网络攻防技术综合实训-课件 第1章 基于Wireshark的TCP协议分析实验

第一章基于Wireshark的TCP协议分析实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5Wireshark是开源的网络协议分析工具，被广泛誉为“网络世界的显微镜”。它能捕获并深度解析网络中的数据包，帮助用户理解流量行为、诊断故障、分析安全威胁。Wireshark基础Wireshark基础传输控制协议（TCP,TransmissionControlProtocol）是一种面向连接的、可靠的、基于字节流的传输层通信协议，由IETF的RFC793定义。TCP旨在适应支持多网络应用的分层协议层次结构，互连的计算机通信网络中成对的应用程序进程之间能够依靠TCP提供可靠的通信服务来传输字节流。TCP协议简介TCP协议简介‌第一次握手‌：客户端向服务器发送一个SYN报文（SEQ=x，SYN=1），表示客户端希望建立连接，并进入SYN_SEND状态，等待服务器的确认。此时，客户端的TCP连接处于半开状态，因为它已经发送了连接请求，但还没有收到服务器的回应。三次握手三次握手第二次握手‌：服务器收到客户端的SYN报文后，会回应一个SYN+ACK报文（SEQ=y，ACK=x+1），表示服务器同意建立连接，并对客户端的SYN报文进行了确认。此时，服务器进入SYN_RECV状态，等待客户端的确认。服务器发送的SYN报文实际上是它自己的连接请求，而ACK报文则是对客户端SYN报文的确认。‌‌第三次握手‌：客户端收到服务器的SYN+ACK报文后，会向服务器发送一个ACK报文（ACK=y+1），表示对服务器SYN报文的确认。此时，客户端和服务器都进入了ESTABLISHED状态，表示TCP连接已经成功建立，可以开始传输数据了。三次握手‌‌第一次挥手‌：客户端发送一个FIN包给服务端，表示希望关闭连接，不再发送数据。此时，客户端进入FIN_WAIT_1状态。‌第二次挥手‌：服务端收到客户端的FIN包后，回复一个ACK包，表示已经收到了客户端的关闭请求，但此时服务端可能还有数据需要发送给客户端，因此不会立即关闭连接。此时，服务端进入CLOSE_WAIT状态。四次挥手第三次挥手‌：当服务端完成所有数据的发送后，也发送一个FIN包给客户端，表示希望关闭连接。此时，服务端进入LAST_ACK状态。‌第四次挥手‌：客户端收到服务端的FIN包后，回复一个ACK包，表示已经收到了服务端的关闭请求，并同意关闭连接。此时，客户端进入TIME_WAIT状态，等待一段时间（通常是2倍的最长报文段寿命MSL）后，确保所有的数据都已经被对方接收并处理完毕，才最终关闭连接。四次挥手内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5通过Wireshark工具分析典型网络协议数据包，理解TCP协议格式和工作过程，为后续学习打下基础。实验目的内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）安装Wireshark，熟悉功能菜单。（2）通过HTTP和HTTPS访问目标网站（如学校门户网站），登录邮箱等操作。用Wireshark捕获操作过程中产生的各层协议数据包（要求至少包括IP协议、ICMP协议、TCP协议、UDP协议、HTTP协议），观察数据包格式（特别是协议数据包首部字段值），重点分析TCP协议的三次握手和四次挥手过程。实验内容和环境（3）实验用机的操作系统为Windows。（4）最新版本的Wireshark软件详见其官网。（5）访问的目标网站可由教师指定，邮箱可用自己的邮箱。实验内容和环境内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）教师指定访问目标，此案例通过访问如下博客来分析TCP三次握手和四次挥手过程。我们使用ping命令获取该站点的IP地址，如图1-1所示。实验步骤图1-1ping目标网址界面2.精准抓包。打开wireshark，通过已经知道的IP地址以及TCP协议，输入命令进行抓包：ip.addr==56andtcp.port==64530，如图1-2所示。实验步骤实验步骤图1-2数据报捕获界面（3）TCP的三次握手过程分析①第一次握手分析根据图1-3所示，第一次握手是客户端主动连接服务端，正如传输协议里所说的Seq=0（Seq是序列号）表示初次连接，Ack=0(Ack是确认码，ACK是确认标志)，初次连接是0，同时还发送了一个标志位，SYN=1，表示客户端请求建立连接。实验步骤实验步骤图1-3第一次握手TCP包信息②第二次握手分析我们通过分析SourceIP和DestinationIP发现服务端对客户端的确认信息，初次连接为Seq=0，Ack=1（上一次客户端的序列号+1）。此时的标志位SYN=1和ACK=1，表明这是一个确认的回馈连接，如图1-4所示。实验步骤实验步骤图1-4第二次握手TCP包信息③第三次握手分析第三次握手是客户端对服务端的反馈，Seq=1，因为是客户端的第二次交互，Ack=1(上一次服务端连接的序列号+1)，此时标志位ACK=1表示确认收到了连接回复。至此，三次握手就建立连接完毕，接下里就是进行http请求的数据传输和应答过程。实验步骤实验步骤图1-5第三次握手TCP包信息4.TCP的四次挥手过程①第一次挥手服务端对客户端发送连接关闭请求，用来关闭客户端到服务端的数据传送，标志位FIN=1，ACK=1，表示发送要断开数据传送的状态，进入FIN-WAIT-1状态Seq=1和Ack=1，如图1-6所示。实验步骤实验步骤图1-6第一次挥手TCP包信息②第二次挥手根据图1-7所示，客户端收到服务端的连接关闭信息FIN后，发送ACK确认报文，进入CLOSE-WAIT状态。实验步骤实验步骤图1-7第二次挥手TCP包信息③第三次挥手此时依旧是客户端发包，发出FIN，表示客户端也准备关闭请求，用来断开客户端到服务端的数据传送，进入LAST-ACK状态，如图1-8所示。实验步骤实验步骤图1-8第三次挥手TCP包信息④第四次挥手服务端收到客户端的FIN后，发送ACK确认报文，进入TIME-WAIT状态，服务器等待两个最长报文段寿命后进入Close状态。客户端收到确认后，立即进入Close状态。至此，四次挥手完成，如图1-9所示。实验步骤实验步骤图1-9第四次挥手TCP包信息内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5通过本次实验，读者能够深入了解TCP建立与关闭过程。T