TCP/IP 是很多的不同的協(xié)議組成，實(shí)際上是一個(gè)協(xié)議組，TCP 用戶數(shù)據(jù)報(bào)表協(xié)議(也
稱作TCP 傳輸控制協(xié)議，Transport Control Protocol�？煽康闹鳈C(jī)到主機(jī)層協(xié)議。這里要先
強(qiáng)調(diào)一下，傳輸控制協(xié)議是OSI 網(wǎng)絡(luò)的第四層的叫法，TCP 傳輸控制協(xié)議是TCP/IP 傳輸?shù)?br /> 6 個(gè)基本協(xié)議的一種。兩個(gè)TCP 意思非相同。)。TCP 是一種可靠的面向連接的傳送服務(wù)。
它在傳送數(shù)據(jù)時(shí)是分段進(jìn)行的，主機(jī)交換數(shù)據(jù)必須建立一個(gè)會(huì)話。它用比特流通信，即數(shù)據(jù)
被作為無結(jié)構(gòu)的字節(jié)流。通過每個(gè)TCP 傳輸?shù)淖侄沃付�順序號，以獲得可靠性。是在OSI
參考模型中的第四層，TCP 是使用IP 的網(wǎng)間互聯(lián)功能而提供可靠的數(shù)據(jù)傳輸，IP 不停的把
報(bào)文放到網(wǎng)絡(luò)上，而TCP 是負(fù)責(zé)確信報(bào)文到達(dá)。在協(xié)同IP 的操作中TCP 負(fù)責(zé)：握手過程、
報(bào)文管理、流量控制、錯(cuò)誤檢測和處理（控制），可以根據(jù)一定的編號順序?qū)Ψ钦�常順序�?br /> 報(bào)文給予從新排列順序。關(guān)于TCP 的RFC 文檔有RFC793、RFC791、RFC1700。
在TCP 會(huì)話初期，有所謂的“三握手”：對每次發(fā)送的數(shù)據(jù)量是怎樣跟蹤進(jìn)行協(xié)商使
數(shù)據(jù)段的發(fā)送和接收同步，根據(jù)所接收到的數(shù)據(jù)量而確定的數(shù)據(jù)確認(rèn)數(shù)及數(shù)據(jù)發(fā)送、接收完
畢后何時(shí)撤消聯(lián)系，并建立虛連接。為了提供可靠的傳送，TCP 在發(fā)送新的數(shù)據(jù)之前，以
特定的順序?qū)��?shù)據(jù)包的序號，并需要這些包傳送給目標(biāo)機(jī)之后的確認(rèn)消息。TCP 總是用來
發(fā)送大批量的數(shù)據(jù)。當(dāng)應(yīng)用程序在收到數(shù)據(jù)后要做出確認(rèn)時(shí)也要用到TCP。由于TCP 需要
時(shí)刻跟蹤，這需要額外開銷，使得TCP 的格式有些顯得復(fù)雜。下面就讓我們看一個(gè)TCP 的
經(jīng)典案例，這是后來被稱為MITNICK 攻擊中KEVIN 開創(chuàng)了兩種攻擊技術(shù)：
TCP 會(huì)話劫持
SYN FLOOD（同步洪流）
在這里我們討論的時(shí)TCP 會(huì)話劫持的問題。
先讓我們明白TCP 建立連接的基本簡單的過程。為了建設(shè)一個(gè)小型的模仿環(huán)境我們假
設(shè)有3 臺(tái)接入互聯(lián)網(wǎng)的機(jī)器。A 為攻擊者操縱的攻擊機(jī)。B 為中介跳板機(jī)器（受信任的服務(wù)
器）。C 為受害者使用的機(jī)器（多是服務(wù)器），這里把C 機(jī)器鎖定為目標(biāo)機(jī)器。A 機(jī)器向B
機(jī)器發(fā)送SYN 包，請求建立連接，這時(shí)已經(jīng)響應(yīng)請求的B 機(jī)器會(huì)向A 機(jī)器回應(yīng)SYN/ACK
表明同意建立連接，當(dāng)A 機(jī)器接受到B 機(jī)器發(fā)送的SYN/ACK 回應(yīng)時(shí)，發(fā)送應(yīng)答ACK 建立
A 機(jī)器與B 機(jī)器的網(wǎng)絡(luò)連接。這樣一個(gè)兩臺(tái)機(jī)器之間的TCP 通話信道就建立成功了。
B 終端受信任的服務(wù)器向C 機(jī)器發(fā)起TCP 連接，A 機(jī)器對服務(wù)器發(fā)起SYN 信息，使
C 機(jī)器不能響應(yīng)B 機(jī)器。在同時(shí)A 機(jī)器也向B 機(jī)器發(fā)送虛假的C 機(jī)器回應(yīng)的SYN 數(shù)據(jù)包，
