VC++分析数据包实现TCP协议的分析

TCP：Transmission Control Protocol 传输控制协议TCP是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能，UDP是同一层内另一个重要的传输协议。　

　TCP作用　　 

 TCP建立连接时的三次握手在因特网协议族（Internet protocol suite）四层协议中，TCP层是位于IP层之上，应用层之下的传输层。不同主机的应用层之间经常需要可靠的、像管道一样的连接，但是IP层不提供这样的流机制，而是提供不可靠的包交换。　

　应用层向TCP层发送用于网间传输的、用8位字节表示的数据流，然后TCP把数据流分割成适当长度的报文段（通常受该计算机连接的网络的数据链路层的最大传送单元（MTU）的限制）。之后TCP把结果包传给IP层，由它来通过网络将包传送给接收端实体的TCP层。TCP为了保证不发生丢包，就给每个字节一个序号，同时序号也保证了传送到接收端实体的包的按序接收。然后接收端实体对已成功收到的字节发回一个相应的确认（ACK）；如果发送端实体在合理的往返时延（RTT）内未收到确认，那么对应的数据（假设丢失了）将会被重传。TCP用一个校验和函数来检验数据是否有错误；在发送和接收时都要计算和校验。

　　首先，TCP建立连接之后，通信双方都同时可以进行数据的传输，其次，它是全双工的；在保证可靠性上，采用超时重传和捎带确认机制。　

　在流量控制上，采用滑动窗口协议，协议中规定，对于窗口内未经确认的分组需要重传。　　

在拥塞控制上，采用广受好评的TCP拥塞控制算法（也称AIMD算法），该算法主要包括三个主要部分：

1，加性增、乘性减；

2，慢启动；

3，对超时事件做出反应。什么是TCP/IP？　

　TCP/IP(Transmission Control Protocol/Internet Protocol) 即传输控制协议/网间协议，是一个工业标准的协议集，它是为广域网（WAN）设计的。它是由ARPANET网的研究机构发展起来的。　

　有时我们将TCP/IP描述为互联网协议集"InternetProtocolSuite",TCP和IP是其中的两个协议（后面将会介绍）。

由于TCP和IP是大家熟悉的协议，以至于用TCP/IP或IP/TCP这个词代替了整个协议集。

这尽管有点奇怪，但没有必要去争论这个习惯。例如，有时我们讨论NFS是基于TCP/IP时，尽管它根本没用到TCP（只用到IP和另一种交互式协议UDP，而不是TCP）。　

　TCP/IP的标准在一系列称为RFC的文档中公布。文档由技术专家、特别工作组、或RFC编辑修订。

公布一个文档时，该文档被赋予一个RFC编号，如RFC959（FTP的说明文档）、RFC793（TCP的说明文档）、RFC791（IP的说明文档）等。

最初的RFC一直保留而从来不会被更新，如果修改了该文档，则该文档又以一个新号码公布。

因此，重要的是要确认你拥有了关于某个专题的最新RFC文档。通常在RFC的开头部分，有相关RFC的更新(update)、修改（errata）、作废（obsolete）信息，提示读者信息的时效性。详情请阅读网站RFC-editor[1]。TCP所支持的服务类型　　不管怎样，TCP/IP是一个协议集。为应用提供一些"低级"功能，这些包括IP、TCP、UDP。其它是执行特定任务的应用协议，如计算机间传送文件、发送电子邮件、或找出谁注册到另外一台计算机。因此，最重要的"商业"TCP/IP服务有：FTP 文件传送（File Transfer)　　文件传送协议FTP(File TransferProtocol）允许用户从一台计算机到另一台取得文件，或发送文件到另外一台计算机。从安全性方面考虑，需要用户指定一个使用其它计算机的用户名和口令。它不同于NFS(Network File System）和Netbios协议。一旦你要访问另一台系统中的文件，任何时刻都要运行FTP。而且你只能拷贝文件到自己的机器中去来使用它。RFC 959中有关于FTP的详尽说明。RLogin 远程登录（Remote login)　

