Linux系統(tǒng)如何使用tcpdump命令(3)

　　TCP 數(shù)據(jù)包

　�。ㄗ⒁猓阂韵聦�會假定你對 RFC-793所描述的TCP熟悉。 如果不熟， 以下描述以及tcpdump程序可能對你幫助不大。

　　通常tcpdump對tcp數(shù)據(jù)包的顯示格式如下：

　　src 》 dst： flags data-seqno ack window urgent options

　　src 和 dst 是源和目的IP地址以及相應(yīng)的端口。 flags 標(biāo)志由S（SYN）， F（FIN）， P（PUSH， R（RST），

　　W（ECN CWT（nt | rep：未知， 需補(bǔ)充））或者 E（ECN-Echo（nt | rep：未知，　需補(bǔ)充））組成，

　　單獨(dú)一個(gè)’。‘表示沒有flags標(biāo)識。 數(shù)據(jù)段順序號（Data-seqno）描述了此包中數(shù)據(jù)所對應(yīng)序列號空間中的一個(gè)位置（nt：整個(gè)數(shù)據(jù)被分段，

　　每段有一個(gè)順序號， 所有的順序號構(gòu)成一個(gè)序列號空間）（可參考以下例子）。 Ack 描述的是同一個(gè)連接，同一個(gè)方向，下一個(gè)本端應(yīng)該接收的

　�。▽Ψ綉�(yīng)該發(fā)送的）數(shù)據(jù)片段的順序號。 Window是本端可用的數(shù)據(jù)接收緩沖區(qū)的大�。ㄒ彩菍Ψ桨l(fā)送數(shù)據(jù)時(shí)需根據(jù)這個(gè)大小來組織數(shù)據(jù)）。

　　Urg（urgent） 表示數(shù)據(jù)包中有緊急的數(shù)據(jù)。 options 描述了tcp的一些選項(xiàng)， 這些選項(xiàng)都用尖括號來表示（如 《mss 1024》）。

　　src， dst 和 flags 這三個(gè)域總是會被顯示。 其他域的顯示與否依賴于tcp協(xié)議頭里的信息。

　　這是一個(gè)從trsg到csam的一個(gè)rlogin應(yīng)用登錄的開始階段。

　　rtsg.1023 》 csam.login： S 768512:768512（0） win 4096 《mss 1024》

　　csam.login 》 rtsg.1023： S 947648:947648（0） ack 768513 win 4096 《mss 1024》

　　rtsg.1023 》 csam.login： 。 ack 1 win 4096

　　rtsg.1023 》 csam.login： P 1:2（1） ack 1 win 4096

　　csam.login 》 rtsg.1023： 。 ack 2 win 4096

　　rtsg.1023 》 csam.login： P 2:21（19） ack 1 win 4096

　　csam.login 》 rtsg.1023： P 1:2（1） ack 21 win 4077

　　csam.login 》 rtsg.1023： P 2:3（1） ack 21 win 4077 urg 1

　　csam.login 》 rtsg.1023： P 3:4（1） ack 21 win 4077 urg 1

　　第一行表示有一個(gè)數(shù)據(jù)包從rtsg主機(jī)的tcp端口1023發(fā)送到了csam主機(jī)的tcp端口login上（nt:udp協(xié)議的端口和tcp協(xié)議的端

　　口是分別的兩個(gè)空間， 雖然取值范圍一致）。 S表示設(shè)置了SYN標(biāo)志。 包的順序號是768512， 并且沒有包含數(shù)據(jù)。（表示格式

　　為：’first:last（nbytes）‘， 其含義是’此包中數(shù)據(jù)的順序號從first開始直到last結(jié)束，不包括last. 并且總共包含nbytes的

　　用戶數(shù)據(jù)‘。） 沒有捎帶應(yīng)答（nt：從下文來看，第二行才是有捎帶應(yīng)答的數(shù)據(jù)包）， 可用的接受窗口的大小為4096bytes， 并且請求端（rtsg）

　　的最大可接受的數(shù)據(jù)段大小是1024字節(jié)（nt：這個(gè)信息作為請求發(fā)向應(yīng)答端csam， 以便雙方進(jìn)一步的協(xié)商）。

　　Csam 向rtsg 回復(fù)了基本相同的SYN數(shù)據(jù)包， 其區(qū)別只是多了一個(gè)’ piggy-backed ack‘（nt：捎帶回的ack應(yīng)答， 針對rtsg的SYN數(shù)據(jù)包）。

　　rtsg 同樣針對csam的SYN數(shù)據(jù)包回復(fù)了一ACK數(shù)據(jù)包作為應(yīng)答。 ’。‘的含義就是此包中沒有標(biāo)志被設(shè)置。 由于此應(yīng)答包中不含有數(shù)據(jù)， 所以

　　包中也沒有數(shù)據(jù)段序列號。 提醒！ 此ACK數(shù)據(jù)包的順序號只是一個(gè)小整數(shù)1. 有如下解釋：tcpdump對于一個(gè)tcp連接上的會話， 只打印會話兩端的

　　初始數(shù)據(jù)包的序列號，其后相應(yīng)數(shù)據(jù)包只打印出與初始包序列號的差異。即初始序列號之后的序列號，　可被看作此會話上當(dāng)前所傳數(shù)據(jù)片段在整個(gè)

