技术标签: wireshark 网络 三次握手 四次挥手 Wireshark可视化 网络知识 tcp/ip
目录
相关文章:
【Linux】网络诊断 ping命令详解_linux ping-程序员宅基地
【Linux】网络诊断 traceroute命令详解-程序员宅基地
【Linux】nc 网络诊断 | 文件传输 命令详解-程序员宅基地
【网络】抓包工具Wireshark下载安装和基本使用教程-程序员宅基地
wireshark是非常流行的网络封包分析软件,功能十分强大。可以截取各种网络封包,显示网络封包的详细信息。常用来检测网络问题、攻击溯源、或者分析底层通信机制。
cmd输入ipconfig,下图中是我的IP:192.168.21.218
下图左侧对应你的电脑网卡,可以注意旁边的折线图,有波动的就是在使用的网卡。
停止运行,再点击捕获,选项,可以看到是否选择混杂模式
如下选择使用混杂模式
混杂模式︰混杂模式就是接收所有经过网卡的数据包,包括不是发给本机的包,即不验证MAC地址。
普通模式:普通模式下网卡只接收发给本机的包(包括广播包)传递给上层程序,其它的包一律丢弃。
一般来说,混杂模式不会影响网卡的正常工作,多在网络监听工具上使用。
点击蓝色鲨鱼状的是开始捕获,红色方块是停止。
比如说查TCP、UDP建立连接的时候是什么样的
tcp协议过滤
或者抓http的包,访问 192.168.2.153:8080
抓包结果如下,153 页面刷新响应218 HTTP 200 OK
或者搜一下我的网关试试
IP源地址:ip.src == 192.168.21.218
IP目的地址:ip.dst == 192.168.21.218
IP地址(包括源和目的): ip.addr == 192.168.21.218
逻辑运算符为 AND/ OR
有着强大的联想提示功能,我们输入"ip."后会有提示
示例如下:过滤本地 192.168.21.218 到 192.168.2.153 且协议为 http 的数据包:
ip.src_host == 192.168.21.218 and ip.dst_host == 192.168.2.153 and http
语法格式:
TCP端口:tcp.port == 80
TCP目的端口:tcp.dstport == 80
TCP源端口:tcp.srcport == 80
UDP端口:udp.port eq 15000
TCP 1-80之间的端口:tcp.port >= 1 and tcp.port <= 80
tcp.port == 8080 || udp.port == 80
如下过滤8080 端口,可以看到从本机192.168.21.218 到 192.168.2.153且为HTTP协议
语法格式
源MAC地址:eth.src == 8c-ec-4b-bc-94-ad
目的MAC地址:eth.dst == 8c-ec-4b-7c-3b-f8
MAC地址(包括源和目的):eth.addr == e0-78-a3-02-83-38
windows执行 arp -a可以看到本机所有网络接口接收到的IP及对应的物理地址
示例如下:
eth.addr==e0-78-a3-02-83-38
语法格式
整个UDP数据包:udp.length == 20
TCP数据包中的IP数据包:tcp.len >= 20
整个IP数据包:ip.len == 20
整个数据包:frame.len == 20
请求方法为GET :http.request.method=="GET"
请求方法为POST:http.request.method=="POST"
指定URI:http.request.uri.path contains "x"
泛 指:http contains "x"
如下获取GET请求
http.request.method == "GET"
ARP(Address Resolution Protocol)即地址解析协议,由于是IP协议使用了ARP协议,因此通常就把ARP协议划归网络层。ARP协议的用途是为了从网络层使用的IP地址解析出在数据链路层使用的硬件地址。ARP的基本功能就是负责将一个已知的IP地址解析成MAC地址,以便主机间能正常进行通信。
ping 192.168.21.254(这是我的网关)
如下是我本地的IP和物理地址
示例如下:
192.168.21.218(本机)发出一个广播来询问MAC地址:Who Has 192.168.21.254? Tell 192.168.21.218
182.168.21.254 做出应答:182.168.21.1254的MAC地址是 74: ea: c8: b1:51: 3f
ARP请求包(request)192.168.21.218——> 192.168.21.254
ARP响应包(reply)192.168.21.254——> 192.168.21.218
网络层使用了网际控制报文协议ICMP,Internet控制报文协议(Intemet Control Message Protocol, ICMP)是IP协议的一种补充,它与IP协议结合使用,以便提供与IP协议层配置和IP数据包处理相关的诊断和控制信息(IP协议本身并没有为终端系统提供直接的方法来发现那些发往目的地址失败的IP数据包,也没有提供直接的方式来获取诊断信息。)