　网络终端协议TELNET允许用户登录到网络上任一计算机上。你可启动一个远程进程连接到指定的计算机，直到进程结束，期间你所键入的内容被送到所指定的计算机。值得注意的是，这时你实际上是与你的计算机进行对话。TELENET程序使得你的计算机在整个过程中不见了，所敲的每一个字符直接送到所登录的计算机系统。一般的说，这种远程连接是通过类式拨号连接的，也就是，拨通后，远程系统提示你输入注册名和口令，退出远程系统，TELNET程序也就退出，你又与自己的计算机对话了。微电脑中的TELNET工具一般含有一个终端仿真程序。SMTP POP3 电子邮件（Mail)　　

允许你发送消息给其它计算机的用户。通常，人们趋向于使用指定的一台或两台计算机。计算机邮件系统只需你简单地往另一用户的邮件文件中添加信息，但随之产生问题，使用的微电脑的环境不同，还有重要的是宏(MACRO）不适合于接受计算机邮件。为了发送电子邮件，邮件软件希望连接到目的计算机，如果是微电脑，也许它已关机，或者正在运行另一个应用程序呢?出于这种原因，通常由一个较大的系统来处理这些邮件，也就是一个一直运行着的邮件服务器。邮件软件成为用户从邮件服务器取回邮件的一个界面。　

　任何一个的TCP/IP工具提供上述这些服务。这些传统的应用功能在基于TCP/IP的网络中一直扮演非常重要的角色。目前情况有点变化，这些功能使用也发生变化，如老系统的改造，计算机的发展等，出现了各种安装版本，如：微电脑、工作站、小型机、和巨型机等。这些计算机好像在一起完成指定的任务，尽管有时看来像是只用到某个指定的计算机，但它是通过网络得到其它计算机系统的服务。服务器Server是为网络上其它提供指定服务的系统，客户Client是得到这种服务的另外计算机系统。（值得注意的是，服务/客户机不一定是不同的计算机，有可能是同一计算机中的不同运行程序）。以下是几种目前计算机上典型的一些服务，这些服务可在TCP/IP网络上调用。NFS 网络文件系统（Network File System)　　

这种访问另一计算机的文件的方法非常接近于流行的FTP。网络文件系统提供磁盘或设备服务，而无需特定的网络实用程序来访问另一系统的文件。可以简单地认为它是一个外加的磁盘驱动器。这种额外\"虚拟\"磁盘驱动器就是其它计算机系统的磁盘。这非常有用。你只需加大几台计算机的磁盘容量，就可使网络上其他用户访问它，且不说所带来的经济效益，它还能够让几台工作的计算机共享相同的文件。它也使得系统维护和备份易如反掌，因为再不必为大量的不同机器上的文件的升级和备份而担心。远程打印（Remote Printing)　　允许你使用其它计算机上的打印机，好像这些打印机直接连到你的计算机上。远程执行（Remote Execution)　　

允许你请求运行在不同计算机上的特殊程序。当你在一个很小的计算机上运行一个需要大机系统资源的程序时，这时候远程执行非常有用。名字服务器（Name Servers)　　

在一个大的系统安装过程中，需要用到大量的各种名字，包括用户名、口令，姓名、网络地址、帐号等，管理这些是非常令人乏味的。因此将这些数据形成数据库，放到一个小系统中去，其它系统通过网络来访问这些数据。终端服务器（Terminal Servers)　　很多的终端连接安装不再直接将终端连到计算机，取而代之的是，将他们连接到终端服务器上。终端服务器是一个小的计算机，它只需知道怎样运行TELNET（或其它一些完成远程登录的协议）。如果你的终端想连上去，只用键入要连的计算机名就可。通常有可能同时有几个这种连接，这时终端服务器采用快速开关技术来切换。　　上述所描述的一些协议是由Berkeley,Sun，或其它组织定义的。因此，它们不是互联网协议集（InternetProtocol Suite）的一部分，只是使用到TCP/IP的工具，如同一般的TCP/IP应用协议。因为协议的定义不一致，并且商业支持的TCP/IP工具广泛应用，也许会把这些协议作为互联协议集中的一部分。上述列出的只是基于TCP/IP部分服务的一些简单例子，但包含了一些\"主要\"的应用。首部图　　下图展示了TCP首部的数据格式。如果不计任选（Options）字段，那么，它的大小是20个字节。　　 

 TCP首部的数据格式TCP连接的建立与终止TCP连接的建立　　TCP协议通过三个报文段完成连接的建立，这个过程称为三次握手（three-way handshake），过程如下图所示。　

