TCP协议通讯⼯作原理

⼀、TCP三次握⼿

传输控制协议(Transport Control Protocol)是⼀种⾯向连接的，可靠的传输层协议。⾯向连接是指⼀次正常的TCP传输需要通过在TCP客户端和TCP服务端建⽴特定的虚电路连接来完成，该过程通常被称为“三次握⼿”。可靠性可以通过很多种⽅法来提供保证，在这⾥我们关⼼的是数据序列和确认。TCP通过数据分段(Segment)中的序列号保证所有传输的数据可以在远端按照正常的次序进⾏重组，⽽且通过确认保证数据传输的完整性。要通过TCP传输数据，必须在两端主机之间建⽴连接。举例说明，TCP客户端需要和TCP服务端建⽴连接，过程如下所⽰：

在第⼀步中，客户端向服务端提出连接请求。这时TCP SYN标志置位。客户端告诉服务端序列号区域合法，需要检查。客户端在TCP报头的序列号区中插⼊⾃⼰的ISN。服务端收到该TCP分段后，在第⼆步以⾃⼰的ISN回应(SYN标志置位)，同时确认收到客户端的第⼀个TCP分段(ACK标志置位)。在第三步中，客户端确认收到服务端的ISN(ACK标志置位)。到此为⽌建⽴完整的TCP连接，开始全双⼯模式的数据传输过程。

⼆、TCP标志

这⾥有必要介绍⼀下TCP分段中的标志(Flag)置位情况。

·SYN：同步标志

　　同步序列编号(Synchronize Sequence Numbers)栏有效。该标志仅在三次握⼿建⽴TCP连接时有效。它提⽰TCP连接的服务端检查序列编号，该序列编号为TCP连接初始端(⼀般是客户端)的初始序列编号。在这⾥，可以把TCP序列编号看作是⼀个范围从0到4，294，967，295的32位计数器。通过TCP连接交换的数据中每⼀个字节都经过序列编号。在TCP报头中的序列编号栏包括了TCP分段中第⼀个字节的序列编号。

·ACK：确认标志

　　确认编号(Acknowledgement Number)栏有效。⼤多数情况下该标志位是置位的。TCP报头内的确认编号栏内包含的确认编号(w+1，Figure-1)为下⼀个预期的序列编号，同时提⽰远端系统已经成功接收所有数据。纽荷尔焊点检测显微镜ABS塑料观察。

·RST：复位标志

　　复位标志有效。⽤于复位相应的TCP连接。

·URG：紧急标志

　　紧急(The urgent pointer) 标志有效。紧急标志置位，

·PSH：推标志

　　该标志置位时，接收端不将该数据进⾏队列处理，⽽是尽可能快将数据转由应⽤处理。在处理 telnet 或 rlogin等交互模式的连接时，该标志总是置位的。

·FIN：结束标志

　　带有该标志置位的数据包⽤来结束⼀个TCP回话，但对应端⼝仍处于开放状态，准备接收后续数据。

三、TCP端⼝

为了能够⽀持同时发⽣的并⾏访问请求，TCP提供⼀种叫做“端⼝”的⽤户接⼝。端⼝是操作系统核⼼⽤来识别不同的⽹络回话过程。这是⼀个严格的传输层定义。通过TCP端⼝和IP地址的配合使⽤，可以提供到达终端的通讯⼿段。实际上，在任⼀时刻的互联⽹络连接可以由4个数字进⾏描述：来源IP地址和来源端⼝，⽬的IP地址和⽬的端⼝。位于不同系统平台，⽤来提供服务的⼀端通过标准的端⼝提供相应服务。举例来说，标准的TELNET守护进程(telnet daemon)通过监听TCP 23端⼝，准备接收⽤户端的连接请求。

四、TCP缓存(TCP Backlog)

