tcp三次握手与四次挥手

1、TCP三次握手四次挥手关键字:tcp三次握手四次挥手1.TCP握手协议(简单明了)在TCP/IP协议中，TCPB议提供可靠的连接服务，采用三次握手建立一个连接第一次握手：建立连接时，客户端发送syn包(syn=j)到服务器，并进入SYN_SEND态,等待服务器确认；第二次握手：服务器收到syn包，必须确认客户的SYN(ack=j+1),同时自己也发送一个SYNfe(syn=k),即SYN+AC包，此时服务器进入SYN_RECV态；第三次握手：客户端收到服务器的SYMACKfe，向服务器发送确认包ACK(ack=k+1),此包发送完毕，客户端和服务器进入ESTABLISHED态，完成三次握手。完

2、成三次握手，客户端与服务器开始传送数据，在上述过程中，还有一些重要的概念:未连接队列：在三次握手协议中，服务器维护一个未连接队列，该队列为每个客户端的SYN包(syn=j)开设一个条目，该条目表明服务器已收到SYN包，并向客户发出确认，正在等待客户的确认包。这些条目所标识的连接在服务器处丁Syn_RECVt态，当服务器收到客户的确认包时，删除该条目，服务器进入ESTABLISHED态。Backlog参数:表示未连接队列的最大容纳数目。SYN-ACKS传次数服务器发送完SYNACKfe,如果未收到客户确认包，服务器进行首次重传，等待一段时间仍未收到客户确认包，进行第二次重传，如果重传次数超过系统

3、规定的最大重传次数，系统将该连接信息从半连接队列中删除。注意，每次重传等待的时间不一定相同。半连接存活时间：是指半连接队列的条目存活的最长时间，也即服务从收到SYNfe到确认这个报文无效的最长时间，该时间值是所有重传请求包的最长等待时间总和。有时我们也称半连接存活时间为Timeout时间、SYN_RECV活时间。2.TCP握手协议（详细）TCP/IP是很多的不同的协议组成，实际上是一个协议组，TCP用户数据报表协议（也称作TCP传输控制协议，TransportControlProtocol。可靠的主机到主机层协议。这里要先强调一下，传输控制协议是OSI网络的第四层的叫法，TCP传输控制协议是T

4、CP/IP传输的6个基本协议的一种。两个TCP意思非相同。）。TCP是一种可靠的面向连接的传送服务。它在传送数据时是分段进行的，主机交换数据必须建立一个会话。它用比特流通信，即数据被作为无结构的字节流。通过每个TCP传输的字段指定顺序号，以获得可靠性。是在OSI参考模型中的第四层，TCP是使用IP的网问互联功能而提供可靠的数据传输，IP不停的把报文放到网络上，而TCW负责确信报文到达。在协同IP的操作中TCPW：握手过程、报文管理、流量控制、错误检测和处理（控制），可以根据一定的编号顺序对非正常顺序的报文给予从新排列顺序。关于TCP的RFC档有RFC793RFC791RFC1700在TCP话初

5、期，有所谓的“三握手”：对每次发送的数据量是怎样跟踪进行协商使数据段的发送和接收同步，根据所接收到的数据量而确定的数据确认数及数据发送、接收完毕后何时撤消联系，并建立虚连接。为了提供可靠的传送，TCP在发送新的数据之前，以特定的顺序将数据包的序号，并需要这些包传送给目标机之后的确认消息。TCP总是用来发送大批量的数据。当应用程序在收到数据后要做出确认时也要用到TCP由于TCPB要时刻跟踪，这需要额外开销，使得TCP的格式有些显得复杂。下面就让我们看一个TCP的经典案例，这是后来被称为MITNICK击中KEVIN开创了两种攻击技术：TCP会话劫持SYNFLOOD同步洪流）在这里我们讨论的时TCP