　  TCP的三次握手TCP连接的终止　　建立一个连接需要三次握手，而终止一个连接要经过四次握手，这是由TCP的半关闭（half-close）造成的。具体过程如下图所示。　

　  TCP连接的终止服务流程　　TCP协议提供的是可靠的、面向连接的传输控制协议，即在传输数据前要先建立逻辑连接，然后再传输数据，最后释放连接3个过程。TCP提供端到端、全双工通信；采用字节流方式，如果字节流太长，将其分段；提供紧急数据传送功能。

　　尽管TCP和UDP都使用相同的网络层（IP），TCP却向应用层提供与UDP完全不同的服务。　　TCP提供一种面向连接的、可靠的字节流服务。　

　面向连接意味着两个使用TCP的应用（通常是一个客户和一个服务器）在彼此交换数据之前必须先建立一个TCP连接。这一过程与打电话很相似，先拨号振铃，等待对方摘机说“喂”，然后才说明是谁。

　　在一个TCP连接中，仅有两方进行彼此通信。广播和多播不能用于TCP。　　TCP通过下列方式来提供可靠性：　

　1．应用数据被分割成TCP认为最适合发送的数据块。这和UDP完全不同，应用程序产生的数据报长度将保持不变。由TCP传递给IP的信息单位称为报文段或段（segment）TCP如何确定报文段的长度。　

　2．当TCP发出一个段后，它启动一个定时器，等待目的端确认收到这个报文段。如果不能及时收到一个确认，将重发这个报文段。当TCP收到发自TCP连接另一端的数据，它将发送一个确认。这个确认不是立即发送，通常将推迟几分之一秒　

　3．TCP将保持它首部和数据的检验和。这是一个端到端的检验和，目的是检测数据在传输过程中的任何变化。如果收到段的检验和有差错，TCP将丢弃这个报文段和不确认收到此报文段（希望发端超时并重发）。　

　4．既然TCP报文段作为IP数据报来传输，而IP数据报的到达可能会失序，因此TCP报文段的到达也可能会失序。如果必要，TCP将对收到的数据进行重新排序，将收到的数据以正确的顺序交给应用层。

　　5．既然IP数据报会发生重复，TCP的接收端必须丢弃重复的数据。　

　6．TCP还能提供流量控制。TCP连接的每一方都有固定大小的缓冲空间。TCP的接收端只允许另一端发送接收端缓冲区所能接纳的数据。这将防止较快主机致使较慢主机的缓冲区溢出。　

　两个应用程序通过TCP连接交换8bit字节构成的字节流。TCP不在字节流中插入记录标识符。我们将这称为字节流服务（bytestreamservice）。如果一方的应用程序先传10字节，又传20字节，再传50字节，连接的另一方将无法了解发方每次发送了多少字节。收方可以分4次接收这80个字节，每次接收20字节。一端将字节流放到TCP连接上，同样的字节流将出现在TCP连接的另一端。　　

另外，TCP对字节流的内容不作任何解释。TCP不知道传输的数据字节流是二进制数据，还是ASCⅡ字符、EBCDIC字符或者其他类型数据。对字节流的解释由TCP连接双方的应用层解释。　　

这种对字节流的处理方式与Unix操作系统对文件的处理方式很相似。Unix的内核对一个应用读或写的内容不作任何解释，而是交给应用程序处理。对Unix的内核来说，它无法区分一个二进制文件与一个文本文件。　　

TCP是因特网中的传输层协议，使用三次握手协议建立连接。当主动方发出SYN连接请求后，等待对方回答SYN，ACK。这种建立连接的方法可以防止产生错误的连接，TCP使用的流量控制协议是可变大小的滑动窗口协议。第一次握手：建立连接时，客户端发送SYN包（SEQ=x）到服务器，并进入SYN_SEND状态，等待服务器确认。第二次握手：服务器收到SYN包，必须确认客户的SYN(ACK=x+1），同时自己也送一个SYN包（SEQ=y），即SYN+ACK包，此时服务器进入SYN_RECV状态。第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1），此包发送完毕，客户端和服务器进入Established状态，完成三次握手。