通常情况下，操作系统会使⽤⼀块限定的内存来处理TCP连接请求。每当⽤户端发送的SYN标志置位连接请求到服务端的⼀个合法端⼝(提供TCP服务的⼀端监听该端⼝)时，处理所有连接请求的内存使⽤量必须进⾏限定。如果不进⾏限定，系统会因处理⼤量的TCP连接请求⽽耗尽内存，这在某种程度上可以说是⼀种简单的DoS攻击。这块经过限定的，⽤于处理TCP连接的内存称为TCP缓存(TCP Backlog)，它实际上是⽤于处理进站(inbound)连接请求的⼀个队列。该队列保存那些处于半开放(half-open)状态的TCP连接项⽬，和已建⽴完整连接但仍未由应⽤程序通过accept()调⽤提取的项⽬。如果这个缓存队列被填满，除⾮可以及时处理队列中的项⽬，否则任何其它新的TCP连接请求会被丢弃。

⼀般情况下，该缓存队列的容量很⼩。原因很简单，在正常的情况下TCP可以很好的处理连接请求。如果当缓存队列填满的时候新的客户端连接请求被丢弃，客户端只需要简单的重新发送连接请求，服务端有时间清空缓存队列以相应新的连接请求。

在现实环境中，不同操作系统⽀持TCP缓冲队列有所不同。在BSD结构的系统中，如下所⽰：

五、TCP进站(Inbound)处理过程

为了更好的讲述TCP SYN Flood的攻击过程，我们先来介绍⼀下正常情况下，TCP进站处理的过程。

　　服务端处于监听状态，客户端⽤于建⽴连接请求的数据包(IP packet)按照TCP/IP协议堆栈组合成为TCP处理的分段(segment)。

　　分析报头信息：TCP层接收到相应的TCP和IP报头，将这些信息存储到内存中。

　　检查TCP校验和(checksum)：标准的校验和位于分段之中(Figure-2)。如果检验失败，不返回确认，该分段丢弃，并等待客户端进⾏重传。

　　查找协议控制块(PCB{})：TCP查找与该连接相关联的协议控制块。如果没有找到，TCP将该分段丢弃并返回RST。(这就是TCP处理没有端⼝监听情况下的机制) 如果该协议控制块存在，但状态为关闭，服务端不调⽤connect()或listen()。该分段丢弃，但不返回RST。客户端会尝试重新建⽴连接请求。

　　建⽴新的socket：当处于监听状态的socket收到该分段时，会建⽴⼀个⼦socket，同时还有socket{}，tcpcb{}和pcb{}建⽴。这时如果有错误发⽣，会通过标志位来拆除相应的socket和释放内存，TCP连接失败。如果缓存队列处于填满状态，TCP认为有错误发⽣，所有的后续连接请求会被拒绝。这⾥可以看出SYN Flood攻击是如何起作⽤的。

　　丢弃：如果该分段中的标志为RST或ACK，或者没有SYN标志，则该分段丢弃。并释放相应的内存。

TCP/IP是很多的不同的协议组成，实际上是⼀个协议组，TCP⽤户数据报表协议(也称作TCP传输控制协议，Transport Control Protocol。可靠的主机到主机层协议。这⾥要先强调⼀下，传输控制协议是OSI⽹络的第四层的叫法，TCP传输控制协议是TCP/IP传输的6个基本协议的⼀种。两个TCP意思⾮相同。 )。

TCP是⼀种可靠的⾯向连接的传送服务。它在传送数据时是分段进⾏的，主机交换数据必须建⽴⼀个会话。它⽤⽐特流通信，即数据被作为⽆结构的字节流。通过每个TCP传输的字段指定顺序号，以获得可靠性。是在OSI参考模型中的第四层，TCP是使⽤IP的⽹间互联功能⽽提供可靠的数据传输，IP不停的把报⽂放到⽹络上，⽽TCP是负责确信报⽂到达。在协同IP的操作中TCP负责：握⼿过程、报⽂管理、流量控制、错误检测和处理（控制），可以根据⼀定的编号顺序对⾮正常顺序的报⽂给予从新排列顺序。关于TCP的RFC⽂档有RFC793、RFC791、RFC1700。

