EduCoder 传输层协议分析

  • 关卡1: TCP 包基础
    • 了解 TCP 数据包结构及格式，以及其具体的含义。
  • 关卡2: 三次握手
    • 分析 TCP 的三次握手的具体过程。
  • 关卡3: 拥塞控制
    • 了解拥塞控制，掌握重传机制。
  • 关卡4: UDP 包分析
    • 能够掌握简单的 UDP 包分析。

0x01 TCP 包基础

0x0101 相关知识

为了完成本关任务，你需要掌握：

  1. 理解并掌握 TCP 报文段标记的具体含义；
  2. 在 Wireshark 抓包软件中分析 TCP 报文。

TCP 首部格式

预览大图

  • 源端口( 16 位)：通信发送方使用的端口号

  • 目标端口( 16 位)：通信接收方使用的端口号

  • 序列号( 32 位)：用来确保数据可靠传输的唯一值

  • 确认号( 32 位)：接收方在响应时发送的数值

  • 数据偏移( 4 位)：标志数据包开始的位置，TCP 头部的长度

  • 标记( 12 位/ 6 位)：
    SYN：(同步)发起连接的数据包：同步 SYN=1 表示这是一个连接请求或连接接受报文。
    ACK：(确认)确认收到的数据包：只有当 ACK=1 时，确认号字段才有效；当 ACK=0 时，确认号无效。
    RST：(重置)之前尝试的连接被关闭，(信号差，信号拥挤)：当 RST=1 时，表明 TCP 连接中出现严重差错（如由于主机崩溃或其他原因），必须释放连接，然后再重新建立运输连接。
    FIN：(结束)连接成功，传输完毕之后，连接正在断开：用来释放一个连接，FIN=1 表明此报文段的发送端的数据已发送完毕，并要求释放运输连接。
    PSH：(推送)数据包直接发送给应用，而不是缓存起来：接收 TCP 收到 PSH=1 的报文段，就尽快地交付接收应用进程，而不再等到整个缓存都填满了后再向上交付。
    URG：(紧急)数据包中承载的内容应该立即由 TCP 协议栈立即进行处理：当 URG=1 时，表明紧急指针字段有效。它告诉系统此报文段中有紧急数据，应尽快传送(相当于高优先级的数据)。
    CWR：(拥塞窗口减小)缓存区已满或者拥挤，通信双方都应该降低传输的速率。

  • 窗口大小( 16 位)：匹配缓存区的大小

  • 校验和( 16 位)：确认 TCP 数据段中的内容是否发送了变化

  • 紧急指针( 16 位)：明确显示数据之前的 16 进制序列号

其中，ACK 是可能与 SYN，FIN 等同时使用的，比如 SYN 和 ACK 可能同时为 1 ，它表示的就是建立连接之后的响应， 如果只是单个的一个 SYN ，它表示的只是建立连接。（ TCP 的几次握手就是通过这样的 ACK 表现出来的）， 但 SYN 与 FIN 是不会同时为 1 的，因为前者表示的是建立连接，而后者表示的是断开连接。RST 一般是在 FIN 之后才会出现为 1 的情况，表示的是连接重置。一般地，当出现 FIN 包或 RST 包时，我们便认为客户端与服务器端断开了连接；而当出现 SYN 和 SYN＋ACK 包时，我们认为客户端与服务器建立了一个连接。

0x0102 实验流程

（1）打开 Wireshark ，加载实训文件夹中的tcp-ethereal-trace-1文件，并筛选出其中的”TCP”报文；

在过滤器中输入tcp, 如下图所示:

image-20220412122917077

（2）展开TCP分组，查看本机使用的 IP 地址和 TCP 端口号是什么，填写到文件中；

本机所使用的IP地址和TCP端口分别如图所示:

image-20220412123118492

（3）gaia.cs.umass.edu（目标网站）的 IP 地址和 TCP 端口号是什么，填写到文件中。

先使用Terminal终端输入以下命令确认gaia.cs.umass.edu（目标网站）的IP地址:

1
ping gaia.cs.umass.edu

image-20220412123319094

得到其ip地址为: 128.119.245.12

和第一个(时序)TCP包的Dst IP地址一致, 所以gaia.cs.umass.edu（目标网站）的 IP 地址和 TCP 端口号如下所示:

image-20220412123508042

0x0103 最终结果

1
2
本机使用的IP地址和TCP端口号(用;隔开):192.168.1.102;1161
gaia.cs.umass.edu的IP地址和端口号(用;隔开):128.119.245.12;80