TCP所提供服务的主要特点　

　1．面向连接的传输；　

　2．端到端的通信；　　3．高可靠性，确保传输数据的正确性，不出现丢失或乱序；　

　4．全双工方式传输；　　

5．采用字节流方式，即以字节为单位传输字节序列；　

　6．紧急数据传送功能。重传策略　　

TCP协议用于控制数据段是否需要重传的依据是设立重发定时器。在发送一个数据段的同时启动一个重发定时器，如果在定时器超时前收到确认就关闭该定时器，如果定时器超时前没有收到确认，则重传该数据段。　　

这种重传策略的关键是对定时器初值的设定。目前采用较多的算法是Jacobson于1988年提出的一种不断调整超时时间间隔的动态算法。其工作原理是：对每条连接TCP都保持一个变量RTT，用于存放当前到目的端往返所需要时间最接近的估计值。当发送一个数据段时，同时启动连接的定时器，如果在定时器超时前确认到达，则记录所需要的时间（M），并修正RTT的值，如果定时器超时前没有收到确认，则将RTT的值增加1倍。通过测量一系列的RTT（往返时间）值，TCP协议可以估算数据包重发前需要等待的时间。端口号　　TCP段结构中端口地址都是16比特，可以有在0~65535范围内的端口号。

对于这65536个端口号有以下的使用规定：　　1．端口号小于256的定义为常用端口，服务器一般都是通过常用端口号来识别的。任何TCP/IP实现所提供的服务都用1~1023之间的端口号，是由IANA来管理的；　

　2．客户端只需保证该端口号在本机上是惟一的就可以了。客户端口号因存在时间很短暂又称临时端口号；　

　3．大多数TCP/IP实现给临时端口号分配1024~5000之间的端口号。大于5000的端口号是为其他服务器预留的。报文序列号　　为了保证可靠性，发送的报文都有递增的序列号。序号和确认号用来确保传输的可靠性。此外，对每个报文都设立一个定时器，设定一个最大时延。对那些超过最大时延仍没有收到确认信息的报文就认为已经丢失，需要重传。如何重置TCP/IP协议　　在Windows Server 2003（简称Windows 2003）的连接属性对话框中，如果点击“Internet协议（TCP/IP）选项，“卸载”按钮为灰色，是不可用的。这是因为TCP/IP协议是Windows Server 2003的核心组件，不能删除。　　如果我们需要将TCP/IP重置到原始状态，该怎么办呢？

此时，我们可以借助“netsh”命令行工具来解决这一问题。在“运行”对话框中输入“cmd”，打开“命令提示符”窗口，然后输入命令行“netsh int ip reset resetlog.txt”或“netsh int ip resetc:\resetlog.txt”并按回车键。其中的“reset”命令可以重写与TCP/IP相关的注册表项“System\CurrentControlSet\Services\Tcpip\Parameters\”和“System\CurrentControlSet\Services\DHCP\Parame ters\”，运行以上命令的结果与删除并重新安装TCP/IP的效果相同。

　　此外，两个命令行的不同之处仅仅在于“resetlog.txt”日志文件的存储位置有所区别。前者是将日志文件创建在当前文件夹中，而后者则指定了具体的保存路径。　

　解决方法　　在这种情况下，如果需要重新安装 TCP/IP 以使 TCP/IP 堆栈恢复为原始状态。可以使用 NetShell 实用程序重置 TCP/IP 堆栈，使其恢复到初次安装操作系统时的状态。具体操作如下：　　

1．单击 开始 --> 运行，输入 "CMD" 后单击 "确定";　

　2．在命令行模式输入命令　　netsh int ip reset C:\resetlog.txt　　（其中，Resetlog.txt记录命令结果的日志文件，一定要指定，这里指定了Resetlog.txt 日志文件及完整路径。）　　运行结果可以查看C:\resetlog.txt （咨询中可根据用户实际操作情况提供）　　运行此命令的结果与删除并重新安装 TCP/IP 协议的效果相同。　　注意　　本操作具有一定的风险性，请在操作前备份重要数据，并根据操作熟练度酌情使用。

