searchusermenu
  • 发布文章
  • 消息中心
点赞
收藏
评论
分享
原创

抓包看TCP序号和确认号变化规则

2023-08-14 02:28:13
73
0

    以浏览器访问网页为例,观察浏览网页过程中建立tcp三次握手,传输数据,最后四次挥手过程中的TCP的序号和确认号的变化规则,从而理解序号和确认号的含义。 抓包工具还是wireshark。

   首先开始抓包,然后打开浏览器,随便访问一些网页或者打开图片,然后关闭浏览器,之后停止抓包。过滤tcp流:

 

 

 

这样一个建立会话,传输数据,关闭会话的完整过程就都被抓了下来。

 

 

我们清晰的看到前三个数据包是三次握手,后面四个是挥手关闭。中间的是传输数据的过程。

这样看序列号和确认号的变化规律不是很友好,我们可以用wireshark的统计功能查看tcp会话详细过程:

 

注意选择“限制显示过滤器”和流类型为tcp,结果瞬间就清晰了

 

 

下面我们就分析一下序列号和确认号的变化规律。

首先wireshark显示的序列号是一个相对值,理论上这个值是一个四个字节的数据,总共有32位,那就是

0和4,294,967,295之间的任意值。

 

 

 

但是我们是为了分析ackseq的变化规则,所以用相对值就很方便。

先说结论,abtcp报文,确认号seq代表我发送这个报文的顺序或者位置(之前发送了多少的数据),ack确认号的意思是,我之前收到b给我发送的数据量。

听不懂没关系,我们看一下实际的通信过程。

左边172.16.189.53是客户端,右边221.194.182.35是服务端。首先看三次握手:

 

 

第一个SYN:客户端给服务端发第一个包,seq默认是00代表是第一个包。

第二个SYN+ACK:服务端给客户端回包seq也是0,是因为这也是服务端给客户端发的第一个包。Ack=1说明,服务端收到了客户端发的第一个包。

第三个ACKseq=1说明这是客户端给服务端发的第二个包,ack=1说明收到了服务端给客户端发的包。

 

接下来就是数据传输了,这时候会传输真实大小的数据,seqack变化就会不太一样:

 

第一个包:大小为517seq依然为1,是因为之前没有真实的发送过数据。ACK1因为到目前位置从服务端收到的数据仅仅为之前的SYN+ACK

也就是说单纯的ack数据包是不会对seqack的变化产生影响的。

 

第二个包:服务端回的ackSeq=1因为这是服务端发送的第二个有有意义的包(0+1),ack=518517+1)说明到目前为止收到了客户端发来了518大小的数据。

第三个包:服务端回的ack,长度1412Seq=1,还是因为这是服务端发的第二个有意义的包,ack=518说明到目前为止收到了客户发来了518大小的数据

第四个包:客户端回ack,长度1412Seq=1413,为上一个数据包的seq加上上一个数据包的长度(1+1412),ack518说明目前为止收到了客户发来了518大小的数据。

第五个:PSH+ACK,长度1272Seq=2825.上一个数据包的seq加上一个数据包长度(1413+1412),ack=518说明到目前为止收到了客户发来了518大小的数据。

第六个:客户端发的ackSeq=518,上一个数据包(也就是图上的第一个包)的seq加上这个包的长度(1+517),ack=4097说明到目前位置收到的数据长度为40971+1412+1412+1272

 

后面数据交互的序列号和确认号的变化规律也是这么变化的。

下面看四次挥手;

 

第一个包,客户端发FIN请求关闭会话。Seq=809说明之前发送了809字节数据量。ack说明之前收到了5003字节的数据量。

第二个包,服务端回复ackseq说明之前发送了5003的数据量,ack=810说明之前收到了810字节的数据(上一个包seq=809+1

第三个包seq没变还是5003,因为第二个包是个单纯 ack,不算发送实际意义的数据。

第四个包客户端发ackseq=810,是在第一个包的seq=809基础上+1ack=5004是在第三个包seq=5003基础上+1

 

总结:

序列号的变化是上一个数据包再加上这个数据包的数据长度;如果上一个数据包不传数据,只是建立连接或者关闭连接,那么序列号seq只是加1;如果数据包只是回复对端的ack,那么序列号不变

确认号是告诉对面到目前本端收到了多少数据量,同样的,单纯的ack不算做数据量

0条评论
0 / 1000
z****n
2文章数
0粉丝数
z****n
2 文章 | 0 粉丝
z****n
2文章数
0粉丝数
z****n
2 文章 | 0 粉丝
原创