ICMP通常被认为是IP层的一部分,它是在IP数据报内被封装传输的。
icmp数据包解读
(1) Frame: 物理层
(2) Ethernet II: 数据链路层
(3) Internet Protocol Version 4: 网络层
(4) Internet Control Message Protocol: icmp信息
ping www.baidu.com
具体详情文章:【网络】网络层ICMP协议-程序员宅基地
【网络】传输层TCP协议 | 三次握手 | 四次挥手-程序员宅基地
下面是常见的TCP层的常用FLAGS。
标志位 |
描述 |
SYN |
建立连接 |
ACK |
确认 |
PSH |
有 DATA数据传输 |
FIN |
关闭连接 |
RST |
连接重置 |
标志位:
SYN(synchronize)指请求同步
ACK指确认同步
TCP 建立连接的过程叫做握手,握手需要在客户和服务器之间交换三个TCP报文段。下图为客户端主动发起的图解:
获取百度的IP地址
tcp && ip.addr == 110.242.68.3
www.baidu.com的IP地址(目的IP)
输入后,回车。刚开始页面是空的流量信息,接下来打开百度首页(浏览器网址www.baidu.com),关注这里的流量信息,可以发现三次握手的流量包信息已经显示在下方了
第一次握手
客户端发送一个TCP,标志位为SYN=1, 代表客户端请求建立连接。等待服务器收到数据包后,客户端变为监听状态。
第二次握手
服务器发回确认包, 标志位为 SYN,ACK。
SYN=1表示已经同步数据包
ACK=1表示确认收到
seq设为0,即服务器发出的第0个数据包
将确认序号设置为客户的seq加1,即ack=0+1=1
第三次握手
客户端再次发送确认包,SYN标志位为0,ACK标志位为1。
seq=0+1=1,客户端发送的第二个包,编号为1
ack=0+1=1,回复给服务器,表示服务器发出的0数据包已经收到。
统计——>流量图
三次握手的整个过程简单总结:
本机地址:192.168.21.218,www.baidu.com的IP地址(IP 110.242.68.3)
第一次挥手:baidu.com发送带有[FIN,ACK]标志的数据包发送至本机,Seq=849,ACK=2786,发送后baidu.com进入FIN-WAIT-1(终止等待)状态。
此时Fin和Ack都为1,是一个客户端发送连接请求。
第二次挥手:本机收到baidu.com的FIN数据包,向baidu.com响应ACK数据包,Seq=2786(与baidu.com的FIN数据包 ACK值相同),ACK=850(等于baidu.com FIN数据包的 Seq +1 )。后本机进入了CLOSE-WAIT(关闭等待)状态。
第三次挥手:数据发送完后,本机向baidu.com发送[FIN,ACK]报文,Seq=2786(与上一条报文的Seq值相同),ACK=850(与上一条报文的ACK值相同)。
第四次挥手:baidu.com向本机发送标志为[RST,ACK]的报文,Seq=850(与本机发送baidu.com的FIN报文ACK值相同),ACK=2787(与本机发送到baidu.com的FIN报文的Seq值相同)。
RST:该标志表示连接复位请求,用来复位那些产生的错误连接,也用来拒绝错误和非法的数据包
统计——>流量图
异常情况:RST终止
在研究这三四次挥手的时候,发现了异常终止情况
我们一般都是正常的等待终止连接,但这时出现了服务器提出终止连接请求,看来是 TCP连接异常中断,因为TCP是全双工通信,两者通信地位相等,双方都有权利主动终止请求。
在服务器主动发送终止指令后,客户端被动响应终止。然后客户端主动提出keep-alive不断开连接,服务器响应再一次客户端提出keep-alive的时候,服务器RST终止了异常的连接。
————————————————
参考原文链接:wireshark分析tcp协议(二)四次挥手(异常情况)【理论 + 实操】_wireshark监测异常行为介绍-程序员宅基地
文章浏览阅读5.8k次。在大数据的发展当中,大数据技术生态的组件,也在不断地拓展开来,而其中的Hive组件,作为Hadoop的数据仓库工具,可以实现对Hadoop集群当中的大规模数据进行相应的数据处理。今天我们的大数据入门分享,就主要来讲讲,Hive应用场景。关于Hive,首先需要明确的一点就是,Hive并非数据库,Hive所提供的数据存储、查询和分析功能,本质上来说,并非传统数据库所提供的存储、查询、分析功能。Hive..._hive应用场景
文章浏览阅读496次。Zblog是由Zblog开发团队开发的一款小巧而强大的基于Asp和PHP平台的开源程序,但是插件市场上的Zblog采集插件,没有一款能打的,要么就是没有SEO文章内容处理,要么就是功能单一。很少有适合SEO站长的Zblog采集。人们都知道Zblog采集接口都是对Zblog采集不熟悉的人做的,很多人采取模拟登陆的方法进行发布文章,也有很多人直接操作数据库发布文章,然而这些都或多或少的产生各种问题,发布速度慢、文章内容未经严格过滤,导致安全性问题、不能发Tag、不能自动创建分类等。但是使用Zblog采._zblog 网页采集插件
