TCP标志位文档格式.docx
《TCP标志位文档格式.docx》由会员分享，可在线阅读，更多相关《TCP标志位文档格式.docx（5页珍藏版）》请在冰豆网上搜索。
这个标志的数据包经常被用来进行端口扫描。
扫描者发送一个只有SYN的数据包，如果对方主机响应了一个数据包回来，就表明这台主机存在这个端口；
但是由于这种扫描方式只是进行TCP三次握手的第一次握手，因此这种扫描的成功表示被扫描的机器不很安全，一台安全的主机将会强制要求一个连接严格的进行TCP的三次握手；
FIN：
表示发送端已经达到数据末尾，也就是说双方的数据传送完成，没有数据可以传送了，发送
FIN标志位的TCP数据包后，连接将被断开。
这个标志的数据包也经常被用于进行端口扫描。
当一个FIN标志的TCP数据包发送到一台计算机的特定端口，如果这台计算机响应了这个数据，并且反馈回来一个RST标志的TCP包，就表明这台计算机上没有打开这个端口，但是这台计算机是存在的；
如果这台计算机没有反馈回来任何数据包，这就表明，这台被扫描的计算机存在这个端口。
*SYN：
同步标志同步序列编号（SynchronizeSequenceNumbers）栏有效。
该标志仅在三次握手建立TCP连接时有效。
它提示TCP连接的服务端检查序列编号，该序列编号为TCP连接初始端（一般是客户端）的初始序列编号。
在这里，可以把TCP序列编
号看作是一个范围从0到4，294，967，295的32位计数器。
通过TCP连接交换的数据中每一个字节都经过序列编号。
在TCP报头中的序列编号栏包括了TCP分段中第一个字节的序列编号。
*ACK：
确认标志确认编号（AcknowledgementNumber）栏有效。
大多数情况下该标志位是置位的。
TCP报头内的确认编号栏内包含的确认编号（w+1,Figure-1）为下一个预期的序列编号，同时提示
远端系统已经成功接收所有数据。
*RST：
复位标志复位标志有效。
用于复位相应的TCP连接。
*URG：
紧急标
紧急（Theurgentpointer）标志有效。
紧急标志置位，*PSH:
推标志该标志置位时，接收端不将该数据进行队列处理，而是尽可能快将数据转由应用处理。
在处理telnet或rlogin等交互模式的连接时，该标志总是置位的。
*FIN：
结束标志带有该标志置位的数据包用来结束一个TCP回话，但对应端口仍处于开放状态，准备接收后续数据。
.TCP的几个状态对于我们分析所起的作用。
在TCP层，有个FLAGS字段，这个字段有以下几个标识：
SYN,FIN,ACK,PSH,RST,URG.其中，对于我们日常的分析有用的就是前面的五个字段。
它们的含义是：
SYN表示建立连接，FIN表示关闭连接，ACK表示响应，PSH表示有DATA数据传输，RST表示连接重置。
其中，ACK是可能与SYN，FIN等同时使用的，比如SYN和ACK可能同时为1，它表示的就是建立连接之后的响应，如果只是单个的一个SYN，它表示的只是建立连接。
TCP的几次握手就是通过这样的ACK表现出来的。
但SYN与FIN是不会同时为1的，因为前者表示的是建立连接，而后者表示的是断开连接。
RST一般是在FIN之后才会出现为1的情况，表示的是连接重置。
一般地，当出现FIN包或RST包时，我们便认为客户端与服务器端断开了连接；
而当出现SYN和SYN＋ACK包时，我们认为客户端与服务器建立了一个连接。
PSH为1的情况，一般只出现在DATA内容不为0的包中，也就是说PSH为1表示
的是有真正的TCP数据包内容被传递。
TCP的连接建立和连接关闭，都是通过请求－响应的模式完成的。
了解到了TCP标志位的含义，就可以了解TCP的三次握手是怎么进行的了：
发送端发送一个SYN=1，ACK=0标志的数据包给接收端，请求进行连接，这是第一次握手；
接收端收到请求并且允许连接的话，就会发送一个SYN=1，ACK=1标志的
数据包给发送端，告诉它，可以通讯了，并且让发送端发送一个确认数据包，这是第二次握手；
最后，发送端发送一个SYN=0，ACK=1的数据包给接收端，告诉它连接已被确认，这就是第三次握手。
之后，一个TCP连接建立，开始通讯。
简述TCP协议连接建立时3次握手的过程。
根据TCP头部，说明下列3个包在连接建立过程中的次序，为什么？
该连接访问的服务是什么服务？
0020005083aa4649
3edd339637a3a012...P..FI&
gt;
.3.7...003016a0
c4c00000020405b40402080ad7
9b004062b700564a2a01030302
b..VJ*
（1）002083aa0050339637a200
000000a002P3.7003016d0841d0000
020405b40402080a0056V00404a2a
0000000001030300J*
（2）002083aa0050339637a346493ede80
10P3.7.FI&
...003016d0f34b0000010108
b.（3）解：
在TCP/IP协议中，TCP协议提供可靠的连