抓包看TCP序号和确认号变化规则

2023-08-14 02:28:13
73
0

    以浏览器访问网页为例,观察浏览网页过程中建立tcp三次握手,传输数据,最后四次挥手过程中的TCP的序号和确认号的变化规则,从而理解序号和确认号的含义。 抓包工具还是wireshark。

   首先开始抓包,然后打开浏览器,随便访问一些网页或者打开图片,然后关闭浏览器,之后停止抓包。过滤tcp流:

 

 

 

这样一个建立会话,传输数据,关闭会话的完整过程就都被抓了下来。

 

 

我们清晰的看到前三个数据包是三次握手,后面四个是挥手关闭。中间的是传输数据的过程。

这样看序列号和确认号的变化规律不是很友好,我们可以用wireshark的统计功能查看tcp会话详细过程:

 

注意选择“限制显示过滤器”和流类型为tcp,结果瞬间就清晰了

 

 

下面我们就分析一下序列号和确认号的变化规律。

首先wireshark显示的序列号是一个相对值,理论上这个值是一个四个字节的数据,总共有32位,那就是

0和4,294,967,295之间的任意值。

 

 

 

但是我们是为了分析ackseq的变化规则,所以用相对值就很方便。

先说结论,abtcp报文,确认号seq代表我发送这个报文的顺序或者位置(之前发送了多少的数据),ack确认号的意思是,我之前收到b给我发送的数据量。

听不懂没关系,我们看一下实际的通信过程。

左边172.16.189.53是客户端,右边221.194.182.35是服务端。首先看三次握手:

 

 

第一个SYN:客户端给服务端发第一个包,seq默认是00代表是第一个包。

第二个SYN+ACK:服务端给客户端回包seq也是0,是因为这也是服务端给客户端发的第一个包。Ack=1说明,服务端收到了客户端发的第一个包。

第三个ACKseq=1说明这是客户端给服务端发的第二个包,ack=1说明收到了服务端给客户端发的包。

 

接下来就是数据传输了,这时候会传输真实大小的数据,seqack变化就会不太一样:

 

第一个包:大小为517seq依然为1,是因为之前没有真实的发送过数据。ACK1因为到目前位置从服务端收到的数据仅仅为之前的SYN+ACK

也就是说单纯的ack数据包是不会对seqack的变化产生影响的。

 

第二个包:服务端回的ackSeq=1因为这是服务端发送的第二个有有意义的包(0+1),ack=518517+1)说明到目前为止收到了客户端发来了518大小的数据。

第三个包:服务端回的ack,长度1412Seq=1,还是因为这是服务端发的第二个有意义的包,ack=518说明到目前为止收到了客户发来了518大小的数据

第四个包:客户端回ack,长度1412Seq=1413,为上一个数据包的seq加上上一个数据包的长度(1+1412),ack518说明目前为止收到了客户发来了518大小的数据。

第五个:PSH+ACK,长度1272Seq=2825.上一个数据包的seq加上一个数据包长度(1413+1412),ack=518说明到目前为止收到了客户发来了518大小的数据。

第六个:客户端发的ackSeq=518,上一个数据包(也就是图上的第一个包)的seq加上这个包的长度(1+517),ack=4097说明到目前位置收到的数据长度为40971+1412+1412+1272

 

后面数据交互的序列号和确认号的变化规律也是这么变化的。

下面看四次挥手;

 

第一个包,客户端发FIN请求关闭会话。Seq=809说明之前发送了809字节数据量。ack说明之前收到了5003字节的数据量。

第二个包,服务端回复ackseq说明之前发送了5003的数据量,ack=810说明之前收到了810字节的数据(上一个包seq=809+1

第三个包seq没变还是5003,因为第二个包是个单纯 ack,不算发送实际意义的数据。

第四个包客户端发ackseq=810,是在第一个包的seq=809基础上+1ack=5004是在第三个包seq=5003基础上+1

 

总结:

序列号的变化是上一个数据包再加上这个数据包的数据长度;如果上一个数据包不传数据,只是建立连接或者关闭连接,那么序列号seq只是加1;如果数据包只是回复对端的ack,那么序列号不变

确认号是告诉对面到目前本端收到了多少数据量,同样的,单纯的ack不算做数据量

文章来自个人专栏
TCP/IP
2 文章 | 1 订阅
0条评论
0 / 1000
请输入你的评论
0
0