-p（Linux）：显示对应的可执行程序名字
7.3 服务端查看 TCP 状态变迁
下面在服务器端使用如下命令：
netstat -anp
Tips：其中
-anp的a所有的连接，n表示以数字的形式，p表示显示进程号。
Tips:一般很难观察到
SYN-SENT状态，有一种ACK攻击就是攻击者构造一个SYN帧，却不返回ACK帧，这样会让服务器大量的连接都处于SYN-RECEIVED状态。
扫码关注
