开发笔记:计网TCP实战：如何进行TCP抓包调试？

Wireshark 是世界上应用最广泛的网络协议分析器&＃xff0c;它让我们在微观层面上看到整个网络正在发生的事情。

Wireshark 本身是一个开源项目&＃xff0c;所以也得到了很多志愿者的支持。同时&＃xff0c;Wireshark 具有丰富的功能集&＃xff0c;包括&＃xff1a;

• 深入检查数百个协议&＃xff0c;并不断添加更多协议&＃xff1b;

• 实时捕获和离线分析&＃xff1b;

• 支持 Windows、Linux、macOS、Solaris、FreeBSD、NetBSD&＃xff0c;以及许多其他平台&＃xff1b;

• 提供 GUI 浏览&＃xff0c;也可以通过 TTY&＃xff1b;

• 支持 VOIP&＃xff1b;

• 支持 Gzip&＃xff1b;

• 支持 IPSec。

……

Wireshark 的主页&＃xff1a;https://www.wireshark.org/download.html下载 Wireshark

那如何通过wireshark进行 TCP 抓包和调试&＃xff1f;

Whireshark 可以帮你看到整个网络交通情况&＃xff0c;也可以帮你深入了解每个封包。而且 Whireshark 在 macOS、Linux、Windows 上的操作都是一致的&＃xff0c;打开 Wireshark 会先看到如下图所示的一个选择网络接口的界面。

我们要做的第一件事情就是选择一个网络接口&＃xff08;Network Interface&＃xff09;。Linux 下可以使用ifconfig指令看到所有的网络接口&＃xff0c;Windows 下则使用 ipconfig。可以看到&＃xff0c;上图中有很多网络接口&＃xff0c;目前我连接路由器的接口是以太网 2。

开启捕获功能

选择好接口之后&＃xff0c;点击左上角的按钮就可以开启捕获&＃xff0c;开启后看到的是一个个数据条目。

因为整个网络的数据非常多&＃xff0c;大量的应用都在使用网络&＃xff0c;你会看到非常多数据条目&＃xff0c;每个条目是一次数据的发送或者接收。如下图所示&＃xff1a;

以下是具体捕获到的内容&＃xff1a;

• 序号&＃xff08;No.&＃xff09;是 Wireshark 分配的一个从捕获开始的编号。

• 时间&＃xff08;Time&＃xff09;是从捕获开始过去的时间戳&＃xff0c;具体可以在视图中设置&＃xff0c;比如可以设置成中文的年月日等。这里有很多配置需要你自己摸索一下&＃xff0c;我就不详细介绍了。

• 源地址和目标地址&＃xff08;Source 和 Destination&＃xff09;是 IP 协议&＃xff0c;注意这里有 IPv6 的地址&＃xff0c;也有 IPV4 的地址。

• 协议可能有很多种&＃xff0c;比如 TCP/UDP/ICMP 等&＃xff0c;ICMP 是 IP 协议之上搭建的一个消息控制协议&＃xff08;Internet Control Message Protocol&＃xff09;&＃xff0c;比如 Ping 用的就是 ICMP&＃xff1b;还有 ARP 协议&＃xff08;Address Resolution Protocol&＃xff09;用来在局域网广播自己的 MAC 地址。

• Length 是消息的长度&＃xff08;Bytes&＃xff09;。

• Info 是根据不同协议显示的数据&＃xff0c;比如你可以看到在TCP 协议上看到Seq 和 ACK。这里的 Seq 和 ACK 已经简化过了&＃xff0c;正常情况下是一个大随机数&＃xff0c;Whireshark 帮你共同减去了一个初始值。

观察 TCP 协议

如果你具体选择一个 TCP 协议的捕获&＃xff0c;可以看到如下图所示的内容&＃xff1a;

然后在这下面可以观察到详情内容&＃xff1a;

我们可以从不同的层面来看这次捕获。从传输层看是 TCP 段&＃xff1b;从网络层来看是 IP 封包&＃xff1b;从链路层来看是 Frame。

点开不同层面观察这个 TCP 段&＃xff0c;就可以获得对它更具体的认识&＃xff0c;例如下图是从 TCP 层面理解这次捕获&＃xff1a;

你可以看到这次捕获是一次 ACK&＃xff08;见 Flags&＃xff09;字段&＃xff0c;从端口 58260 发往 443&＃xff0c;那么大概率是 HTTPS 客户端给服务器的响应。

消息视图

如果你选中一条消息&＃xff0c;下面会出现一个消息视图。还有一个二进制视图。二进制视图里面是数据的二进制形式&＃xff0c;消息视图是对二进制形式的解读。

Whireshark 追溯的是最底层网卡传输的 Frame&＃xff08;帧&＃xff09;&＃xff0c;可以追溯到数据链路层。因此对二进制形式的解读&＃xff0c;也就是我们的消息视图也要分层。因为对于同样的数据&＃xff0c;不同层的解读是不同的。

