|
||||||||||
|
|
|||||||||
|
|
|||||||||||||||
| | 网站首页 | 局域网教程 | 软件说明书 | 深圳电脑城 | | ||
 |
||
|
||
|
|||||
| 通过连接实例解读tcp/ip协议 | |||||
作者：佚名 文章来源：不详 点击数： 更新时间：2005-10-1  |
|||||
最近狂补基础，猛看tcp/ip协议。不过，书上的东西太抽象了，没有什么数据实例，看了不久就忘了。于是，搬来一个sniffer（不是iceblood这个家伙），抓了数据包来看，呵呵，结合书里面得讲解，理解得比较快。我就来灌点基础知识。 开始吧，先介绍ip协议。 ip协议（internet protocol）是网络层协议，用在因特网上，tcp，udp，icmp，igmp数据都是按照ip数据格式发送得。ip协议提供的是不可靠无连接得服务。ip数据包由一个头部和一个正文部分构成。正文主要是传输的数据，我们主要来理解头部数据，可以从其理解到ip协议。 ip数据包头部格式（rfc791） 0 1 2 3 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |version| ihl |type of service| total length | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | identification |flags| fragment offset | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | time to live | protocol | header checksum | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | source address | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | destination address | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | options | padding | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ example internet datagram header 上面的就是ip数据的头部格式，这里大概地介绍一下。 ip头部由20字节的固定长度和一个可选任意长度部分构成，以大段点机次序传送，从左到右。 tcp协议 tcp协议（transmission control protocol）是传输层协议，为应用层提供服务，和udp不同的是，tcp协议提供的可靠的面向连接的服务。在rfc793中是基本的tcp描述。关于tcp协议的头部格式内容的说明： tcp header format 0 1 2 3 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | source port | destination port | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | sequence number | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | acknowledgment number | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | data | |u|a|p|r|s|f| | | offset| reserved |r|c|s|s|y|i| window | | | |g|k|h|t|n|n| | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | checksum | urgent pointer | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | options | padding | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | data | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ tcp header format 跟ip头部差不多，基本的长度也是20字节。tcp数据包是包含在一个ip数据报文中的。 好了，简单介绍到此为止。来看看我捕获的例子吧。这是一次ftp的连接，呵呵，是cuteftp默认的cuteftp的ftp站点，ip地址是：216.3.226.21。我的ip地址假设为：192.168.1.1。下面的数据就是tco/ip连接过程中的数据传输。我们可以分析tcp/ip协议数据格式以及tcp/ip连接的三次握手（threeway-handshake）情况。下面的这些十六进制数据只是tcp/ip协议的数据，不是完整的网络通讯数据。 第一次，我向ftp站点发送连接请求（我把tcp数据的可选部分去掉了） 192.168.1.1->216.3.226.21 ip头部： 45 00 00 30 52 52 40 00 80 06 2c 23 c0 a8 01 01 d8 03 e2 15 tcp头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 来看看ip头部的数据是些什么。第一字节，“45”，其中“4”是ip协议的版本（version），说明是ip4。“5”是ihl位，表示ip头部的长度，是一个4bit字段，最大就是1111了，值为12，ip头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的ip头部长度，头部报文中没有发送可选部分数据。 接下来的一个字节“00”是服务类型（type of service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），4 bit的tos子字段以及1 bit的未用字段（现在为0）构成。4 bit的tos子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个1 bit位最多只能有一个为1，本例中都为0，表示是一般服务。 接着的两个字节“00 30”是ip数据报文总长，包含头部以及数据，这里表示48字节。这48字节由20字节的ip头部以及28字节的tcp头构成（本来截取的tcp头应该是28字节的，其中8字节为可选部分，被我省去了）。因此目前最大的ip数据包长度是65535字节。 再是两个字节的标志位（identification）：“52 52”，转换为十进制就是21074。这个是让目的主机来判断新来的分段属于哪个分组。 