接收到SYN 數(shù)據(jù)包的B 機(jī)器（被C 機(jī)器信任）開始發(fā)送應(yīng)答連接建立的SYN/ACK 數(shù)據(jù)包，
這時(shí)C 機(jī)器正在忙于響應(yīng)以前發(fā)送的SYN 數(shù)據(jù)而無暇回應(yīng)B 機(jī)器，而A 機(jī)器的攻擊者預(yù)
測出B 機(jī)器包的序列號（現(xiàn)在的TCP 序列號預(yù)測難度有所加大）假冒C 機(jī)器向B 機(jī)器發(fā)送
應(yīng)答ACK 這時(shí)攻擊者騙取B 機(jī)器的信任，假冒C 機(jī)器與B 機(jī)器建立起TCP 協(xié)議的對話連
接。這個(gè)時(shí)候的C 機(jī)器還是在響應(yīng)攻擊者A 機(jī)器發(fā)送的SYN 數(shù)據(jù)。
TCP 協(xié)議棧的弱點(diǎn)：TCP 連接的資源消耗，其中包括：數(shù)據(jù)包信息、條件狀態(tài)、序列
號等。通過故意不完成建立連接所需要的三次握手過程，造成連接一方的資源耗盡。
通過攻擊者有意的不完成建立連接所需要的三次握手的全過程，從而造成了C 機(jī)器的
資源耗盡。序列號的可預(yù)測性，目標(biāo)主機(jī)應(yīng)答連接請求時(shí)返回的SYN/ACK 的序列號時(shí)可預(yù)
測的。（早期TCP 協(xié)議棧，具體的可以參見1981 年出的關(guān)于TCP 雛形的RFC793 文檔）
TCP 頭結(jié)構(gòu)
TCP 協(xié)議頭最少20 個(gè)字節(jié)，包括以下的區(qū)域（由于翻譯不禁相同，文章中給出
相應(yīng)的英文單詞）：
TCP 源端口(Source Port)：16 位的源端口其中包含初始化通信的端口。源端口和
源IP 地址的作用是標(biāo)示報(bào)問的返回地址。
TCP 目的端口(Destination port)：16 位的目的端口域定義傳輸?shù)哪康摹＿@個(gè)端口指
明報(bào)文接收計(jì)算機(jī)上的應(yīng)用程序地址接口。
TCP 序列號（序列碼,Sequence Number）：32 位的序列號由接收端計(jì)算機(jī)使用，重
新分段的報(bào)文成最初形式。當(dāng)SYN 出現(xiàn)，序列碼實(shí)際上是初始序列碼（ISN），而第一個(gè)數(shù)
據(jù)字節(jié)是ISN+1。這個(gè)序列號（序列碼）是可以補(bǔ)償傳輸中的不一致。
TCP 應(yīng)答號(Acknowledgment Number)：32 位的序列號由接收端計(jì)算機(jī)使用，重
組分段的報(bào)文成最初形式。，如果設(shè)置了ACK 控制位，這個(gè)值表示一個(gè)準(zhǔn)備接收的包的序
列碼。
數(shù)據(jù)偏移量(HLEN)：4 位包括TCP 頭大小，指示何處數(shù)據(jù)開始。
保留(Reserved)：6 位值域，這些位必須是0。為了將來定義新的用途所保留。
標(biāo)志(Code Bits)：6 位標(biāo)志域。表示為：緊急標(biāo)志、有意義的應(yīng)答標(biāo)志、推、重置
連接標(biāo)志、同步序列號標(biāo)志、完成發(fā)送數(shù)據(jù)標(biāo)志。按照順序排列是：URG、ACK、PSH、
RST、SYN、FIN。
窗口(Window)：16 位，用來表示想收到的每個(gè)TCP 數(shù)據(jù)段的大小。
校驗(yàn)位(Checksum)：16 位TCP 頭。源機(jī)器基于數(shù)據(jù)內(nèi)容計(jì)算一個(gè)數(shù)值，收信息機(jī)
要與源機(jī)器數(shù)值結(jié)果完全一樣，從而證明數(shù)據(jù)的有效性。
優(yōu)先指針（緊急,Urgent Pointer）：16 位，指向后面是優(yōu)先數(shù)據(jù)的字節(jié)，在URG
標(biāo)志設(shè)置了時(shí)才有效。如果URG 標(biāo)志沒有被設(shè)置，緊急域作為填充。加快處理標(biāo)示為緊急
的數(shù)據(jù)段。
