tcp协议.pptVIP

TCP 协议分析 Tcp协议 特点： 1.TCP是一种面向连接的、可靠的运输层协议 2.每一条TCP连接只能有两个端点，而且只能是点对点的； 3.TCP提供双工通信； 4.面向字节流（tcp不在字节流中插入标识符每次都是固定的）； 5.TCP协议建立在不可靠的网络层IP协议之，IP不能提供任何可靠性机制，TCP的可靠性完全由自己实现； 6.TCP采用的最基本的可靠性技术是： 确认与超时重传;流量控制。 TCP通过下列方式提供可靠性 TCP功能 1.提供计算机程序间连接 2.检测和丢弃重复的分组 3.完成数据报的确认 4.流量控制和网络拥塞 TCP数据报报头 发送和接收方TCP实体以数据报的形式交换数据。一个数据报包含一个固定的20字节的头、一个可选部分以及0或多字节的数据。对数据报的大小有两个限制条件：首先，每个数据报（包括TCP头在内）必须适合IP的载荷能；其次，每个网络都存在最大传输单元MTU（maximum transfer unit），要求每个数据报必须适合MTU。如果一个数据报进入了一个MTU小于该数据报长度的网络，那么处于网络边界上的路由器会把该数据报分解为多个小的数据报。 TCP必须与低层的IP和高层的应用程序进行通信。TCP还必须通过网络与其他TCP软件进行通信。为此，它使用了协议数据单元（PDU），在TCP用语中称为分段（通常称为TCP报头）。 标志位的解析 SYN：同步序号 FIN：带有该标志置位的数据包用来结束一个TCP回话，但对应端口仍处于开放状态，准备接收后续数。 服务端处于监听状态 RST：用于复位由于主机崩溃或其它原因而出现的错误的连接。还可以用于拒绝非法的数据报或拒绝连接请求。 PSH：该标志置位时，接收端不将该数据进行队列处理，而是尽可能快将数据转由应用处理 以上四个标志比特都置0 ACK：TCP首部中的确认标志，对已接受到的TCP报文进行确认 URG:紧急标志 ●源端口、目的端口：16位长。标识出远端和本地的端口号。●顺序号：32位长。表明了发送的数据报的顺序。也可以用来表示传送了多少字节流。 ●确认号：32位长。希望收到的下一个数据报的序列号。● TCP头长：4位长。表明TCP头中包含多少个32位字。接下来的6位未用。●窗口大小：16位长。窗口大小字段表示在确认了字节之后还可以发送多少个字节。●校验和：16位长。是为了确保高可靠性而设置的。它校验头部、数据和伪TCP头部之和。●优先指针（紧急,Urgent Pointer）：16位，指向后面是优先数据的字节，在URG标志设置了时才有效。如果URG标志没有被设置，紧急域作为填充。加快处理标示为紧急的数据段。  ●可选项：0个或多个32位字。包括最大TCP载荷，窗口比例、选择重发数据报等选项 三次握手-基本原理 建设一个小型的模仿环境假设有3台接入互联网的机器。A为攻击者操纵的攻击机。B为中介跳板机器（受信任的服务器）。C为受害者使用的机器（多是服务器），这里把C机器锁定为目标机器。A机器向B机器发送SYN包，请求建立连接，这时已经响应请求的B机器会向A机器回应SYN/ACK表明同意建立连接，当A机器接受到B机器发送的SYN/ACK回应时，发送应答ACK建立A机器与B机器的网络连接。这样一个两台机器之间的TCP通话信道就建立成功了。 B终端受信任的服务器向C机器发起TCP连接，A机器对服务器发起SYN信息，使C机器不能响应B机器。在同时A机器也向B机器发送虚假的C机器回应的SYN数据包，接收到SYN数据包的B机器（被C机器信任）开始发送应答连接建立的SYN/ACK数据包，这时C机器正在忙于响应以前发送的SYN数据而无暇回应B机器，而A机器的攻击者预测出B机器包的序列号（现在的TCP序列号预测难度有所加大）假冒C机器向B机器发送应答ACK这时攻击者骗取B机器的信任，假冒C机器与B机器建立起TCP协议的对话连接。这个时候的C机器还是在响应攻击者A机器发送的SYN数据。 TCP三次握手分析 序号的选择 另外一些概念 未连接队列：在三次握手协议中，服务器维护一个未连接队列，该队列为每个客户端的SYN包（syn=j）开设一个条目，该条目表明服务器已收到SYN包，并向客户发出确认，正在等待客户的确认包。这些条目所标识的连接在服务器处于 Syn_RECV状态，当服务器收到客户的确认包时，删除该条，服务器进入ESTABLISHED状态。 Backlog参数：表示未连接队列的最大容纳数目。SYN-ACK重传次数服务器发送完SYN－ACK包，如果未收到客户确认包，服务器进行首次重传，等待一段时间仍未收到客户确认包，进行第二次重传，如果重传次数超过系统规定的最大重传次，系统将该连接信息从半连