在TCP会话初期，有所谓的“三握⼿”：对每次发送的数据量是怎样跟踪进⾏协商使数据段的发送和接收同步，根据所接收到的数据量⽽确定的数据确认数及数据发送、接收完毕后何时撤消联系，并建⽴虚连接。为了提供可靠的传送，TCP在发送新的数据之前，以特定的顺序将数据包的序号，并需要这些包传送给⽬标机之后的确认消息。TCP总是⽤来发送⼤批量的数据。当应⽤程序在收到数据后要做出确认时也要⽤到TCP。由于TCP需要时刻跟踪，这需要额外开销，使得TCP的格式有些显得复杂。下⾯就让我们看⼀个TCP的经典案例，这是后来被称为MITNICK攻击中KEVIN开创了两种攻击技术：

两种攻击技术：

TCP会话劫持

SYN FLOOD（同步洪流）

在这⾥我们讨论的时TCP会话劫持的问题。

先让我们明⽩TCP建⽴连接的基本简单的过程。为了建设⼀个⼩型的模仿环境我们假设有3台接⼊互联⽹的机器。A为攻击者操纵的攻击机。B为中介跳板机器（受信任的服务器）。C为受害者使⽤的机器（多是服务器），这⾥把C机器锁定为⽬标机器。A机器向B机器发送SYN包，请求建⽴连接，这时已经响应请求的B机器会向A机器回应SYN/ACK表明同意建⽴连接，当A机器接受到B机器发送的SYN/ACK回应时，发送应答ACK建⽴A机器与B机器的⽹络连接。这样⼀个两台机器之间的TCP通话信道就建⽴成功了。

B终端受信任的服务器向C机器发起TCP连接，A机器对服务器发起SYN信息，使C机器不能响应B机器。在同时A机器也向B机器发送虚假的C机器回应的SYN数据包，接收到SYN数据包的B机器（被C机器信任）开始发送应答连接建⽴的SYN/ACK数据包，这时C机器正在忙于响应以前发送的SYN数据⽽⽆暇回应B机器，⽽A机器的攻击者预测出B机器包的序列号（现在的TCP序列号预测难度有所加⼤）假冒C机器向B机器发送应答ACK这时攻击者骗取B机器的信任，假冒C机器与B机器建⽴起TCP协议的对话连接。这个时候的C机器还是在响应攻击者A 机器发送的SYN数据。

TCP协议栈的弱点：TCP连接的资源消耗，其中包括：数据包信息、条件状态、序列号等。通过故意不完成建⽴连接所需要的三次握⼿过程，造成连接⼀⽅的资源耗尽。

通过攻击者有意的不完成建⽴连接所需要的三次握⼿的全过程，从⽽造成了C机器的资源耗尽。序列号的可预测性，⽬标主机应答连接请求时返回SYN/ACK的序列号时可预测的。（早期TCP协议栈，具体的可以参见1981年出的关于TCP雏形的RFC793⽂档）

TCP头结构

TCP协议头最少20个字节，包括以下的区域（由于翻译不禁相同，⽂章中给出相应的英⽂单词）：

TCP源端⼝(Source Port)：16位的源端⼝其中包含初始化通信的端⼝。源端⼝和源IP地址的作⽤是标⽰报问的返回地址。

TCP⽬的端⼝(Destination port)：16位的⽬的端⼝域定义传输的⽬的。这个端⼝指明报⽂接收计算机上的应⽤程序地址接⼝。

TCP序列号（序列码,Sequence Number）：32位的序列号由接收端计算机使⽤，重新分段的报⽂成最初形式。当SYN出现，序列码实际上是初始序列码（ISN），⽽第⼀个数据字节是ISN+1。这个序列号（序列码）是可以补偿传输中的不⼀致。

