WireShark捕获TCP和HTTP并分析
文章目录 WireShark捕获TCP和HTTP并分析1、搭建web服务器&制作简单的web页面2、使用Wireshark捕获与web服务器的交互过程的步骤2.1在阿里云服务器中打开XAMPP，点击start按钮，启动Apache服务2.2打开本机wireshark，选择WLAN网卡2.3打开浏览器输入39.102.89.87，打开web服务器页面 端口为802.4wireshark捕获到交互过程3.1TCP协议简述3.2TCP包首部3.3TCP/IP 报文的格式3.3.1TCP端口号3.3.2TCP的序号和确认号3.3.3TCP的标志位 3.4TCP三次握手建立连接3.4.1第一次握手3.4.2第二次握手3.4.3第三次握手 3.5三次握手过程实例分析 4、TCP四次挥手断开连接4.1四次挥手断开连接过程4.1.1第一次挥手4.1.2第二次挥手4.1.3第三次挥手4.1.4第四次挥手 4.2实例分析 5、HTTP报文分析5.1http协议简述5.2请求报文5.2.1起始行**5.2.2头部**5.2.3主体 5.3响应报文5.3.1起始行5.3.2头部5.3.3主体 5.4实例分析
?
1、搭建web服务器&制作简单的web页面
由于本次作业不要求web服务器的编程实现，因而选用XAMPP中的Apache 作为本次的web服务器（使用阿里云服务器），端口号设置为80，并编写了web页面，以探究web页面和服务器之间的交互过程。
我的网页
- XXX
- XXX
- XXX
3.1TCP协议简述
TCP 提供面向有连接的通信传输，面向有连接是指在传送数据之前必须先建立连接，数据传送完成后要释放连接。
无论哪一方向另一方发送数据之前，都必须先在双方之间建立一条连接。在TCP/IP协议中，TCP协议提供可靠的连接服务，连接是通过
三次握手
进行初始化的。
同时由于TCP协议是一种面向连接的、可靠的、基于字节流的运输层通信协议，TCP是
全双工模式
，所以需要
四次挥手
关闭连接。
3.2TCP包首部
网络中传输的数据包由两部分组成：一部分是协议所要用到的首部，另一部分是上一层传过来的数据。首部的结构由协议的具体规范详细定义。在数据包的首部，明确标明了协议应该如何读取数据。反过来说，看到首部，也就能够了解该协议必要的信息以及所要处理的数据。包首部就像协议的脸。
所以我们在学习TCP协议之前，首先要知道TCP在网络传输中处于哪个位置，以及它的协议的规范，下面我们就看看TCP首部的网络传输起到的作用：
3.3TCP/IP 报文的格式 3.3.1TCP端口号
TCP的连接是需要四个要素确定唯一一个连接：
（源IP，源端口号）+ （目地IP，目的端口号）
所以TCP首部预留了两个16位作为端口号的存储，而IP地址由上一层IP协议负责传递
源端口号和目地端口各占16位两个字节，也就是端口的范围是2^16=65535
另外1024以下是系统保留的，从1024-65535是用户使用的端口范围
3.3.2TCP的序号和确认号
32位序号 seq
：Sequence number 缩写seq ，TCP通信过程中某一个传输方向上的字节流的每个字节的序号，通过这个来确认发送的数据
有序
，比如现在序列号为1000，发送了1000，下一个序列号就是2000。
32位确认号 ack
：Acknowledge number 缩写ack，TCP对上一次seq序号做出的确认号，用来响应TCP报文段，给收到的TCP报文段的序号seq加1。
3.3.3TCP的标志位
每个TCP段都有一个目的，这是借助于TCP标志位选项来确定的，允许发送方或接收方指定哪些标志应该被使用，以便段被另一端正确处理。
用的最广泛的标志是
SYN
，
ACK
和
FIN
，用于建立连接，确认成功的段传输，最后终止连接。
SYN
：简写为S，同步标志位，用于建立会话连接，同步序列号；
ACK
： 简写为.，确认标志位，对已接收的数据包进行确认；
FIN
： 简写为F，完成标志位，表示我已经没有数据要发送了，即将关闭连接；PSH：简写为P，推送标志位，表示该数据包被对方接收后应立即交给上层应用，而不在缓冲区排队；RST：简写为R，重置标志位，用于连接复位、拒绝错误和非法的数据包；URG：简写为U，紧急标志位，表示数据包的紧急指针域有效，用来保证连接不被阻断，并督促中间设备尽快处理；
3.4TCP三次握手建立连接 3.4.1第一次握手
客户端将TCP报文
标志位SYN置为1