0x02 三次握手

0x0201 相关知识

为了完成本关任务，你需要掌握：

  1. 了解三次握手协议的内容；
  2. 在 Wireshark 中抓取 TCP 数据包。

三次握手建立连接

预览大图

  1. 第一次握手：客户端将标志位 SYN 置为 1 ，随机产生一个值SEQ = X，并将该数据包发送给服务器，客户机进入 SYN_SENT 状态，等待服务器确认；

  2. 第二次握手：服务器收到数据包后由标志位SYN = 1，知道客户端请求建立连接，服务器将标志位 SYN 和 ACK 都置为 1 ，ACK = X + 1，随机产生一个值SEQ = Y，并将该数据包发送给客户端以确认连接请求，服务器进入 SYN_RCVD 状态；

  3. 第三次握手：客户端收到确认后，检查 ACK 是否为X + 1，ACK 是否为 1 ，如果正确则将标志位 ACK 置为 1 ，ACK = Y + 1，并将该数据包发送给服务器，服务器检查 ACK 是否为K + 1，ACK 是否为 1 ，如果正确则连接建立成功，客户端和服务器进入 ESTABLISHED 状态。

握手过程中传送的包里不包含数据，三次握手完毕后，客户端与服务器才正式开始传送数据。理想状态下，TCP 连接一旦建立，在通信双方中的任何一方主动关闭连接之前，TCP 连接都将被一直保持下去。

四次握手断开连接

预览大图

  1. 第一次握手：主动关闭方发送一个 FIN ，用来关闭主动方到被动关闭方的数据传送，也就是主动关闭方告诉被动关闭方：我已经不会再给你发数据了(当然，在 FIN 包之前发送出去的数据，如果没有收到对应的 ACK 确认报文，主动关闭方依然会重发这些数据)，但此时主动关闭方还可以接受数据。
  2. 第二次握手：被动关闭方收到 FIN 包后，发送一个 ACK 给对方，确认序号为收到序号 + 1 (与 SYN 相同，一个 FIN 占用一个序号)。
  3. 第三次握手：被动关闭方发送一个 FIN ，用来关闭被动关闭方到主动关闭方的数据传送，也就是告诉主动关闭方，我的数据也发送完了，不会再给你发数据了。
  4. 第四次握手：主动关闭方收到 FIN 后，发送一个 ACK 给被动关闭方，确认序号为收到序号 + 1 ，至此，完成四次挥手。

0x0202 实验流程

（1）打开文件夹中tcp-ethereal-trace-1文件；

image-20220412125057849

（2）打开编辑 ( edit ) ->首选项 ( preferences )-> Protocols -> TCP ，取消勾选 Relative sequence numbers（相对序列号）;

image-20220412125245451

（3）第一次握手时， TCP SYN 区段的序列号（ SEQ ）是什么，填写到 txt 文件中；

如下图所示:

image-20220412132736548

第一次握手TCP SYN 区段的序列号（ SEQ ）= 232129012 .

（4）由三次握手协议，客户端首次回复中，ACK=SEQ+1，根据（3）中的 SEQ 号，用tcp.ack==SEQ+1（具体数字）命令筛选出相应数据报，查看gaia.cs.umass.edu 发送给客户端计算机回复的 SYN 的序列号（ SEQ ）是多少，填写到 txt 文件中；

由上一步可知seq = 232129012,

则seq + 1 = 232129013, 在过滤器中输入 tcp.ack == 232129013 即可筛选出gaia.cs.umass.edu 发送给客户端计算机回复的TCP包, 如下所示:

image-20220412133155228

可以得到回复的 SYN 的序列号（ SEQ ） = 883061785.