選項(xiàng)(Option)：長度不定，但長度必須以字節(jié)。如果沒有選項(xiàng)就表示這個(gè)一字節(jié)
的域等于0。
填充：不定長，填充的內(nèi)容必須為0，它是為了數(shù)學(xué)目的而存在。目的是確保空
間的可預(yù)測性。保證包頭的結(jié)合和數(shù)據(jù)的開始處偏移量能夠被32 整除，一般額外的零以保
證TCP 頭是32 位的整數(shù)倍。
標(biāo)志控制功能
URG：緊急標(biāo)志
緊急(The urgent pointer) 標(biāo)志有效。緊急標(biāo)志置位，
ACK：確認(rèn)標(biāo)志
確認(rèn)編號(Acknowledgement Number)欄有效。大多數(shù)情況下該標(biāo)志位是置位的。
TCP 報(bào)頭內(nèi)的確認(rèn)編號欄內(nèi)包含的確認(rèn)編號(w+1，F(xiàn)igure：1)為下一個(gè)預(yù)期的序列編號，同
時(shí)提示遠(yuǎn)端系統(tǒng)已經(jīng)成功接收所有數(shù)據(jù)。
PSH：推標(biāo)志
該標(biāo)志置位時(shí)，接收端不將該數(shù)據(jù)進(jìn)行隊(duì)列處理，而是盡可能快將數(shù)據(jù)轉(zhuǎn)由應(yīng)用
處理。在處理telnet 或rlogin 等交互模式的連接時(shí)，該標(biāo)志總是置位的。
RST：復(fù)位標(biāo)志
復(fù)位標(biāo)志有效。用于復(fù)位相應(yīng)的TCP 連接。
SYN：同步標(biāo)志
同步序列編號(Synchronize Sequence Numbers)欄有效。該標(biāo)志僅在三次握手建立
TCP 連接時(shí)有效。它提示TCP 連接的服務(wù)端檢查序列編號，該序列編號為TCP 連接初始端
(一般是客戶端)的初始序列編號。在這里，可以把TCP 序列編號看作是一個(gè)范圍從0 到4，
294，967，295 的32 位計(jì)數(shù)器。通過TCP 連接交換的數(shù)據(jù)中每一個(gè)字節(jié)都經(jīng)過序列編號。
在TCP 報(bào)頭中的序列編號欄包括了TCP 分段中第一個(gè)字節(jié)的序列編號。
FIN：結(jié)束標(biāo)志
帶有該標(biāo)志置位的數(shù)據(jù)包用來結(jié)束一個(gè)TCP 回話，但對應(yīng)端口仍處于開放狀態(tài)，
準(zhǔn)備接收后續(xù)數(shù)據(jù)。
服務(wù)端處于監(jiān)聽狀態(tài)，客戶端用于建立連接請求的數(shù)據(jù)包(IP packet)按照TCP/IP
協(xié)議堆棧組合成為TCP 處理的分段(segment)。
分析報(bào)頭信息： TCP 層接收到相應(yīng)的TCP 和IP 報(bào)頭，將這些信息存儲(chǔ)到內(nèi)存中。
檢查TCP 校驗(yàn)和(checksum)：標(biāo)準(zhǔn)的校驗(yàn)和位于分段之中(Figure：2)。如果檢驗(yàn)
失敗，不返回確認(rèn)，該分段丟棄，并等待客戶端進(jìn)行重傳。
查找協(xié)議控制塊(PCB{})：TCP 查找與該連接相關(guān)聯(lián)的協(xié)議控制塊。如果沒有找
到，TCP 將該分段丟棄并返回RST。(這就是TCP 處理沒有端口監(jiān)聽情況下的機(jī)制) 如果該
協(xié)議控制塊存在，但狀態(tài)為關(guān)閉，服務(wù)端不調(diào)用connect()或listen()。該分段丟棄，但不返
回RST�？蛻舳藭�(huì)嘗試重新建立連接請求。
建立新的socket：當(dāng)處于監(jiān)聽狀態(tài)的socket 收到該分段時(shí)，會(huì)建立一個(gè)子socket，
同時(shí)還有socket{}，tcpcb{}和pub{}建立。這時(shí)如果有錯(cuò)誤發(fā)生，會(huì)通過標(biāo)志位來拆除相應(yīng)
的socket 和釋放內(nèi)存，TCP 連接失敗。如果緩存隊(duì)列處于填滿狀態(tài)，TCP 認(rèn)為有錯(cuò)誤發(fā)生，
所有的后續(xù)連接請求會(huì)被拒絕。這里可以看出SYN Flood 攻擊是如何起作用的。