TCP应答号(Acknowledgment Number)：32位的序列号由接收端计算机使⽤，重组分段的报⽂成最初形式。，如果设置了ACK控制位，这个值表⽰⼀个准备接收的包的序列码。

数据偏移量(HLEN)：4位包括TCP头⼤⼩，指⽰何处数据开始。

保留(Reserved)：6位值域，这些位必须是0。为了将来定义新的⽤途所保留。

标志(Code Bits)：6位标志域。表⽰为：紧急标志、有意义的应答标志、推、重置连接标志、同步序列号标志、完成发送数据标志。按照顺序排列是：URG、ACK、PSH、RST、SYN、FIN。

窗⼝(Window)：16位，⽤来表⽰想收到的每个TCP数据段的⼤⼩。

校验位(Checksum)：16位TCP头。源机器基于数据内容计算⼀个数值，收信息机要与源机器数值结果完全⼀样，从⽽证明数据的有效性。

优先指针（紧急,Urgent Pointer）：16位，指向后⾯是优先数据的字节，在URG标志设置了时才有效。如果URG标志没有被设置，紧急域作为填充。加快处理标⽰为紧急的数据段。

选项(Option)：长度不定，但长度必须以字节。如果没有选项就表⽰这个⼀字节的域等于0。

填充：不定长，填充的内容必须为0，它是为了数学⽬的⽽存在。⽬的是确保空间的可预测性。保证包头的结合和数据的开始处偏移量能够被32整除，⼀般额外的零以保证TCP头是32位的整数倍。纽荷尔焊点检测显微镜ABS塑料观察。

标志控制功能

URG：紧急标志

紧急(The urgent pointer) 标志有效。紧急标志置位，

ACK：确认标志

确认编号(Acknowledgement Number)栏有效。⼤多数情况下该标志位是置位的。TCP报头内的确认编号栏内包含的确认编号(w+1，Figure：1)为下⼀个预期的序列编号，同时提⽰远端系统已经成功接收所有数据。

PSH：推标志

该标志置位时，接收端不将该数据进⾏队列处理，⽽是尽可能快将数据转由应⽤处理。在处理 telnet 或 rlogin 等交互模式的连接时，该标志总是置位的。

RST：复位标志，复位标志有效。⽤于复位相应的TCP连接。

SYN：同步标志

同步序列编号(Synchronize Sequence Numbers)栏有效。该标志仅在三次握⼿建⽴TCP连接时有效。它提⽰TCP连接的服务端检查序列编号，该序列编号为TCP连接初始端(⼀般是客户端)的初始序列编号。在这⾥，可以把TCP序列编号看作是⼀个范围从0到4，294，967，295的32位计数器。通过TCP连接交换的数据中每⼀个字节都经过序列编号。在TCP报头中的序列编号栏包括了TCP分段中第⼀个字节的序列编号。

FIN：结束标志

带有该标志置位的数据包⽤来结束⼀个TCP回话，但对应端⼝仍处于开放状态，准备接收后续数据。

服务端处于监听状态，客户端⽤于建⽴连接请求的数据包(IP packet)按照TCP/IP协议堆栈组合成为TCP处理的分段(segment)。

分析报头信息： TCP层接收到相应的TCP和IP报头，将这些信息存储到内存中。

检查TCP校验和(checksum)：标准的校验和位于分段之中(Figure：2)。如果检验失败，不返回确认，该分段丢弃，并等待客户端进⾏重传查找协议控制块(PCB{})：TCP查找与该连接相关联的协议控制块。如果没有找到，TCP将该分段丢弃并返回RST。(这就是TCP处理没有端⼝监听情况下的机制) 如果该协议控制块存在，但状态为关闭，服务端不调⽤connect()或listen()。该分段丢弃，但不返回RST。客户端会尝试重新建⽴连接请求。