0x0203 最终结果

1
2
第一次握手，TCP SYN区段的序列号是：232129012
gaia.cs.umass.edu发送给客户端加算计以回复的SYN的序列号是：883061785

0x03 拥塞控制

0x0301 相关知识

为了完成本关任务，你需要掌握：

  1. 了解拥塞控制；
  2. 在 Wireshark 中抓取 TCP 数据包。

什么是拥塞

拥塞现象是指到达通信子网中某一部分的分组数量过多，使得该部分网络来不及处理，以致引起这部分乃至整个网络性能下降的现象，严重时甚至会导致网络通信业务陷入停顿，即出现死锁现象。这种现象跟公路网中经常所见的交通拥挤一样，当节假日公路网中车辆大量增加时，各种走向的车流相互干扰，使每辆车到达目的地的时间都相对增加（即延迟增加），甚至有时在某段公路上车辆因堵塞而无法开动（即发生局部死锁）。

造成拥塞的原因

  1. 多条流入线路有分组到达，并需要同一输出线路，此时，如果路由器没有足够的内存来存放所有这些分组，那么有的分组就会丢失；
  2. 路由器的慢带处理器的缘故，以至于难以完成必要的处理工作，如缓冲区排队、更新路由表等。

防止拥塞的方法

  1. 在传输层可采用重传策略、乱序缓存策略、确认策略、流控制策略和确定超时策略；
  2. 在网络层可采用子网内部的虚电路与数据报策略、分组排队和服务策略、分组丢弃策略、路由算法和分组生存管理；
  3. 在数据链路层可采用重传策略、乱序缓存策略、确认策略和流控制策略。

0x0302 实验流程

（1）打开 Wireshark，加载实训文件夹中的tcp-ethereal-trace-1文件；

image-20220412125057849

（2）使用命令ip.dst==128.119.245.12进行筛选；

如下图所示:

image-20220412135132694

（3）选中一条数据报，点击统计（ Statistic s）-> TCP 流图形->时间序列（ Stevens ），观察图形。判断此文件中是否有重传的区段（序列号一直增大则无，反之则有），填写到 txt 文件中；

image-20220412135306721

图像为一直增大,所以没有发生重传.

（4）使用 http 命令筛选数据报，查看数据传输大小以及使用时间，计算 TCP 链接的吞吐量（kb/s、结果保留整数），填写到 txt 文件中。

注：吞吐量=数据传输大小/所用时间。

首先输入http筛选HTTP报文, 如下所示:

image-20220412135454021

点开第一个http报文(第二个为响应报文, 这里用不上), 查看数据部分的数据传输大小(Reassembled TCP length), 如下所示:

image-20220412135801992

第二步就是查看所用时间, 在TCP段中找到[Timestamps],如下所示:

image-20220412140245270

综上所述, 得到:

  • 数据传输大小 =$164090(bits)$
  • 所用时间 = $5.297341000(seconds)$
  • $\therefore$ 吞吐量 = $\cfrac{164090}{5.2973410\cdot1024}=30.24991984≈30$ (保留整数)

0x0303 最终结果

1
2
文件中是否有重传的区段（填写"是/否"）：否
TCP链接的吞吐量：30

0x04 UDP 包分析

0x0401 相关知识

为了更好掌握本章内容，你需要了解的有：

  1. UDP 报文的简介；
  2. UDP 报文格式；
  3. Wireshark 软件中的 UDP 抓包分析。

UDP 简介

UDP（User Datagram Protocol），用户数据报协议，是 OSI（Open System Interconnection，开放式系统互联） 参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务。
UDP 协议与 TCP 协议一样用于处理数据包，在 OSI 模型中，两者都位于传输层，处于 IP 协议的上一层。UDP 有不提供数据包分组、组装和不能对数据包进行排序的缺点，也就是说，当报文发送之后，是无法得知其是否安全完整到达的。

许多应用只支持 UDP ，它不产生任何额外的数据，即使知道有破坏的包也不进行重发。当强调传输性能而不是传输的完整性时，如音频和多媒体应用，UDP 是最好的选择。数据传输时间很短，以至于此前的连接过程成为整个流量主体的情况下，UDP 也是一个好的选择。

UDP 报文格式

预览大图

UDP 首部有 8 个字节，由 4 个字段构成，每个字段都是两个字节：

  • 源端口： 源端口号，需要对方回信时选用，不需要时全部置 0 ；

  • 目的端口：目的端口号，在终点交付报文的时候需要用到；

注：端口是用来指明数据的来源（应用程序）以及数据发往的目的地（同样是应用程序）。

字段包含了 16 比特的 UDP 协议端口号，它使得多个应用程序可以多路复用同一个传输层协议及 UDP 协议，
仅通过端口号来区分不同的应用程序。

  • 长度：UDP 的数据报的长度（包括首部和数据）其最小值为 8（只有首部）。字段记录了该 UDP 数据包的总长度（以字节为单位），包括 8 字节的 UDP 头和其后的数据部分。最小值是 8（报文头的长度），最大值为 65535 字节；
  • 校验和：检测 UDP 数据报在传输中是否有错，有错则丢弃。它的值是通过计算 UDP 数据报及一个伪包头而得到的。校验和的计算方法与通用的一样，都是累加求和。

