（圖文并茂，權威最詳細）Wireshark抓包分析 TCP三次握手/四次揮手詳解

本文結合wireshark抓包，對TCP協議的三次握手和四次揮手進行詳細的講解。大家要認真看完，這可能是全網講得最詳細的文章了。

01 TCP/IP協議族

TCP/IP是一個協議族，通常分不同層次進行開發，每個層次負責不同的通信功能。包含以下四個層次：

1. 鏈路層，也稱作數據鏈路層或者網絡接口層，通常包括操作系統中的設備驅動程序和對應的網絡接口卡。處理與物理層傳輸介質（如電纜）之間的物理接口細節。

2. 網絡層，也稱作網際層，處理數據包分組在網絡中的活動，例如分組的選路和轉發等。網絡層協議包括IP協議（網際協議）、ICMP協議（Internet互聯網控制報文協議），以及IGMP協議（Internet組管理協議）等。

3. 傳輸層，提供兩臺主機上的應用程序端到端的通信。協議主要包括：TCP（傳輸控制協議）和UDP（用戶數據報協議）。TCP為兩臺主機提供高可靠性的數據通信。而 UDP 提供盡力而為的通信，通信的可靠性需要應用層來提供。

4. 應用層，負責處理特定的應用程序邏輯。包括Telnet（遠程登錄）、FTP（文件傳輸協議）、SMTP（簡單郵件傳送協議）以及SNMP（簡單網絡管理協議）等。

wireshark抓到的包與對應的協議層如下圖所示：

抓包界面顯示的結果和協議棧的層次關系正好相反，最上面的是物理層，最下面是應用層。具體的對應關系如下：

Frame: 物理層的數據幀概況
Ethernet II: 數據鏈路層以太網幀頭部信息
Internet Protocol Version 4: 互聯網層IP包頭部信息
Transmission Control Protocol: 傳輸層的數據段頭部信息，此處是TCP
Hypertext Transfer Protocol: 應用層的信息，此處是HTTP協議

02 TCP協議

TCP是一種面向連接（連接導向）的、可靠的基于字節流的傳輸層通信協議。TCP將用戶數據打包成報文段，發送后會啟動一個定時器，然后另一端收到的數據進行確認、對失序的數據重新排序、丟棄重復數據。

TCP的特點有：

TCP是面向連接的運輸層協議
每一條TCP連接只能有兩個端點，每一條TCP連接只能是點對點的
TCP提供可靠交付的服務
TCP提供全雙工通信。數據在兩個方向上獨立的進行傳輸。因此，連接的每一端必須保持每個方向上的傳輸數據序號。
面向字節流。面向字節流的含義：雖然應用程序和TCP交互是一次一個數據塊，但應用程序交下來的數據僅僅是一連串的無結構的字節流

TCP報文首部，如下圖所示：

源端口號：數據發起者的端口號，16bit
目的端口號：數據接收者的端口號，16bit
序號：32bit的序列號，由發送方使用
確認序號：32bit的確認號，是接收數據方期望收到發送方的下一個報文段的序號，因此確認序號應當是上次已成功收到數據字節序號加1。
首部長度：首部中32bit字的數目，可表示15*32bit=60字節的首部。一般首部長度為20字節。
保留：6bit, 均為0
緊急URG：當URG=1時，表示報文段中有緊急數據，應盡快傳送。
確認比特ACK：ACK = 1時代表這是一個確認的TCP包，取值0則不是確認包。
推送比特PSH：當發送端PSH=1時，接收端盡快的交付給應用進程。
復位比特（RST）：當RST=1時，表明TCP連接中出現嚴重差錯，必須釋放連接，再重新建立連接。
同步比特SYN：在建立連接是用來同步序號。SYN=1， ACK=0表示一個連接請求報文段。SYN=1，ACK=1表示同意建立連接。
終止比特FIN：FIN=1時，表明此報文段的發送端的數據已經發送完畢，并要求釋放傳輸連接。
窗口：用來控制對方發送的數據量，通知發放已確定的發送窗口上限。
檢驗和：該字段檢驗的范圍包括首部和數據這兩部分。由發端計算和存儲，并由收端進行驗證。
緊急指針：緊急指針在URG=1時才有效，它指出本報文段中的緊急數據的字節數。
選項：長度可變，最長可達40字節

wireshark捕獲到的TCP包中的每個字段如下圖所示：

03 TCP三次握手

TCP建立連接時，會有三次握手過程，如下圖所示，wireshark截獲到了三次握手的三個數據包。第四個包才是http的，說明http的確是使用TCP建立連接的。

下面來逐步分析三次握手過程：

第一次握手： 客戶端向服務器發送連接請求包，標志位SYN（同步序號）置為1，序號為X=0

第二次握手： 服務器收到客戶端發過來報文，由SYN=1知道客戶端要求建立聯機。向客戶端發送一個SYN和ACK都置為1的TCP報文，設置初始序號Y=0，將確認序號(Acknowledgement Number)設置為客戶的序列號加1，即X+1 = 0+1=1, 如下圖：

第三次握手： 客戶端收到服務器發來的包后檢查確認序號(Acknowledgement Number)是否正確，即第一次發送的序號加1（X+1=1）。以及標志位ACK是否為1。若正確，客戶端再次發送確認包，ACK標志位為1，SYN標志位為0。確認序號(Acknowledgement Number)=Y+1=0+1=1，發送序號為X+1=1。服務器收到后確認序號值與ACK=1則連接建立成功，可以傳送數據了。