建⽴新的socket：当处于监听状态的socket收到该分段时，会建⽴⼀个⼦socket，同时还有socket{}，tcpcb{}和pub{}建⽴。这时如果有错误发⽣，会通过标志位来拆除相应的socket和释放内存，TCP连接失败。如果缓存队列处于填满状态，TCP认为有错误发⽣，所有的后续连接请求会被拒绝。这⾥可以看出SYN Flood攻击是如何起作⽤的。

丢弃：如果该分段中的标志为RST或ACK，或者没有SYN标志，则该分段丢弃。并释放相应的内存。

发送序列变量

SND.UNA ：发送未确认

SND.NXT ：发送下⼀个

SND.WND ：发送窗⼝

SND.UP ：发送优先指针

SND.WL1 ：⽤于最后窗⼝更新的段序列号

SND.WL2 ：⽤于最后窗⼝更新的段确认号

ISS ：初始发送序列号

接收序列号

RCV.NXT ：接收下⼀个

RCV.WND ：接收下⼀个

RCV.UP ：接收优先指针

IRS ：初始接收序列号

当前段变量

SEG.SEQ ：段序列号

SEG.ACK ：段确认标记

SEG.LEN ：段长

SEG.WND ：段窗⼝

SEG.UP ：段紧急指针

SEG.PRC ：段优先级

CLOSED表⽰没有连接，各个状态的意义如下：

LISTEN ：监听来⾃远⽅TCP端⼝的连接请求。

SYN-SENT ：在发送连接请求后等待匹配的连接请求。

SYN-RECEIVED ：在收到和发送⼀个连接请求后等待对连接请求的确认。

ESTABLISHED ：代表⼀个打开的连接，数据可以传送给⽤户。

FIN-WAIT-1 ：等待远程TCP的连接中断请求，或先前的连接中断请求的确认。

FIN-WAIT-2 ：从远程TCP等待连接中断请求。

CLOSE-WAIT ：等待从本地⽤户发来的连接中断请求。

CLOSING ：等待远程TCP对连接中断的确认。

LAST-ACK ：等待原来发向远程TCP的连接中断请求的确认。

TIME-WAIT ：等待⾜够的时间以确保远程TCP接收到连接中断请求的确认。

CLOSED ：没有任何连接状态。

TCP连接过程是状态的转换，促使发⽣状态转换的是⽤户调⽤：OPEN，SEND，RECEIVE，CLOSE，ABORT和STATUS。传送过来的数据段，特别那些包括以下标记的数据段SYN，ACK，RST和FIN。还有超时，上⾯所说的都会时TCP状态发⽣变化。

序列号

请注意，我们在TCP连接中发送的字节都有⼀个序列号。因为编了号，所以可以确认它们的收到。对序列号的确认是累积性的。TCP必须进⾏的序列号⽐较操作种类包括以下⼏种：

①决定⼀些发送了的但未确认的序列号。

②决定所有的序列号都已经收到了。

③决定下⼀个段中应该包括的序列号。

对于发送的数据TCP要接收确认，确认时必须进⾏的：

SND.UNA = 最⽼的确认了的序列号。

SND.NXT = 下⼀个要发送的序列号。

SEG.ACK = 接收TCP的确认，接收TCP期待的下⼀个序列号。

SEG.SEQ = ⼀个数据段的第⼀个序列号。

SEG.LEN = 数据段中包括的字节数。

SEG.SEQ+SEG.LEN-1 = 数据段的最后⼀个序列号。

如果⼀个数据段的序列号⼩于等于确认号的值，那么整个数据段就被确认了。纽荷尔焊点检测显微镜ABS塑料观察，⽽在接收数据时下⾯的⽐较操作是必须的：

RCV.NXT = 期待的序列号和接收窗⼝的最低沿。

RCV.NXT+RCV.WND：1 = 最后⼀个序列号和接收窗⼝的最⾼沿。

SEG.SEQ = 接收到的第⼀个序列号。

SEG.SEQ+SEG.LEN：1 = 接收到的最后⼀个序列号