丟棄：如果該分段中的標(biāo)志為RST 或ACK，或者沒有SYN 標(biāo)志，則該分段丟棄。
并釋放相應(yīng)的內(nèi)存。
發(fā)送序列變量
SND.UNA ： 發(fā)送未確認(rèn)
SND.NXT ： 發(fā)送下一個(gè)
SND.WND ： 發(fā)送窗口
SND.UP ： 發(fā)送優(yōu)先指針
SND.WL1 ： 用于最后窗口更新的段序列號
SND.WL2 ： 用于最后窗口更新的段確認(rèn)號
ISS ： 初始發(fā)送序列號
接收序列號
RCV.NXT ： 接收下一個(gè)
RCV.WND ： 接收下一個(gè)
RCV.UP ： 接收優(yōu)先指針
IRS ： 初始接收序列號
當(dāng)前段變量
SEG.SEQ ： 段序列號
SEG.ACK ： 段確認(rèn)標(biāo)記
SEG.LEN ： 段長
SEG.WND ： 段窗口
SEG.UP ： 段緊急指針
SEG.PRC ： 段優(yōu)先級
CLOSED 表示沒有連接，各個(gè)狀態(tài)的意義如下：
LISTEN ： 監(jiān)聽來自遠(yuǎn)方TCP 端口的連接請求。
SYN-SENT ： 在發(fā)送連接請求后等待匹配的連接請求。
SYN-RECEIVED ： 在收到和發(fā)送一個(gè)連接請求后等待對連接請求的確認(rèn)。
ESTABLISHED ： 代表一個(gè)打開的連接，數(shù)據(jù)可以傳送給用戶。
FIN-WAIT-1 ： 等待遠(yuǎn)程TCP 的連接中斷請求，或先前的連接中斷請求的確認(rèn)。
FIN-WAIT-2 ： 從遠(yuǎn)程TCP 等待連接中斷請求。
CLOSE-WAIT ： 等待從本地用戶發(fā)來的連接中斷請求。
CLOSING ： 等待遠(yuǎn)程TCP 對連接中斷的確認(rèn)。
LAST-ACK ： 等待原來發(fā)向遠(yuǎn)程TCP 的連接中斷請求的確認(rèn)。
TIME-WAIT ： 等待足夠的時(shí)間以確保遠(yuǎn)程TCP 接收到連接中斷請求的確認(rèn)。
CLOSED ： 沒有任何連接狀態(tài)。
TCP 連接過程是狀態(tài)的轉(zhuǎn)換，促使發(fā)生狀態(tài)轉(zhuǎn)換的是用戶調(diào)用：OPEN，SEND，
RECEIVE，CLOSE，ABORT 和STATUS。傳送過來的數(shù)據(jù)段，特別那些包括以下標(biāo)記的數(shù)
據(jù)段SYN，ACK，RST 和FIN。還有超時(shí)，上面所說的都會(huì)時(shí)TCP 狀態(tài)發(fā)生變化。
序列號
請注意，我們在TCP 連接中發(fā)送的字節(jié)都有一個(gè)序列號。因?yàn)榫幜颂�，所以可�?br /> 確認(rèn)它們的收到。對序列號的確認(rèn)是累積性的。TCP 必須進(jìn)行的序列號比較操作種類包括
以下幾種：
①?zèng)Q定一些發(fā)送了的但未確認(rèn)的序列號。
②決定所有的序列號都已經(jīng)收到了。
③決定下一個(gè)段中應(yīng)該包括的序列號。
對于發(fā)送的數(shù)據(jù)TCP 要接收確認(rèn)，確認(rèn)時(shí)必須進(jìn)行的：
SND.UNA = 最老的確認(rèn)了的序列號。
SND.NXT = 下一個(gè)要發(fā)送的序列號。
SEG.ACK = 接收TCP 的確認(rèn)，接收TCP 期待的下一個(gè)序列號。
SEG.SEQ = 一個(gè)數(shù)據(jù)段的第一個(gè)序列號。
SEG.LEN = 數(shù)據(jù)段中包括的字節(jié)數(shù)。
SEG.SEQ+SEG.LEN-1 = 數(shù)據(jù)段的最后一個(gè)序列號。
如果一個(gè)數(shù)據(jù)段的序列號小于等于確認(rèn)號的值，那么整個(gè)數(shù)據(jù)段就被確認(rèn)了。而
在接收數(shù)據(jù)時(shí)下面的比較操作是必須的：
RCV.NXT = 期待的序列號和接收窗口的最低沿。
RCV.NXT+RCV.WND：1 = 最后一個(gè)序列號和接收窗口的最高沿。
SEG.SEQ = 接收到的第一個(gè)序列號。
SEG.SEQ+SEG.LEN：1 = 接收到的最后一個(gè)序列號。