文章浏览阅读2.4k次,点赞2次,收藏2次。restUI页面提交1.1 添加上传jar包1.2 提交任务job1.3 查看提交的任务2. 命令行提交./flink-1.9.3/bin/flink run -c com.qu.wc.StreamWordCount -p 2 FlinkTutorial-1.0-SNAPSHOT.jar3. 命令行查看正在运行的job./flink-1.9.3/bin/flink list4. 命令行查看所有job./flink-1.9.3/bin/flink list --all._flink定时运行job
文章浏览阅读1k次,点赞2次,收藏6次。这个项目是基于STM32的LED闪烁项目,主要目的是让学习者熟悉STM32的基本操作和编程方法。在这个项目中,我们将使用STM32作为控制器,通过对GPIO口的控制实现LED灯的闪烁。这个STM32 LED闪烁的项目是一个非常简单的入门项目,但它可以帮助学习者熟悉STM32的编程方法和GPIO口的使用。在这个项目中,我们通过对GPIO口的控制实现了LED灯的闪烁。LED闪烁是STM32入门课程的基础操作之一,它旨在教学生如何使用STM32开发板控制LED灯的闪烁。_嵌入式stm32闪烁led实验总结
文章浏览阅读63次。本文介绍了安装和部署Debezium的详细步骤,并演示了如何将Debezium服务托管到systemctl以进行方便的管理。本文将详细介绍如何安装和部署Debezium,并将其服务托管到systemctl。解压缩后,将得到一个名为"debezium"的目录,其中包含Debezium的二进制文件和其他必要的资源。注意替换"ExecStart"中的"/path/to/debezium"为实际的Debezium目录路径。接下来,需要下载Debezium的压缩包,并将其解压到所需的目录。
文章浏览阅读4.4k次。需求:在诗词曲文项目中,诗词整篇朗读的时候,文章没有读完会因为屏幕熄灭停止朗读。要求:在文章没有朗读完毕之前屏幕常亮,读完以后屏幕常亮关闭;1.权限配置:设置电源管理的权限。
文章浏览阅读2.3k次。目标检测简介、评估标准、经典算法_目标检测
文章浏览阅读6.3k次,点赞4次,收藏9次。实训时需要安装SQL server2008 R所以我上网上找了一个.exe 的安装包链接:https://pan.baidu.com/s/1_FkhB8XJy3Js_rFADhdtmA提取码:ztki注:解压后1.04G安装时Microsoft需下载.NET,更新安装后会自动安装如下:点击第一个傻瓜式安装,唯一注意的是在修改路径的时候如下不可修改:到安装实例的时候就可以修改啦数据..._sqlserver 127 0 01 无法连接
文章浏览阅读7.4k次。1. Object.keys(item); 获取到了key之后就可以遍历的时候直接使用这个进行遍历所有的key跟valuevar infoItem={ name:'xiaowu', age:'18',}//的出来的keys就是[name,age]var keys=Object.keys(infoItem);2. 通常用于以下实力中 <div *ngFor="let item of keys"> <div>{{item}}.._js 遍历对象的key
文章浏览阅读2.2w次,点赞51次,收藏310次。粒子群算法求解路径规划路径规划问题描述 给定环境信息,如果该环境内有障碍物,寻求起始点到目标点的最短路径, 并且路径不能与障碍物相交,如图 1.1.1 所示。1.2 粒子群算法求解1.2.1 求解思路 粒子群优化算法(PSO),粒子群中的每一个粒子都代表一个问题的可能解, 通过粒子个体的简单行为,群体内的信息交互实现问题求解的智能性。 在路径规划中,我们将每一条路径规划为一个粒子,每个粒子群群有 n 个粒 子,即有 n 条路径,同时,每个粒子又有 m 个染色体,即中间过渡点的_粒子群算法路径规划
文章浏览阅读353次。所谓稳健的评估指标,是指在评估的过程中数据的轻微变化并不会显著的影响一个统计指标。而不稳健的评估指标则相反,在对交易系统进行回测时,参数值的轻微变化会带来不稳健指标的大幅变化。对于不稳健的评估指标,任何对数据有影响的因素都会对测试结果产生过大的影响,这很容易导致数据过拟合。_rar 海龟
文章浏览阅读607次,点赞2次,收藏7次。–基于STM32F103ZET6的UART通讯实现一、什么是IAP,为什么要IAPIAP即为In Application Programming(在应用中编程),一般情况下,以STM32F10x系列芯片为主控制器的设备在出厂时就已经使用J-Link仿真器将应用代码烧录了,如果在设备使用过程中需要进行应用代码的更换、升级等操作的话,则可能需要将设备返回原厂并拆解出来再使用J-Link重新烧录代码,这就增加了很多不必要的麻烦。站在用户的角度来说,就是能让用户自己来更换设备里边的代码程序而厂家这边只需要提供给_value line devices connectivity line devices