　　要傳輸?shù)臄?shù)據(jù)中的’相對字節(jié)‘位置（nt：雙方的第一個(gè)位置都是1， 即’相對字節(jié)‘的開始編號）�！�’-Ｓ‘將覆蓋這個(gè)功能，

　　使數(shù)據(jù)包的原始順序號被打印出來。

　　第六行的含義為：rtsg 向 csam發(fā)送了19字節(jié)的數(shù)據(jù)（字節(jié)的編號為2到20，傳送方向?yàn)閞tsg到csam）。 包中設(shè)置了PUSH標(biāo)志。 在第7行，

　　csam 喊到， 她已經(jīng)從rtsg中收到了21以下的字節(jié)， 但不包括21編號的字節(jié)。 這些字節(jié)存放在csam的socket的接收緩沖中， 相應(yīng)地，

　　csam的接收緩沖窗口大小會減少19字節(jié)（nt：可以從第5行和第7行win屬性值的變化看出來）。 csam在第7行這個(gè)包中也向rtsg發(fā)送了一個(gè)

　　字節(jié)。 在第8行和第9行， csam 繼續(xù)向rtsg 分別發(fā)送了兩個(gè)只包含一個(gè)字節(jié)的數(shù)據(jù)包， 并且這個(gè)數(shù)據(jù)包帶PUSH標(biāo)志。

　　如果所抓到的tcp包（nt：即這里的snapshot）太小了，以至tcpdump無法完整得到其頭部數(shù)據(jù)， 這時(shí)， tcpdump會盡量解析這個(gè)不完整的頭，

　　并把剩下不能解析的部分顯示為’［|tcp］‘。 如果頭部含有虛假的屬性信息（比如其長度屬性其實(shí)比頭部實(shí)際長度長或短）， tcpdump會為該頭部

　　顯示’［bad opt］‘。 如果頭部的長度告訴我們某些選項(xiàng)（nt | rt：從下文來看， 指tcp包的頭部中針對ip包的一些選項(xiàng)， 回頭再翻）會在此包中，

　　而真正的IP（數(shù)據(jù)包的長度又不夠容納這些選項(xiàng)， tcpdump會顯示’［bad hdr length］‘。

　　抓取帶有特殊標(biāo)志的的TCP包（如SYN-ACK標(biāo)志， URG-ACK標(biāo)志等）。

　　在TCP的頭部中， 有8比特（bit）用作控制位區(qū)域， 其取值為：

　　CWR | ECE | URG | ACK | PSH | RST | SYN | FIN

　�。╪t | rt：從表達(dá)方式上可推斷：這8個(gè)位是用或的方式來組合的， 可回頭再翻）

　　現(xiàn)假設(shè)我們想要監(jiān)控建立一個(gè)TCP連接整個(gè)過程中所產(chǎn)生的數(shù)據(jù)包。 可回憶如下：TCP使用3次握手協(xié)議來建立一個(gè)新的連接; 其與此三次握手

　　連接順序?qū)��?yīng)，并帶有相應(yīng)TCP控制標(biāo)志的數(shù)據(jù)包如下：

　　1） 連接發(fā)起方（nt:Caller）發(fā)送SYN標(biāo)志的數(shù)據(jù)包

　　2） 接收方（nt:Recipient）用帶有SYN和ACK標(biāo)志的數(shù)據(jù)包進(jìn)行回應(yīng)

　　3） 發(fā)起方收到接收方回應(yīng)后再發(fā)送帶有ACK標(biāo)志的數(shù)據(jù)包進(jìn)行回應(yīng)

　　0 15 31

　　-----------------------------------------------------------------

　　| source port | destination port |

　　-----------------------------------------------------------------

　　| sequence number |

　　-----------------------------------------------------------------

　　| acknowledgment number |

　　-----------------------------------------------------------------

　　| HL | rsvd |C|E|U|A|P|R|S|F| window size |

　　-----------------------------------------------------------------

　　| TCP checksum | urgent pointer |

　　-----------------------------------------------------------------

　　一個(gè)TCP頭部，在不包含選項(xiàng)數(shù)據(jù)的情況下通常占用20個(gè)字節(jié)（nt | rt:options 理解為選項(xiàng)數(shù)據(jù)，需回譯）。 第一行包含0到3編號的字節(jié)，

　　第二行包含編號4-7的字節(jié)。

　　如果編號從0開始算， TCP控制標(biāo)志位于13字節(jié)（nt：第四行左半部分）。

　　0 7| 15| 23| 31

　　----------------|---------------|---------------|----------------

　　| HL | rsvd |C|E|U|A|P|R|S|F| window size |

　　----------------|---------------|---------------|----------------

　　| | 13th octet | | |

　　讓我們仔細(xì)看看編號13的字節(jié)：

　　| |

　　|---------------|

　　|C|E|U|A|P|R|S|F|

　　|---------------|

　　|7 5 3 0|

　　這里有我們感興趣的控制標(biāo)志位。 從右往左這些位被依次編號為0到7， 從而 PSH位在3號， 而URG位在5號。