6、话劫持的问题先让我们明白TCP®立连接的基本简单的过程。为了建设一个小型的模仿环境我们假设有3台接入互联网的机器。A为攻击者操纵的攻击机。B为中介跳板机器（受信任的服务器）。C为受害者使用的机器（多是服务器），这里把C机器锁定为目标机器。A机器向B机器发送SYNfe,请求建立连接，这时已经响应请求的B机器会向A机器回应SYN/ACK明同意建立连接，当A机器接受到B机器发送的SYN/AC桐应时，发送应答ACKS立A机器与B机器的网络连接。这样一个两台机器之间的TCP®话信道就建立成功了。B终端受信任的服务器向C机器发起TCP®接，A机器对服务器发起SYN言息，使C机

7、器不能响应B机器。在同时A机器也向B机器发送虚假的C机器回应的SYNK据包，接收到SYNB据包的B机器（被C机器信任）开始发送应答连接建立的SYN/ACK据包，这时C机器正在忙于响应以前发送的SYN®据而无暇回应B机器，而A机器的攻击者预测出B机器包的序列号（现在的TCP序列号预测难度有所加大）假冒C机器向B机器发送应答ACK这时攻击者骗取B机器的信任，假冒C机器与B机器建立起TCPft、议的对话连接。这个时候的C机器还是在响应攻击者A机器发送的SYN&据。TCPtt、议栈的弱点：TCP!接的资源消耗，其中包括：数据包信息、条件状态、序列号等。通过故意不完成建立连接所需要的三

8、次握手过程，造成连接一方的资源耗尽。通过攻击者有意的不完成建立连接所需要的三次握手的全过程，从而造成了C机器的资源耗尽。序列号的可预测性，目标主机应答连接请求时返回的SYN/ACK勺序列号时可预测的。（早期TC呦议栈，具体的可以参见1981年出的关于TCP形的RFC793S：档）TCP头结构TCPft、议头最少20个字节，包括以下的区域（由于翻译不禁相同，文章中给出相应的英文单词）：IP地TCP®端口（SourcePort）:16位的源端口其中包含初始化通信的端口。源端口和源址的作用是标示报问的返回地址。TCP目的端口(Destinationport):16位的目的端口域定义传输的目

9、的。这个端口指明报文接收计算机上的应用程序地址接口。TCP序列号(序列码.SequenceNumber)：32位的序列号由接收端计算机使用，重新分段的报文成最初形式。当SY州现，序列码实际上是初始序列码(ISN),而第一个数据字节是ISN+1。这个序列号(序列码)是可以补偿传输中的不一致。TCP应答号(AcknowledgmentNumber):32位的序歹U号由接收端计算机使用，重组分段的报文成最初形式。，如果设置了ACK空制位，这个值表示一个准备接收的包的序列码。数据偏移量(HLEN):4位包括TCP头大小，指示何处数据开始保留(Reserved):6位值域，这些位必须是0。为了将来定义新

10、的用途所保留标志(CodeBits):6位标志域。表示为：紧急标志、有意义的应答标志、推、重置连接标志、同步序列号标志、完成发送数据标志。按照顺序排列是：URGACKPSHRSTSYNFIN。窗口(Window):16位，用来表示想收到的每个TCP数据段的大小校验位(Checksum)：16位TCP头。源机器基于数据内容计算一个数值，收信息机要与源机器数值结果完全一样，从而证明数据的有效性。优先指针(紧急.UrgentPointer):16位，指向后面是优先数据的字节，在URGS志设置了时才有效。如果UR叩志没有被设置，紧急域作为填充。加快处理标示为紧急的数据段。选项(Option):长度不定

11、，但长度必须以字节。如果没有选项就表示这个一字节的域等于0。填充：不定长，填充的内容必须为0,它是为了数学目的而存在。目的是确保空间的可预测性。保证包头的结合和数据的开始处偏移量能够被32整除，一般额外的零以保证TCP头是32位的整数倍。标志控制功能URG紧急标志紧急(Theurgentpointer)标志有效。紧急标志置位，ACK确认标志确认编号(AcknowledgementNumber)栏有效。大多数情况下该标志位是置位的。TCP报头内的确认亦号栏内包含的确认编号(w+1,Figure:1)为下一个预期的序歹0编号，同时提示远端系统已经成功接收所有数据。PSH推标志该标志置位时，接收端不