接服务，采用三次握手建立一个连接。
第一次握手：
建立连接时，客户端发送syn包（syn=j）到服务器，并进入SYN_SEND状态，等待服务器确认；
第二次握手：
服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；
第三次握手：
客户端收到服务器的SYN＋ACK包，向服务器发送确认包ACK（ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。
完成三次握手，客户端与服务器开始传送数据。
（2）是第一次握手，flags位上为02，二进制是00000010，即表示有syn没有ack。
（1）是第二次握手，flags位上为12，二进制是00010010，即表示有syn和ack。
（3）是第三次握手，flags位上为10，二进制是00010000，即表示有ack没有syn。
该连接访问的是80端口，是为HTTP（HyperTextTransportProtocol，超文本传输协议）开放的TCP拦截即TCPintercept，大多数的路由器平台都引用了该功能，其主要作用就是防止SYN泛洪攻击。
SYN攻击利用的是TCP的三次握手机制，攻击端利用伪造的IP地址向被攻击端发出请求，而被攻击端发出的响应报文将永远发送不到目的地，那么被攻击端在等待关闭这个连接的过程中消
耗了资源，如果有成千上万的这种连接，主机资源将被耗尽，
从而达到攻击的目的。
我们可以利用路由器的TCP拦截功能，使网络上的主机受到保护（以Cisco路由器为例）。
开
启TCP拦截分为三个步骤：
1.设置TCP拦截的工作模式TCP拦截的工作模式分为拦截和监视。
在拦截模式下，路由器审核所有的TCP连接，自身的负担加重，所以我们一般让路由器工作在监视模式，监视TCP连接的时间和数目,超出预定值则关闭连接。
格式：
iptcpinterceptmode
（intercept|watch）缺省为intercept2.设置访问表，以开启需要保护的主机格式：
access-list[100-199][deny|permit]tcpsourcesource-wildcarddestination
destination-wildcard举例：
要保护219.148.150.126这台主机access-list101permittcpanyhost219.148.150.1263.开启TCP拦截iptcpintercept
listaccess-list-number示例：
我们有两台服务器219.148.150.126和219.148.150.125需要进行保护，可以
这样配置：
iptcpinterceptlist101iptcpintercept
modewatchipaccess-list101permittcpany
host219.148.150.125ipaccess-list101permittcpany
host219.148.150.126经过这样的配置后，我们的主机
就在一定程度上受到了保护。
TCP（TransmissionControlProtocol）传输控制协议
TCP是主机对主机层的传输控制协议，提供可靠的连接服务，采用三次握手确认建立一个连接:
位码即tcp标志位,有6种标示:
SYN（synchronous建立联机）ACK（acknowledgement确认）
PSH（push传送）FIN（finish结束）RST（reset重置）URG（urgent紧急）
Sequencenumber（顺序号码）Acknowledgenumber（确认号码）
主机A发送位码为syn=1,随机产生seq
number=1234567的数据包到服务器，主
机B由SYN=1知道，A要求建立联机；
主机B收到请求后要确认联机信息，向A发送acknumber=（主机A的
seq+1）,syn=1,ack=1,随机产生seq=7654321的包第三次握手：
主机A收到后检查acknumber是否正确，即第一次发送的seqnumber+1,以及位
码ack是否为1，若正确，主机A会再发送acknumber=（主机B的seq+1）,ack=1，主机B收到后确认seq值与ack=1则连接建立成功。
完成三次握手，主机A与主机B开始传送数据。
在TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接。
建立连接时，客户端发送syn包（syn=j）到服务器，并进入SYN_SEND状态，等待服务器确认；
第二次握手：
服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN
包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；
第三次握手：
客户端收到服务器的SYN＋ACK包，向服务器发送确认包ACK（ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。
完成三次握手，客户端与服务器开始传送数据.