下一个字节“40”，转换为二进制就是“0100 0000”，其中第一位是ip协议目前没有用上的，为0。接着的是两个标志df和mf。df为1表示不要分段，mf为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段便移（fragment offset）。 “80”这个字节就是ttl（time to live）了，表示一个ip数据流的生命周期，用ping显示的结果，能得到ttl的值，很多文章就说通过ttl位来判别主机类型。因为一般主机都有默认的ttl值，不同系统的默认值不一样。比如windows为128。不过，一般ping得到的都不是默认值，这是因为每次ip数据包经过一个路由器的时候ttl就减一，当减到0时，这个数据包就消亡了。这也时tracert的原理。本例中为“80”，转换为十进制就是128了，我用的win2000。 继续下来的是“06”，这个字节表示传输层的协议类型（protocol）。在rfc790中有定义，6表示传输层是tcp协议。 “2c 23”这个16bit是头校验和（header checksum）。 接下来“c0 a8 01 01”，这个就是源地址（source address）了，也就是我的ip地址。转换为十进制的ip地址就是：192.168.1.1，同样，继续下来的32位“d8 03 e2 15”是目标地址，216.3.226.21 好了，真累啊，终于看完基本的20字节的ip数据报头了。继续看tcp的头部吧，这个是作为ip数据包的数据部分传输的。 tcp头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 一来就是一个两字节段“0d 28”，表示本地端口号，转换为十进制就是3368。第二个两字节段“00 15”表示目标端口，因为我是连接ftp站点，所以，这个就是21啦，十六进制当然就是“00 15”。 接下来的四个字节“50 5f a9 06”是顺序号（sequence number），简写为seq，seq=1348446470 下面的四个字节“00 00 00 00”是确认号（acknowledgment number），简写为acknum。 继续两个字节，“70 02”，转换为二进制吧，“0111 0000 0000 0010”。这两个字节，总共16bit，有好多东西呢。第一个4bit“0111”，是tcp头长，十进制为7，表示28个字节（刚才说了，我省略了8字节的option数据，所以你只看见了20字节）。接着的6bit现在tcp协议没有用上，都为0。最后的6bit“00 0010”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍： urg：（urgent pointer field significant）紧急指针。用到的时候值为1，用来处理避免tcp数据流中断 ack：（acknowledgment field significant）置1时表示确认号（acknowledgment number）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。 psh：（push function），push标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。 rst：（reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到rst位时候，通常发生了某些错误。 syn：（synchronize sequence numbers）用来建立连接，在连接请求中，syn=1，ack=0，连接响应时，syn=1，ack=1。即，syn和ack来区分connection request和connection accepted。 fin：（no more data from sender）用来释放连接，表明发送方已经没有数据发送了。 这6个标志位，你们自己对号入座吧。本例中syn=1，ack=0，当然就是表示连接请求了。我们可以注意下面两个过程的这两位的变换。 后面的“40 00 c0 29 00 00”不讲了，呵呵，偷懒了。 后面两次通讯的数据，自己分开看吧。我们看看连接的过程，一些重要地方的变化。 第二次，ftp站点返回一个可以连接的信号。 216.3.226.21->192.168.1.1 ip头部： 45 00 00 2c c6 be 40 00 6a 06 cd ba d8 03 e2 15 c0 a8 01 01 tcp头部：00 15 0d 28 4b 4f 45 c1 50 5f a9 07 60 12 20 58 64 07 00 00 第三次，我确认连接。tcp连接建立起来。 192.168.1.1->216.3.226.21 ip头部： 45 00 00 28 52 53 40 00 80 06 2c 2a c0 a8 01 01 d8 03 e2 15 tcp头部：0d 28 00 15 50 5f a9 07 4b 4f 45 c2 50 10 40 b0 5b 1c 00 00 好，我们看看整个threeway_handshake过程。 第一步，我发出连接请求，tcp数据为：seq=50 5f a9 06，acknum=00 00 00 00，syn=1，ack=0。 第二步，对方确认可以连接，tcp数据为：seq=4b 4f 45 c1，acknum=50 5f a9 07，syn=1，ack=1。 第三步，我确认建立连接。seq=50 5f a9 07， acknum=4b 4f 45 c2，syn=0，ack=1。 可以看出什么变化么？正式建立连接了呢，这些东西是什么值？ 我接收从216.3.226.21->192.168.1.1的下一个数据包中： seq=4b 4f 45 c2，acknum=50 5f a9 07,syn=0,ack=1 这些都是很基础的东西，对于编写sniffer这样的东西是必须非常熟悉的。这里只讲解了tcp/ip协议的一点点东西，主要是头部数据的格式。 限于本人的水平，文中难免有错，请各位指正。 |
|||||
| 文章录入：晨光 责任编辑：晨光 | |||||
| 【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 | |||||
| 最新热点 | 最新推荐 | 相关文章 | ||
| 交换机配置之物理连接 通过实战测试无线网络的速度 怎样用好本地连接 LAN连接问题：罪在DNS、网卡 直接电缆连接 利用专用电缆线 通过集线器连接的对等网 Internet连接共享组网手记 通过局域网传输文件方法详解 Windows 2000 实现网络共享连 Windows2000实现网络共享连接 |
| 网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！） |
| | 设为首页 | 加入收藏 | 联系站长 | 友情链接 | 版权申明 | 网站公告 | | |||||
|
