Wireshark 分析TCP 报文段
Wireshark 分析TCP 报文段
使用wireshark这款软件来分析TCP包，TCP报文为了方便读者复现，直接使用官网提供的包文件说明
准备TCP分析报文
从wireshark官网下载TCP分析包：200722_win_scale_examples_anon.pcapng，使用wireshark打开200722_win_scale_examples_anon.pcapng，这里我们选择第4个TCP报文，数据长度len=6，这里主要是为了对应TCP 报文段的首部字段，任意选择也行
分析TCP报文
点击/双击第4个TCP报文，可以看到运输层的协议使用TCP协议，TCP数据大小为20字节，从Header Length可以看出为20字节（5*4）
对应的16进制序列为：1a 37 07 d0 dd 6a bb 2b 1f 5f d2 51 50 18 04 02 12 0f 00 00
1. 分析TCP的首部格式
贴一个TCP 的首部格式，方便对应
对应的16进制序列为：1a 37 07 d0 dd 6a bb 2b 1f 5f d2 51 50 18 04 02 12 0f 00 00
| 字段 | 16进制 | 10进制 | 位数 |
|---|---|---|---|
| 源端口 | 1a 37 | 6711 | 16位 |
| 目的端口 | 07 d0 | 2000 | 16位 |
| 序号字段 | dd 6a bb 2b | 3714759467 | 32位 |
| 确认号字段 | 1f 5f d2 51 | 526373457 | 32位 |
| 数据偏移 | 5 | 5 | 4位 |
| 保留字段 | 018(前6位) | 0 | 6位 |
| 紧急 URG | 018(第7位) | 0 | 1位 |
| 确认 ACK | 018(第8位) | 1 | 1位 |
| 推送 PSH (PuSH) | 018(第9位) | 1 | 1位 |
| 复位 RST (ReSeT) | 018(第10位) | 0 | 1位 |
| 同步 SYN | 018(第11位) | 0 | 1位 |
| 终止 FIN (FINish) | 018(第12位) | 0 | 1位 |
| 窗口字段 | 04 02 | 1026 | 16位 |
| 检验和 | 12 0f | 4623 | 16位 |
| 紧急指针字段 | 00 00 | 0 | 16位 |
2. 分析TCP的首部格式-可选字段部分
可选字段一般是建立连接时，协商报文过程，所有这里选择SYN=1建立连接的报文
点击打开查看
分析报文
- 最大报文段长度 MSS
1460字节 - 窗口扩大选项
8位，也就是2的16次方再乘2的8次方，即24位，窗口最大值为2的24次方,16MB - 选择确认选项
支持SACK，部分确认。这个后续再分析，即选择性重传