Wireshark数据抓包分析之传输层协议(TCP协议)

使用TCP协议传输数据相对来说更安全,因为通信双方拥有一个专属的通信通道,每发送一个数据包都有确认回复,若数据包丢失。如果发送放没收到确认包,就可以重发这个数据包。

最经典的例子就是三次握手。三次握手是通信双方建立TCP连接前的必须步骤。第一次握手时请求方向接收方发送友好问候,请求建立连接。第二次握手接收方礼貌回复,表示收到请求。第三次握手请求方坚定交往信息,向接收方表示已做好了连接准备。于是双方的TCP连接就建好啦~

完成三次握手后,双方就可以开始传输数据了。当然,握手很严谨,说再见也是一丝不苟的。详细内容可以在合天网安实验室里进行实验操作《Wireshark数据抓包分析之传输层协议(TCP协议)》了解。下面开始实战。

根据已经搭建好的实验环境,本次实战步骤如下:

1. 在测试环境使用发包工具和Wireshark抓取TCP三次握手和四次断开的数据包

2. 详细分析TCP协议的三次握手以及四次断开。

本次的任务可以拆分成:安装发包工具,配置TCP客户端(请求方),服务端(接收方),与学习Wireshark软件懂使用。咱开始吧~

我们使用" TCP&UDP测试工具"来制作和发送TCP数据包,双击实验机器桌面的" TCP&UDP测试工具",会出现下图显示页面:

1.png

下面我们需要配置TCP的服务端以及客户端。首先配置服务器端:选择地址为10.1.1.33的机器,双击桌面的" TCP&UDP测试工具",右键点击服务器模式,在下拉列表中,选择创建服务器,如下图:

2.png

选择"创建服务器"之后,会弹出服务器端口设置,本次使用默认工具给的6000端口即可,点击"确定"按钮。

3.png

点击"确定"按钮之后,在左侧的服务器模式列表中,会出现创建的列表,选择我们创建的服务器,右键点击,选择"启动服务器",即完成了服务器端的配置。

4.png

接下来配置客户端,步骤与前面的类似:选择地址为10.1.1.142的机器,双击桌面的" TCP&UDP测试工具",右键点击客户端模式,在下拉列表中,选择"创建连接",如下图:

5.png

在弹出的窗口中,选择TCP协议,服务器IP为10.1.1.33.端口6000,本机随意IP,如下图:

6.png

点击创建后,如下图:

7.png

那么我们看看Wireshark软件获取到的客户端与服务器端之间发送到TCP数据包吧。

获取的TCP协议的数据包分为两部分,即TCP三次握手,四次断开的数据。在实际的操作中,我们往往还会抓到除了目标地址之外往来到数据包,因此先使用过滤器过滤一下IP源,方便我们查看。

启动Wireshark,在Filter中输入tcp,点击Apply会看到很多的数据包,这是因为测试环境中,有很多的应用程序,与其服务器连接,使用TCP协议。如下图:

8.png

在这里,我们已知两台机器的IP情况下,可以在filter中输入"ip.addr == 10.1.1.142 and ip.addr == 10.1.1.33"来过滤出我们想要的数据,点击工具中的"apply连接"按钮。如下图:

9.png

10.png

在上图中,70,73,74帧是tcp的三次握手,428,429,430,431帧是四次断开的数据。

分析握手

通过前面到工作,我们已经找到了想要的数据包,接下来我们将对TCP的三次握手进行详细分析。

首先我们看TCP包的首部。TCP首部的通用格式如下图所示:

11.png

在上面的图中,标出了每一个字段,咱今天就说说比较重要的源端口、目标端口、标记。

源端口表明了发送方的输出端口号。目标端口表示数据包进入接收方的端口号端口对上了,才能正确地将数据包传达。标记用来表示所传输的TCP数据包类型,包括URG、ACK、PSH、RST、SYN和FIN,其中SYN表示同步序号,使用在建立连接时;ACK是确认标志,表示应答域有效,就是前面所说的接收方对请求方的问候表示礼貌致意;FIN表示发送端以及达到数据末尾,此时双方就准备挥手告别了。

那么接下来咱具体分析下三次握手。

干货来了!

