Linux系統(tǒng)如何使用tcpdump命令(3)

　　TCP 數(shù)據(jù)包

　　（注意：以下將會假定你對 RFC-793所描述的TCP熟悉。 如果不熟， 以下描述以及tcpdump程序可能對你幫助不大。

　　通常tcpdump對tcp數(shù)據(jù)包的顯示格式如下：

　　src 》 dst： flags data-seqno ack window urgent options

　　src 和 dst 是源和目的IP地址以及相應的端口。 flags 標志由S（SYN）， F（FIN）， P（PUSH， R（RST），

　　W（ECN CWT（nt | rep：未知， 需補充））或者 E（ECN-Echo（nt | rep：未知，　需補充））組成，

　　單獨一個’。‘表示沒有flags標識。 數(shù)據(jù)段順序號（Data-seqno）描述了此包中數(shù)據(jù)所對應序列號空間中的一個位置（nt：整個數(shù)據(jù)被分段，

　　每段有一個順序號， 所有的順序號構成一個序列號空間）（可參考以下例子）。 Ack 描述的是同一個連接，同一個方向，下一個本端應該接收的

　�。▽Ψ綉�該發(fā)送的）數(shù)據(jù)片段的順序號。 Window是本端可用的數(shù)據(jù)接收緩沖區(qū)的大�。ㄒ彩菍Ψ桨l(fā)送數(shù)據(jù)時需根據(jù)這個大小來組織數(shù)據(jù)）。

　　Urg（urgent） 表示數(shù)據(jù)包中有緊急的數(shù)據(jù)。 options 描述了tcp的一些選項， 這些選項都用尖括號來表示（如 《mss 1024》）。

　　src， dst 和 flags 這三個域總是會被顯示。 其他域的顯示與否依賴于tcp協(xié)議頭里的信息。

　　這是一個從trsg到csam的一個rlogin應用登錄的開始階段。

　　rtsg.1023 》 csam.login： S 768512:768512（0） win 4096 《mss 1024》

　　csam.login 》 rtsg.1023： S 947648:947648（0） ack 768513 win 4096 《mss 1024》

　　rtsg.1023 》 csam.login： 。 ack 1 win 4096

　　rtsg.1023 》 csam.login： P 1:2（1） ack 1 win 4096

　　csam.login 》 rtsg.1023： 。 ack 2 win 4096

　　rtsg.1023 》 csam.login： P 2:21（19） ack 1 win 4096

　　csam.login 》 rtsg.1023： P 1:2（1） ack 21 win 4077

　　csam.login 》 rtsg.1023： P 2:3（1） ack 21 win 4077 urg 1

　　csam.login 》 rtsg.1023： P 3:4（1） ack 21 win 4077 urg 1

　　第一行表示有一個數(shù)據(jù)包從rtsg主機的tcp端口1023發(fā)送到了csam主機的tcp端口login上（nt:udp協(xié)議的端口和tcp協(xié)議的端

　　口是分別的兩個空間， 雖然取值范圍一致）。 S表示設置了SYN標志。 包的順序號是768512， 并且沒有包含數(shù)據(jù)。（表示格式

　　為：’first:last（nbytes）‘， 其含義是’此包中數(shù)據(jù)的順序號從first開始直到last結束，不包括last. 并且總共包含nbytes的

　　用戶數(shù)據(jù)‘。） 沒有捎帶應答（nt：從下文來看，第二行才是有捎帶應答的數(shù)據(jù)包）， 可用的接受窗口的大小為4096bytes， 并且請求端（rtsg）

　　的最大可接受的數(shù)據(jù)段大小是1024字節(jié)（nt：這個信息作為請求發(fā)向應答端csam， 以便雙方進一步的協(xié)商）。

　　Csam 向rtsg 回復了基本相同的SYN數(shù)據(jù)包， 其區(qū)別只是多了一個’ piggy-backed ack‘（nt：捎帶回的ack應答， 針對rtsg的SYN數(shù)據(jù)包）。

　　rtsg 同樣針對csam的SYN數(shù)據(jù)包回復了一ACK數(shù)據(jù)包作為應答。 ’。‘的含義就是此包中沒有標志被設置。 由于此應答包中不含有數(shù)據(jù)， 所以

　　包中也沒有數(shù)據(jù)段序列號。 提醒！ 此ACK數(shù)據(jù)包的順序號只是一個小整數(shù)1. 有如下解釋：tcpdump對于一個tcp連接上的會話， 只打印會話兩端的

　　初始數(shù)據(jù)包的序列號，其后相應數(shù)據(jù)包只打印出與初始包序列號的差異。即初始序列號之后的序列號，　可被看作此會話上當前所傳數(shù)據(jù)片段在整個