实例：
IP192.168.1.116.3337&
192.168.1.123.7788:
S3626544836:
3626544836
IP192.168.1.123.7788&
192.168.1.116.3337:
S1739326486:
1739326486ack3626544837
ack1739326487,ack1
192.168.1.116发送位码syn=1,随机产生seqnumber=3626544836的数据包到192.168.1.123,192.168.1.123由SYN=1知道192.168.1.116要求建立联机;
192.168.1.123收到请求后要确认联机信息，向192.168.1.116发送acknumber=3626544837,syn=1,ack=1,随机产生seq=1739326486的包;
第三次握手：
192.168.1.116收到后检查acknumber是否正确，即第一次发送的seqnumber+1,
以及位码ack是否为1，若正确，192.168.1.116会再发送acknumber=1739326487,ack=1，
192.168.1.123收到后确认seq=seq+1,ack=1则连接建立成功。
图解：
一个三次握手的过程（图1，图2）（图1）
（图2）第一次握手的标志位（图3）我们可以看到标志位
里面只有个同步位，也就是在做请求（SYN）（图3）第二次握手的标志位（图4）我们可以看到标志位里面有个确认位和同步位，也就是在做应答（SYN+ACK）（图4）第三次握手的标志位（图5）
我们可以看到标志位里面只有个确认位，也就是再做再次确认（ACK）（图5）一个完整的三次握手也就是请求---应答---再次确认
四次分手：
由于TCP连接是全双工的，因此每个方向都必须单独进
行关闭。
这个原则是当一方完成它的数据发送任务后就能发送一个FIN来终止这个方向的连接。
收到一个FIN只意味着这一方向上没有数据流动，一个TCP连接在收到一个FIN后仍能发送数据。
首先进行关闭的一方将执行主动关闭，而另一方执行被动关闭。
（1）客户端A发送一个FIN，用来关闭客户A到服务器B的数据传送（报文段4）。
（2）服务器B收到这个FIN，它发回一个ACK，确认序号为收到的序号加1（报文段5）。
和SYN一样，一个FIN将占用一个序号。
（3）服务器B关闭与客户端A的连接，发送一个FIN给客户端A（报文段6）。
（4）客户端A发回ACK报文确认，并将确认序号设置为收到序号加1（报文段7）。
1．为什么建立连接协议是三次握手，而关闭连接却是四次握手呢？
这是因为服务端的LISTEN状态下的SOCKET当收到SYN报文的建连请求后，它可以把ACK和SYN（ACK起应答作用，而SYN起同步作用）放在一个报文里来发送。
但关闭连接时，当收到对方的FIN报文通知时，它仅仅表示对方没有数据发送给你了；
但未必你所有的数据都全部发
送给对方了，所以你可以未必会马上会关闭SOCKET,也即你可能还需要发送一些数据给对方之
后，再发送FIN报文给对方来表示你同意现在可以关闭连接了，所以它这里的ACK报文和FIN报文多数情况下都是分开发送的。
2．为什么TIME_WAIT状态还需要等2MSL后才能返回到CLOSED状态？
这是因为虽然双方都同意关闭连接了，而且握手的4个报文也都协调和发送完毕，按理可以
直接回到CLOSED状态（就好比从SYN_SEND状态到ESTABLISH状态那样）；
但是因为我们必须要假想网络是不可靠的，你无法保证你最后发送的ACK报文会一定被对方收到，因此对方处于
LAST_ACK状态下的SOCKET可能会因为超时未收到
ACK报文，而重发FIN报文，所以这个
TIME_WAIT状态的作用就是用来重发可能丢失的ACK报文。
升级会员 