UDP 校验和的计算

原理:
对发送方的 UDP 报文段的所有 16 比特字的和进行反码运算，当求和遇见溢出的时候，进行回卷（回卷的补充在下面），得到的结果放在 UDP 报文段中的校验和字段。

UDP 校验的所需信息:
（1）UDP 伪首部：源 IP + 目的 IP + Byte 0 + Byte17 + UDP 长度，目的是让 UDP 两次检查数据是否以及正确到达目的地，只是单纯为了做校验用；
（2）UDP 首部：该长度不是报文的总长度，而是 UDP（包括 UDP 头和数据部分）的总长度；
（3）UDP 的数据部分。

计算步骤:
（1）把伪首部添加到 UDP 上；
（2）计算初始时将校验和字段添零；
（3）把所有位划分为 16 位（ 2 字节）的字；
（4）把所有 16 位的字相加，如果遇到进位，则将高于 16 字节的进位部分的值加到最低位上；
（5）将所有字相加得到的结果应该为一个 16 位的数，将该数按位取反则可以得到校验和。

在计算校验和的时候，需要在 UDP 数据报之前增加 12 字节的伪首部，伪首部并不是 UDP 真正的首部。只是在计算校验和，临时添加在 UDP 数据报的前面，得到一个临时的 UDP 数据报。校验和就是按照这个临时的 UDP 数据报计算的。
伪首部既不向下传送也不向上递交，而仅仅是为了计算校验和。
这样的校验和，既检查了 UDP 数据报，又对 IP 数据报的源 IP 地址和目的 IP 地址进行了检验。

预览大图

UDP 与 TCP 对比

UDP 和 TCP 协议的主要区别是两者在如何实现信息的可靠传递方面不同。TCP 协议中包含了专门的传递保证机制，当数据接收方收到发送方传来的信息时，会自动向发送方发出确认消息。发送方只有在接收到该确认消息之后才继续传送其它信息，否则将一直等待直到收到确认信息为止。与 TCP 不同，UDP 协议并不提供数据传送的保证机制。如果在从发送方到接收方的传递过程中出现数据包的丢失，协议本身并不能做出任何检测或提示。因此，通常人们把 UDP 协议称为不可靠的传输协议。

  1. TCP是面向连接的传输控制协议，而UDP提供了无连接的数据报服务，TCP具有高可靠性，确保传输数据的正确性，不出现丢失或乱序；
  2. UDP在传输数据前不建立连接，不对数据报进行检查与修改，无须等待对方的应答，所以会出现分组丢失、重复、乱序，应用程序需要负责传输可靠性方面的所有工作；
  3. UDP具有较好的实时性，工作效率较TCP协议高；
  4. UDP段结构比TCP的段结构简单，因此网络开销也小；
  5. TCP协议可以保证接收端毫无差错地接收到发送端发出的字节流，为应用程序提供可靠的通信服务。对可靠性要求高的通信系统往往使用TCP传输数据。

0x0402 实验流程

（1）打开 Wireshark，加载实训文件夹中的http-ethereal-trace-5文件，筛选 UDP 数据包；

image-20220412142104777

（2）从跟踪中选择一个 UDP 数据包。打开该数据包，查看 UDP 标头中的四个字段的名称，并将这四个字段的名称写入 txt 文件（用“;”分隔）；

image-20220412142141282

如图所示, UDP(User Datagram Protocal)标头的四个字段分别为:

  • Source Port 源端口
  • Destination Port 目的端口
  • Length 长度
  • Checksum 校验和

（3）UDP 标头的四个字段总共有多少字节，将信息写入 txt 文件；

根据UDP报文格式:

预览大图

可以得到上述UDP标头四个字段总共有 2+2+2+2 = 8 个字节.

（4）从 IPV4（Internet Protocol Version4）中找到 UDP 的协议号是多少，将信息写入 txt 文件；

如图所示:

image-20220412142504747

UDP 的协议号为: 17

0x0403 最终结果

1
2
3
四个字段名称（首字母大写）：Source Port;Destination Port;Length;Checksum
四个字段总共有多少字节：8
IPV4中找到UDP的协议号是：17