通过tcpdump了解TCP连接建立三次握手的具体过程

tcpdump简介

tcpdump采用命令行方式对接口的数据包进行筛选抓取，其丰富特性表现在灵活的表达式上。

tcpdump命令格式

tcpdump [ -DenNqvX ] [ -c count ] [ -F file ] [ -i interface ] [ -r file ] [ -s snaplen ] [ -w file ] [ expression ]

抓包选项：
-c：指定要抓取的包数量。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。
-i interface：指定tcpdump需要监听的接口。若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，
            ：一旦找到第一个符合条件的接口，搜寻马上结束。可以使用'any'关键字表示所有网络接口。
-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。
-N：不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil'。
-P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout"，默认为"inout"。
-s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，
      ：输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量，
      ：从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。

抓包选项：
-c：指定要抓取的包数量。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。
-i interface：指定tcpdump需要监听的接口。若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，
            ：一旦找到第一个符合条件的接口，搜寻马上结束。可以使用'any'关键字表示所有网络接口。
-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。
-N：不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil'。
-P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout"，默认为"inout"。
-s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，
      ：输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量，
      ：从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。
  
输出选项：
-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
-q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
-X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。
-v：当分析和打印的时候，产生详细的输出。
-vv：产生比-v更详细的输出。
-vvv：产生比-vv更详细的输出。

其他功能性选项：
-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。
-F：从文件中读取抓包的表达式。若使用该选项，则命令行中给定的其他表达式都将失效。
-w：将抓包数据输出到文件中而不是标准输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
-r：从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取。

所以常用的选项也就这几个：

tcpdump -D
tcpdump -c num -i int -nn -XX -vvv

tcpdump表达式

表达式用于筛选输出哪些类型的数据包，如果没有给定表达式，所有的数据包都将输出，否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。
tcpdump的表达式由一个或多个"单元"组成，每个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符：

(1).type：指定ID的类型。

可以给定的值有host/net/port/portrange。例如"host foo"，"net 128.3"，"port 20"，"portrange 6000-6008"。默认的type为host。

(2).dir：指定ID的方向。

可以给定的值包括src/dst/src or dst/src and dst，默认为src or dst。例如，"src foo"表示源主机为foo的数据包，"dst net 128.3"表示目标网络为128.3的数据包，"src or dst port 22"表示源或目的端口为22的数据包。

(3).proto：通过给定协议限定匹配的数据包类型。

常用的协议有tcp/udp/arp/ip/ether/icmp等，若未给定协议类型，则匹配所有可能的类型。例如"tcp port 21"，"udp portrange 7000-7009"。

所以，一个基本的表达式单元格式为"proto dir type ID"

tcpdump实例

注意，tcpdump只能抓取流经本机的数据包。

• 默认启动

[email protected]:~$ sudo tcpdump
21:40:10.185474 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 341904, win 256, length 0
21:40:10.185552 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 341904:342068, ack 37, win 251, length 164
21:40:10.185898 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 342068:342328, ack 37, win 251, length 260
21:40:10.186131 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 342328, win 254, length 0
21:40:10.186260 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 342328:342588, ack 37, win 251, length 260
21:40:10.187908 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 342588:342752, ack 37, win 251, length 164
21:40:10.190228 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 342752, win 253, length 0
21:40:10.190274 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 342752:342916, ack 37, win 251, length 164
21:40:10.190711 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 342916:343176, ack 37, win 251, length 260
21:40:10.191048 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 343176, win 251, length 0
21:40:10.191342 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 343176:343436, ack 37, win 251, length 260
21:40:10.192828 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 343436:343600, ack 37, win 251, length 164
21:40:10.194849 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 343600, win 256, length 0
21:40:10.194885 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 343600:343764, ack 37, win 251, length 164
21:40:10.195051 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 343764:344024, ack 37, win 251, length 260
21:40:10.195179 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 344024, win 254, length 0
21:40:10.195288 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 344024:344284, ack 37, win 251, length 260
21:40:10.308625 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [P.], seq 37:73, ack 344024, win 254, length 36

• 监视指定网络接口的数据包：如果不指定网卡，默认tcpdump只会监视第一个网络接口，如eth0。

[email protected]:~$ sudo tcpdump -D
1.ens33 [Up, Running]
2.any (Pseudo-device that captures on all interfaces) [Up, Running]
3.lo [Up, Running, Loopback]
4.nflog (Linux netfilter log (NFLOG) interface)
5.nfqueue (Linux netfilter queue (NFQUEUE) interface)
6.usbmon1 (USB bus number 1)
7.usbmon2 (USB bus number 2)
[email protected]:~$ sudo tcpdump -i nflog
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on nflog, link-type NFLOG (Linux netfilter log messages), capture size 262144 bytes

• 对本机的udp 123端口进行监视(123为ntp的服务端口)

tcpdump udp port 123

• 监视指定网络的数据包，如本机与192.168网段通信的数据包，"-c 10"表示只抓取10个包

[email protected]:~$ sudo tcpdump -c 10 net 192.168
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
21:48:54.664288 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 4135510526:4135510642, ack 3824184400, win 251, length 116
21:48:54.664502 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 116, win 255, length 0
21:48:54.664623 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 116:152, ack 1, win 251, length 36
21:48:54.664800 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 152:268, ack 1, win 251, length 116
21:48:54.664917 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 268, win 255, length 0
21:48:54.664997 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 268:304, ack 1, win 251, length 36
21:48:54.666673 IP 192.168.8.128.11030 > 192.168.8.2.domain: 36626+ PTR? 1.8.168.192.in-addr.arpa. (42)
21:48:55.286436 IP 192.168.8.128.ssh > 192.168.8.1.49641: Flags [P.], seq 304:1012, ack 1, win 251, length 708
21:48:55.286676 IP 192.168.8.128.56290 > 192.168.8.2.domain: 32764+ PTR? 2.8.168.192.in-addr.arpa. (42)
21:48:55.487931 IP 192.168.8.1.49641 > 192.168.8.128.ssh: Flags [.], ack 1012, win 252, length 0
packets captured
packets received by filter
packets dropped by kernel

使用tcpdump抓包分析tcp的三次握手

第一次握手：建立连接。客户端发送连接请求报文段，将SYN位置为1，Sequence Number为x；然后，客户端进入SYN_SEND状态，等待服务器的确认；
第二次握手：服务器收到SYN报文段。服务器收到客户端的SYN报文段，需要对这个SYN报文段进行确认，设置Acknowledgment Number为x+1(Sequence Number+1)；同时，
          自己自己还要发送SYN请求信息，将SYN位置为1，Sequence Number为y；服务器端将上述所有信息放到一个报文段（即SYN+ACK报文段）中，一并发送给客户端，
          此时服务器进入SYN_RECV状态；
第三次握手：客户端收到服务器的SYN+ACK报文段。然后将Acknowledgment Number设置为y+1，向服务器发送ACK报文段，这个报文段发送完毕以后，客户端和服务器端都进入
          ESTABLISHED状态，完成TCP三次握手。

 [email protected]:~$ sudo tcpdump -S tcp port 21 -nn -i ens33 -c 20

192.168.8.1客户端使用随机端口访问服务器21端口，seq=4120208862（syn=j）
服务器192.168.8.128回应客户端192.168.8.1
seq 861479274, ack 4120208863（ack=j+1,seq=k）
客户端192.168.8.1确认接受到服务器192.168.8.128的信息
ack 861479275（ack=k+1）

此时服务器与客户端进入ESTABLISHED状态，开始进行数据传送。