，随机产生一个序号值seq=J，保存在TCP首部的序列号(Sequence Number)字段里，指明客户端打算连接的服务器的端口，并将该数据包发送给服务器端，发送完毕后，客户端进入SYN_SENT状态，等待服务器端确认。
3.4.2第二次握手
服务器端收到数据包后由标志位SYN=1知道客户端请求建立连接，服务器端将TCP报文
标志位SYN和ACK都置为1
，ack=J+1，随机产生一个序号值seq=K，并将该数据包发送给客户端以确认连接请求，服务器端进入SYN_RCVD状态。
3.4.3第三次握手
客户端收到确认后，检查ack是否为J+1，ACK是否为1，如果正确则将标志位ACK置为1，ack=K+1，并将该数据包发送给服务器端，服务器端检查ack是否为K+1，ACK是否为1，如果正确则连接建立成功，客户端和服务器端进入ESTABLISHED状态，完成三次握手，随后客户端与服务器端之间可以开始传输数据了。
3.5三次握手过程实例分析
第一次握手
第二次握手
还可以通过直接看标志位查看三次握手的数据包，如下图所示，第一个数据包标志位【SYN】，这是第一次握手；第二个数据包标志位【SYN,ACK】，这是第二次握手；第三个数据包标志位【ACK】，这是第三次握手。
4、TCP四次挥手断开连接 4.1四次挥手断开连接过程 4.1.1第一次挥手
Client端发起挥手请求，向Server端发送标志位是FIN报文段，设置序列号seq，此时，Client端进入FIN_WAI活动：慈云数据爆款香港服务器，CTG+CN2高速带宽、快速稳定、平均延迟10+ms 速度快，免备案，每月仅需19元！！ 点击查看T_1状态，这表示Client端没有数据要发送给Server端了。
4.1.2第二次挥手
Server端收到了Client端发送的FIN报文段，向Client端返回一个标志位是ACK的报文段，ack设为seq加1，Client端进入FIN_WAIT_2状态，Server端告诉Client端，我确认并同意你的关闭请求。
4.1.3第三次挥手
Server端向Client端发送标志位是FIN的报文段，请求关闭连接，同时Client端进入LAST_ACK状态。
4.1.4第四次挥手
Client端收到Server端发送的FIN报文段，向Server端发送标志位是ACK的报文段，然后Client端进入TIME_WAIT状态。Server端收到Client端的ACK报文段以后，就关闭连接。此时，Client端等待
2MSL
的时间后依然没有收到回复，则证明Server端已正常关闭，那好，Client端也可以关闭连接了。
4.2实例分析
第一次挥手
第二次挥手&第三次挥手，服务器端在此处将两个报文进行了合并发送
第四次挥手
5、HTTP报文分析 5.1http协议简述
http
协议是一个应用层协议，其报文分为
请求报文
和
响应报文
当客户端请求一个网页时，会先通过
http
协议将请求的内容封装在
http
请求报文之中，服务器收到该请求报文后根据协议规范进行报文解析，然后向客户端返回响应报文。
http
报文结构为：
起始行
对报文进行描述头部
向报文中添加了一些附加信息，是一个名/只的列表，头部和协议配合工作，共同决定了客户端和服务器能做什么事情
例如：Content-Length（主体长度），Content-Type（主体类型）等。主体
包含数据的主体部分 5.2请求报文
请求报文包括三部分：起始行、头部、主体
5.2.1起始行
在请求报文中，起始行包括了3个部分：
请求的方法请求的URL协议类型及版本
请求的方法
HTTP中请求的方法主要有以下几种：
1.OPTIONS 返回服务器针对特定资源所支持的HTTP请求方法，也可以利用向web服务器发送‘*’的请求来测试服务器的功能性
2.HEAD 向服务器索与GET请求相一致的响应，只不过响应体将不会被返回。这一方法可以再不必传输整个响应内容的情况下，就可以获取包含在响应小消息头中的元信息。
3.GET 向特定的资源发出请求。它本质就是发送一个请求来取得服务器上的某一资源。资源通过一组HTTP头和呈现数据（如HTML文本，或者图片或者视频等）返回给客户端。GET请求中，永远不会包含呈现数据。
4.POST 向指定资源提交数据进行处理请求（例如提交表单或者上传文件）。数据被包含在请求体中。POST请求可能会导致新的资源的建立和/或已有资源的修改。 Loadrunner中对应POST请求函数：web_submit_data,web_submit_form
5.PUT 向指定资源位置上传其最新内容
6.DELETE 请求服务器删除Request-URL所标识的资源