TCP第一次握手,捕获的数据包信息如下所示:

12.png

从Wireshark的Packet List面板中的Info列可以看到显示的TCP标志位是SYN,所以该数据包是客户端向服务器发送的第一次握手连接。在Packet Details面板中,显示了该包的详细信息,下面详细介绍。

13.png

以上信息,表示该包的大小为62个字节。

14.png

以上内容表示源IP是10.1.1.142,目的IP为10.1.1.33。

15.png

以上内容是传输层首部的详细信息,这里使用TCP协议,其中源端口为56678,目标端口为6000。

更多详细的信息,可以进入合天实战实验课程查询。

接下来是第二次握手,TCP第二次握手捕获数据包相信信息,如下:

16.png

在该界面显示了第二次握手数据包的详细信息,其中位于TCP上面的信息与第一次握手时相类似,留给文后照着上面的分析独立思考。

同样地,第三次握手也一定没问题,看下图:

17.png

于是这样就完成了TCP连接的建立啦~

五 再来看看再见

TCP的四次断开,也是TCP协议的主要工作之一。那咱也看看四次分手,偶不,四次断开~TCP第一次断开连接的数据包如下:

18.png

在该界面显示了TCP第一次断开,数据包的详细信息,是不是和握手时的数据包很像?

查看tcp数据包可以看到客户端向服务器发送FIN和ACK标志的数据包开始断开连接,其中FIN和ACK标志位都为1。

Source Port: 56678(56678) #源端口号

Destination Port: 6000(6000) #目标端口号

Stream index: 0 #流节点号

TCP Segment Len: 0 #分段长度

Sequence number: 1 (relative sequence number) #序列号

Acknowledgment number: 1 (relative ack number) #确认编号

Header Length: 20 bytes #首部长度

.... 0000 0001 0001 = Flags: 0x011 (FIN,ACK) #标志位,此处为(FIN,ACK)

00. .... .... = Reserved: Not set

...0 .... .... = Nonce: Not set

.... 0... .... = Congestion Window Reduced (CWR): Not set

.... .0.. .... = ECN-Echo: Not set

.... ..0. .... = Urgent: Not set

.... ...1 .... = Acknowledgment: Not set #确认编号已设置

.... .... 0... = Push: Not set

.... .... .0.. = Reset: Not set

.... .... ..0. = Syn: Set #请求位

.... .... ...1 = Fin: Not set #FIN标志位

Expert Info (Chat/Sequence): Connection finish (FIN) #专家信息

Connection finish (FIN) #消息内容,连接完成(FIN)

Severity level: Chat #安全级别

Group: Sequence

Window size value: 64240 #窗口大小

Calculated window size: 64240 #估计的窗口大小

Window size scaling factor: -1 (unknown) 窗口大小缩放比例因素

Checksum: 0x16cb [validation disabled] #校验和

Good Checksum: False

Bad Checksum: False

Urgent pointer: 0

FIN是1表示要分手啦~

在TCP第二次断开连接的数据包是服务器向客户端发送的ACK包,其中ACK标志位为1。

19.png

TCP第三次断开连接的数据包是服务器向客户端发送的FIN和ACK包。其中FIN和ACK标志位为1。

20.png

TCP第四次断开连接的数据包,客户端向服务器发送ACK的包。其中,ACK标志位都为1。

21.png


本文作者:合天网安实验室

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/153644.html

Tags:
评论  (0)
快来写下你的想法吧!

合天网安实验室

文章数:116 积分: 632

www.hetianlab.com,网络安全靶场练习平台,涉及CTF赛前指导、职业技能训练、网安专项技能提升等。

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号