• 最上面是 Frame 数据&＃xff0c;主要是关注数据的收发时间和大小。

• 接着是数据链路层数据&＃xff0c;关注的是设备间的传递。你可以在这里看到源 MAC 地址和目标 MAC 地址。

• 然后是网络层数据&＃xff0c;IP 层数据。这里有 IP 地址&＃xff08;源 IP 地址和目标 IP 地址&＃xff09;&＃xff1b;也有头部的 Checksum&＃xff08;用来纠错的&＃xff09;

• 最下面是传输层数据。 也就是 TCP 协议。关注的是源端口&＃xff0c;目标端口&＃xff0c;Seq、ACK 等。

• 有的传输层上还有一个 TLS 协议&＃xff0c;这是因为用 HTTPS 请求了数据。TLS 也是传输层。TLS 是建立在 TCP 之上&＃xff0c;复用了 TCP 的逻辑。

观察 HTTP 协议

Wireshark 还可以用来观察其他的协议&＃xff0c;比如说 HTTP 协议&＃xff0c;下图是对 HTTP 协议的一次捕获&＃xff1a;

可以看到&＃xff0c;Wireshark 不仅仅捕获了应用层&＃xff0c;还可以看到这次 HTTP 捕获对应的传输层、网络层和链路层数据。

过滤和筛选

Wireshark 还提供了捕获的过滤&＃xff0c;我们只需要输入过滤条件&＃xff0c;就可以只看符合条件的捕获。

比如我们想分析一次到百度的握手。首先开启捕获&＃xff0c;然后在浏览器输入百度的网址&＃xff0c;最后通过ping指令看下百度的 IP 地址&＃xff0c;如下图所示&＃xff1a;

看到IP 地址之后&＃xff0c;我们在 Wireshark 中输入表达式&＃xff0c;如下图所示&＃xff1a;

这样看到的就是和百度关联的所有连接。上图中刚好是一次从建立 TCP 连接&＃xff08;3 次握手&＃xff09;&＃xff0c;到 HTTPS 协议传输握手的完整过程。你可以只看从192.168.1.5到14.215.177.39的请求。

首先是从客户端&＃xff08;192.168.1.5&＃xff09;发出的 SYN 和百度返回的 SYN-ACK&＃xff0c;如下图所示&＃xff1a;

然后是客户端返回给百度一个 ACK&＃xff1a;

接下来是 HTTPS 协议开始工作&＃xff08;开始握手&＃xff09;&＃xff1a;

可以看到 HTTPS 协议通过 TLSv1.2 发送了 Client Hello 到服务端。接下来是 Server 返回给客户端 ACK&＃xff0c;然后再发送给客户端一个 Server Hello&＃xff1a;

之后百度回传了证书&＃xff1a;

最后开始交换密钥&＃xff0c;直到 HTTPS 握手结束&＃xff1a;

报文颜色

在抓包过程中&＃xff0c;黑色报文代表各类报文错误&＃xff1b;红色代表出现异常&＃xff1b;其他颜色代表正常传输。

Wireshark 是个强大的工具&＃xff0c;支持大量的协议。还有很多关于 Wireshark 的能力&＃xff0c;希望你可以进一步探索&＃xff0c;如下图中鼠标右键一次捕获&＃xff0c;可以看到很多选项&＃xff0c;都是可以深挖的。

以 Java 为例&＃xff0c;写了一个回声服务&＃xff08;即客户端发送什么服务段返回什么&＃xff09;&＃xff0c;以下是服务端程序&＃xff1a;

var socket &＃61; new DatagramSocket(8888);
var buf &＃61; new byte[256];
while (true) {
DatagramPacket packet
&＃61; new DatagramPacket(buf, buf.length);
System.out.println("try receive...");
socket.receive(packet);
var address &＃61; packet.getAddress();
int port &＃61; packet.getPort();
packet &＃61; new DatagramPacket(buf, buf.length, address, port);
String received
&＃61; new String(packet.getData(), 0, packet.getLength());
socket.send(packet);
}


以下是客户端程序&＃xff1a;

var buf &＃61; "Hello".getBytes();
var socket &＃61; new DatagramSocket();
var address &＃61; InetAddress.getByName("localhost");
var packet
&＃61; new DatagramPacket(buf, buf.length, address, 8888);
socket.send(packet);
socket.receive(packet);
String received &＃61; new String(
packet.getData(), 0, packet.getLength());
System.out.format("Server echo : %s\\n", received);


通过观察上面两段程序&＃xff0c;你会发现发送和接收的都是Datagram报文。而且服务端和客户端之间不需要建立连接。服务端可以通过读取客户端的地址区分客户端&＃xff0c;客户端通过服务端地址和端口发送数据到服务端。