　　要傳輸?shù)臄?shù)據(jù)中的’相對字節(jié)‘位置（nt：雙方的第一個位置都是1， 即’相對字節(jié)‘的開始編號）。　’-Ｓ‘將覆蓋這個功能，

　　使數(shù)據(jù)包的原始順序號被打印出來。

　　第六行的含義為：rtsg 向 csam發(fā)送了19字節(jié)的數(shù)據(jù)（字節(jié)的編號為2到20，傳送方向為rtsg到csam）。 包中設置了PUSH標志。 在第7行，

　　csam 喊到， 她已經從rtsg中收到了21以下的字節(jié)， 但不包括21編號的字節(jié)。 這些字節(jié)存放在csam的socket的接收緩沖中， 相應地，

　　csam的接收緩沖窗口大小會減少19字節(jié)（nt：可以從第5行和第7行win屬性值的變化看出來）。 csam在第7行這個包中也向rtsg發(fā)送了一個

　　字節(jié)。 在第8行和第9行， csam 繼續(xù)向rtsg 分別發(fā)送了兩個只包含一個字節(jié)的數(shù)據(jù)包， 并且這個數(shù)據(jù)包帶PUSH標志。

　　如果所抓到的tcp包（nt：即這里的snapshot）太小了，以至tcpdump無法完整得到其頭部數(shù)據(jù)， 這時， tcpdump會盡量解析這個不完整的頭，

　　并把剩下不能解析的部分顯示為’［|tcp］‘。 如果頭部含有虛假的屬性信息（比如其長度屬性其實比頭部實際長度長或短）， tcpdump會為該頭部

　　顯示’［bad opt］‘。 如果頭部的長度告訴我們某些選項（nt | rt：從下文來看， 指tcp包的頭部中針對ip包的一些選項， 回頭再翻）會在此包中，

　　而真正的IP（數(shù)據(jù)包的長度又不夠容納這些選項， tcpdump會顯示’［bad hdr length］‘。

　　抓取帶有特殊標志的的TCP包（如SYN-ACK標志， URG-ACK標志等）。

　　在TCP的頭部中， 有8比特（bit）用作控制位區(qū)域， 其取值為：

　　CWR | ECE | URG | ACK | PSH | RST | SYN | FIN

　　（nt | rt：從表達方式上可推斷：這8個位是用或的方式來組合的， 可回頭再翻）

　　現(xiàn)假設我們想要監(jiān)控建立一個TCP連接整個過程中所產生的數(shù)據(jù)包。 可回憶如下：TCP使用3次握手協(xié)議來建立一個新的連接; 其與此三次握手

　　連接順序對應，并帶有相應TCP控制標志的數(shù)據(jù)包如下：

　　1） 連接發(fā)起方（nt:Caller）發(fā)送SYN標志的數(shù)據(jù)包

　　2） 接收方（nt:Recipient）用帶有SYN和ACK標志的數(shù)據(jù)包進行回應

　　3） 發(fā)起方收到接收方回應后再發(fā)送帶有ACK標志的數(shù)據(jù)包進行回應

　　0 15 31

　　-----------------------------------------------------------------

　　| source port | destination port |

　　-----------------------------------------------------------------

　　| sequence number |

　　-----------------------------------------------------------------

　　| acknowledgment number |

　　-----------------------------------------------------------------

　　| HL | rsvd |C|E|U|A|P|R|S|F| window size |

　　-----------------------------------------------------------------

　　| TCP checksum | urgent pointer |

　　-----------------------------------------------------------------

　　一個TCP頭部，在不包含選項數(shù)據(jù)的情況下通常占用20個字節(jié)（nt | rt:options 理解為選項數(shù)據(jù)，需回譯）。 第一行包含0到3編號的字節(jié)，

　　第二行包含編號4-7的字節(jié)。

　　如果編號從0開始算， TCP控制標志位于13字節(jié)（nt：第四行左半部分）。

　　0 7| 15| 23| 31

　　----------------|---------------|---------------|----------------

　　| HL | rsvd |C|E|U|A|P|R|S|F| window size |

　　----------------|---------------|---------------|----------------

　　| | 13th octet | | |

　　讓我們仔細看看編號13的字節(jié)：

　　| |

　　|---------------|

　　|C|E|U|A|P|R|S|F|

　　|---------------|

　　|7 5 3 0|

　　這里有我們感興趣的控制標志位。 從右往左這些位被依次編號為0到7， 從而 PSH位在3號， 而URG位在5號。