7.TRACE 回显服务器收到的请求，主要用于测试或诊断
8.CONNECT HTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器。
5.2.2头部
Client-IP：提供了运行客户端的机器的IP地址
From：提供了客户端用户的E-mail地址
Host：给出了接收请求的服务器的主机名和端口号
Referer：提供了包含当前请求URI的文档的URL
UA-Color：提供了与客户端显示器的显示颜色有关的信息
UA-CPU：给出了客户端CPU的类型或制造商
UA-OS：给出了运行在客户端机器上的操作系统名称及版本
User-Agent：将发起请求的应用程序名称告知服务器
Accept：告诉服务器能够发送哪些媒体类型
Accept-Charset：告诉服务器能够发送哪些字符集
Accept-Encoding：告诉服务器能够发送哪些编码方式
Accept-Language：告诉服务器能够发送哪些语言
TE：告诉服务器可以使用那些扩展传输编码
Expect：允许客户端列出某请求所要求的服务器行为
Range：如果服务器支持范围请求，就请求资源的指定范围
Cookie：客户端用它向服务器传送数据
Cookie2：用来说明请求端支持的cookie版本
5.2.3主体
此部分为请求报文的主体部分
5.3响应报文
5.3.1起始行
应答报文的起始行也包含了3个部分
协议类型及版本号状态码状态码的文字描述
状态码：
100：继续 客户端应当继续发送请求。客户端应当继续发送请求的剩余部分，或者如果请求已经完成，忽略这个响应。
101： 转换协议 在发送完这个响应最后的空行后，将会切换到在Upgrade 消息头中定义的那些协议。只有在切换新的协议更有好处的时候才应该采取类似措施。
102：继续处理 由WebDAV（RFC 2518）扩展的状态码，代表处理将被继续执行。
200：请求成功 处理方式：获得响应的内容，进行处理
201：请求完成，结果是创建了新资源。新创建资源的URI可在响应的实体中得到 处理方式：爬虫中不会遇到
202：请求被接受，但处理尚未完成 处理方式：阻塞等待
204：服务器端已经实现了请求，但是没有返回新的信 息。如果客户是用户，则无须为此更新自身的文档视图。 处理方式：丢弃
300：该状态码不被HTTP/1.0的应用程序直接使用， 只是作为3XX类型回应的默认解释。存在多个可用的被请求资源。 处理方式：若程序中能够处理，则进行进一步处理，如果程序中不能处理，则丢弃
301：请求到的资源都会分配一个永久的URL，这样就可以在将来通过该URL来访问此资源 处理方式：重定向到分配的URL
302：请求到的资源在一个不同的URL处临时保存 处理方式：重定向到临时的URL
304：请求的资源未更新
400：非法请求
401：未授权 处理方式：丢弃
403：禁止 处理方式：丢弃
404：没有找到 处理方式：丢弃
500：服务器内部错误 服务器遇到了一个未曾预料的状况，导致了它无法完成对请求的处理。一般来说，这个问题都会在的源代码出现错误时出现。
501：服务器无法识别 服务器不支持当前请求所需要的某个功能。当服务器无法识别请求的方法，并且无法支持其对任何资源的请求。
502：错误网关 作为网关或者工作的服务器尝试执行请求时，从上游服务器接收到无效的响应。
503：服务出错 由于临时的维护或者过载，服务器当前无法处理请求。这个状况是临时的，并且将在一段时间以后恢复。
5.3.2头部
Age：(从最初创建开始)响应持续时间
Public：服务器为其资源支持的请求方法列表
Retry-After：如果资源不可用的话，在此日期或时间重试
Server：服务器应用程序软件的名称和版本
Title：对HTML文档来说，就是HTML文档的源端给出的标题
Warning：比原因短语更详细一些的警告报文
Accept-Ranges：对此资源来说，服务器可接受的范围类型
Vary：服务器会根据这些首部的内容挑选出最适合的资源版本发送给客户端
Proxy-Authenticate：来自代理的对客户端的质询列表
Set-Cookie：在客户端设置数据，以便服务器对客户端进行标识
Set-Cookie2：与Set-Cookie类似
WWW-Authenticate：来自服务器的对客户端的质询列表
5.3.3主体
响应报文的主体部分
5.4实例分析
《wireshark抓包分析tcp，wireshark过滤tcp》来自互联网同行内容，若有侵权，请联系我们删除！
还没有评论，来说两句吧...