wiresharkTcpUdp抓包分析.doc

文档介绍：Wireshark
抓包分析
CONTENTS
TCP协议抓包分析
TCP协议格式及特点
实例分析
UDP 协议的抓包分析
UDP 报文格式及特点
流媒体播放时传输层报文分析
5 TCP 协议抓包分析
TCP 协议的格式及特点
图 1 TCP 协议报头格式
源端口：数据发起者的端口号； 目的端口：数据接收方的端口号； 32bit 序列号，标识当前数据段的唯一性； 32bit 的确认号，接收数据方返回给发送方的通知； TCP头部长度为 20 字节，若 TCP头部的 Options 选项启用，则会增加首部长度，因此 TCP是首部变长的传输层协议； Reserved、Reserved、Nonce 、CWR、ECN-Echo：共 6bit ，保留待用。
URG：1bit 紧急指针位，取值 1 代表这个数据是紧急数据需加速传递，取值 0 代表这是普通数据；
ACK：1bit 确认位，取值 1 代表这是一个确认的 TCP包，取值 0 则不是确认包；
PSH：1bit 紧急位，取值 1 代表要求发送方马上发送该分段，而接收方尽快的将报文交给应用层，不做队列处理。取值 0 阿迪表这是普通数据；
RST：1bit 重置位，当 TCP收到一个不属于该主机的任何一个连接的数据，则向对方发一个复位包，此时该位取值为 1，若取值为 0 代表这个数据包是传给自己的；
SYN：1bit 请求位，取值 1 代表这是一个 TCP三次握手的建立连接的包，取值为0 就代表是其他包；
FIN： 1bit 完成位，取值 1 代表这是一个 TCP断开连接的包，取值为 0 就代表是其他包；
Window Size ：16bit 窗口大小，表示准备收到的每个 TCP 数 据 的 大 小 ； Checksum：16bit 的 TCP头部校验，计算 TCP头部，从而证明数据的有效性； Urgent Pointer ：16bit 紧急数据点，当功能 bit 中的 URG 取值为 1 时有效； Options ：TCP的头部最小 20 个字节。如果这里有设置其他参数，会导致头部增大；
Padding：当 TCP头部小于 20 字节时会出现，不定长的空白填充字段，填充容都是 0，但是填充长度一定会是 32 的倍数；
Data：被 TCP封装进去的数据，包含应用层协议头部和用户发出的数据。
请求网页文件时传输层报文分析
下面结合具体的 Wireshark 的抓包分析 TCP报文的特点。如图 2 所示。
图 2 TCP 协议中请求建立连接
首先，注意到该报文的 SYN 字段为 1，因此该报文为建立连接的报文。 窗口个数为 8192。Option 字段中指明了最长字段长度为 1460 字节。
图 3 服务器返回请求建立连接的确认
图 4 建立连接的“第三次握手”
上图中，图 2、图 3、图 4 代表了 TCP协议建立连接时的三次握手。同时，
从图 4 中可以看出窗口长度是一个变量。并且首部长度字段为
20，没有 option
字段。
图 3 表示出了服务器向用户返回请求建立连接报文的确认字段， 其中 SYN为1，ACK 为 1。传送的数据序列号为 0。窗口大小仍然为 8192。图 3 即为 TCP协议建立连接过程中的三次握手中的第二次握手。
图 5 TCP 关闭连接的过程
图 6 TCP 关闭连接时的第三次握手
图 5，图 6 分别是 TCP关闭连接时的三次握手。 图 5 中上半部分是用户发起结束TCP连接的请求报文， 同时用户对收到的服务器数据做出响应， 并返回服务器的请求容。图 5 中下半部分为服务器的结束连接部分，其余响应与用户相同。图 6
中用户返回最终确认报文，结束连接。
6 UDP 协议的抓包分析
UDP 报文格式及特点
图 7 中给出了 UDP 报文格式。可以看出， UDP 是一种固定格式的协议，其头部共 64bit ，包含 4 个等长的部分，分别表示原端口号、目的端口号、 UDP 报
文段长度以及校验和。
图 7 UDP 协议格式