12、将该数据进行队列处理，而是尽可能快将数据转由应用处理。在处理telnet或rlogin等交互模式的连接时，该标志总是置位的。RST复位标志复位标志有效。用于复位相应的TCR!接。SYN同步标志同步序歹0编号(SynchronizeSequenceNumbers)栏有效。该标志仅在三次握手建立TCR4接时有效。它提示TCP®接的服务端检查序列编号，该序列编号为TCPS接初始端(一般是客户端)的初始序列编号。在这里，可以把TCP序列编号看作是一个范围从0到4,294,在TCP967,295的32位计数器。通过TCP连接交换的数据中每一个字节都经过序列编号报头中的序列编号栏包括了TC吩段中

13、第一个字节的序列编号。FIN:结束标志带有该标志置位的数据包用来结束一个TCP回话，但对应端口仍处于开放状态，准备接收后续数据。服务端处于监听状态，客户端用于建立连接请求的数据包(IPpacket)按照TCP/IP协议堆栈组合成为TCP处理的分段(segment)。分析报头信息：TCP层接收到相应的TCP和IP报头，将这些信息存储到内存中检查TCP验和(checksum):标准的校验和位于分段之中(Figure:2)。如果检验失败，不返回确认，该分段丢弃，并等待客户端进行重传。查找协议控制块(PCB):TCP®找与该连接相关联的协议控制块。如果没有找到，TCP将该分段丢弃并返回RST

14、(这就是TCP处理没有端口监听情况下的机制)如果该协议控制块存在，但状态为关闭，服务端不调用connect()或listen()。该分段丢弃，但不返回RST客户端会尝试重新建立连接请求。建立新的socket:当处于监听状态的socket收到该分段时，会建立一个子socket,同时还有socket,tcpcb和pub建立。这时如果有错误发生，会通过标志位来拆除相应的socket和释放内存，TCP®接失败。如果缓存队列处于填满状态，TCPU为有错误发生，所有的后续连接请求会被拒绝。这里可以看出SYNFlood攻击是如何起作用的。丢弃：如果该分段中的标志为RS枫ACK或者没有SYNB志，则

15、该分段丢弃。并释放相应的内存。发送序列变量SND.UNA发送未确认SND.NXT:发送下一个SND.WND发送窗口SND.UP:发送优先指钉SND.WL1:用于最后窗口更新的段序列号SND.WL2:用于最后窗口更新的段确认号ISS:初始发送序列号接收序歹0号RCV.NXT:接收下一个RCV.WND接收下一个RCV.UP:接收优先指钉IRS:初始接收序列号当前段变量SEG.SEQ:段序列号SEG.ACK:段确认标记SEG.LEN:段长SEG.WND段窗口SEG.UP:段紧急指钉SEG.PRC:段优先级CLOSED!示没有连接，各个状态的意义如下:LISTEN:监听来自远方TCP®口的连

16、接请求SYN-SENT:在发送连接请求后等待匹配的连接请求。SYN-RECEIVED在收到和发送一个连接请求后等待对连接请求的确认。ESTABLISHED代表一个打开的连接，数据可以传送给用户FIN-WAIT-1:等待远程TCP的连接中断请求，或先前的连接中断请求的确认FIN-WAIT-2:从远程TCP待连接中断请求CLOSE-WAIT等待从本地用户发来的连接中断请求。CLOSING:等待远程TCP对连接中断的确认LAST-ACK:等待原来发向远程TCP的连接中断请求的确认TIME-WAIT:等待足够的时间以确保远程TCF®收到连接中断请求的确认CLOSED没有任何连接状态TCP®接过程是状态的转换，促使发生状态转换的是用户调用：OPENSENDRECEIVECLOSEABORT：STATUS传送过来的数据段，特别那些包括以下标记的数据段SYNACKRSTffiFIN。还有超时，上面所说的都会时TCP犬态发生变化。请注意，我们在TCP®接中发送的字节都有一个序列号。因为编了号，所以可以确认它们的收到。对序列号的确认是累积性的。TCP必须进行的序列号比较操作种类包括以下几种:决定一些发送了的但未确认的序歹0号决定所有的序列号都已经收到了决定下一个段中应该包括的序列号对于发送的数据TCP要接收确认，确认时必须进行的:SND.UNA=最老的确认了的序列号S