TCP协议和UDP协议的区别　

　1，TCP协议面向连接，UDP协议面向非连接　

　2，TCP协议传输速度慢，UDP协议传输速度快

　　3，TCP协议保证数据顺序，UDP协议不保证　

　4，TCP协议保证数据正确性，UDP协议可能丢包　

　5，TCP协议对系统资源要求多，UDP协议要求少　

　TCP = Transmission Control Protocol 传输控制协议TCP窗口确认　　TCP的一项功能就是确保每个数据段都能到达目的地。位于目的主机的TCP服务对接受到的数据进行确认，并向源应用程序发送确认信息。　

　使用数据报头序列号以及确认号来确认已收到包含在数据段的相关的数据字节。　

　TCP在发回源设备的数据段中使用确认号，指示接收设备期待接收的下一字节。这个过程称为期待确认。　

　源主机在收到确认消息之前可以传输的数据的大小称为窗口大小。用于管理丢失数据和流量控制。

#include "nids.h"   
/* Libnids的头文件，必须包含 */   
char ascii_string[10000];   
char *char_to_ascii(char ch)   
/* 此函数的功能主要用于把协议数据进行显示 */   
{   
    char *string;   
    ascii_string[0] = 0;   
    string = ascii_string;   
    if (isgraph(ch))   
     /* 可打印字符 */   
    {   
        *string++ = ch;   
    }   
    else if (ch == ' ')   
     /* 空格 */   
    {   
        *string++ = ch;   
    }   
    else if (ch == '\n' || ch == '\r')   
     /* 回车和换行 */   
    {   
        *string++ = ch;   
    }   
    else   
     /* 其它字符以点"."表示 */   
    {   
        *string++ = '.';   
    }   
    *string = 0;   
    return ascii_string;   
}   
/*  
=======================================================================================================================  
下面的函数是回调函数，用于分析TCP连接，分析TCP连接状态，对TCP协议传输的数据进行分析  
=======================================================================================================================  
 */   
void tcp_protocol_callback(struct tcp_stream *tcp_connection, void **arg)   
{   
    int i;   
    char address_string[1024];   
    char content[65535];   
    char content_urgent[65535];   
    struct tuple4 ip_and_port = tcp_connection->addr;   
    /* 获取TCP连接的地址和端口对 */   
    strcpy(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.saddr))));   
    /* 获取源地址 */   
    sprintf(address_string + strlen(address_string), " : %i", ip_and_port.source);   
    /* 获取源端口 */   
    strcat(address_string, " <---> ");   
    strcat(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.daddr))));   
    /* 获取目的地址 */   
    sprintf(address_string + strlen(address_string), " : %i", ip_and_port.dest);   
    /* 获取目的端口 */   
    strcat(address_string, "\n");   
    switch (tcp_connection->nids_state) /* 判断LIBNIDS的状态 */   
    {   
        case NIDS_JUST_EST:   
            /* 表示TCP客户端和TCP服务器端建立连接状态 */   
            tcp_connection->client.collect++;   
            /* 客户端接收数据 */   
            tcp_connection->server.collect++;   
            /* 服务器接收数据 */   
            tcp_connection->server.collect_urg++;   
            /* 服务器接收紧急数据 */   
            tcp_connection->client.collect_urg++;   
            /* 客户端接收紧急数据 */   
            printf("%sTCP连接建立\n", address_string);   
            return ;   
        case NIDS_CLOSE:   
            /* 表示TCP连接正常关闭 */   
            printf("--------------------------------\n");   
            printf("%sTCP连接正常关闭\n", address_string);   
            return ;   
        case NIDS_RESET:   
            /* 表示TCP连接被RST关闭 */   
            printf("--------------------------------\n");   
            printf("%sTCP连接被RST关闭\n", address_string);   
            return ;   
        case NIDS_DATA:   
            /* 表示有新的数据到达 */   
            {   
                struct half_stream *hlf;   
                /* 表示TCP连接的一端的信息，可以是客户端，也可以是服务器端 */   
                if (tcp_connection->server.count_new_urg)   
                {   
                    /* 表示TCP服务器端接收到新的紧急数据 */   
                    printf("--------------------------------\n");   
                    strcpy(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.saddr))));   
                    sprintf(address_string + strlen(address_string), " : %i", ip_and_port.source);   
                    strcat(address_string, " urgent---> ");   
                    strcat(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.daddr))));   
                    sprintf(address_string + strlen(address_string), " : %i", ip_and_port.dest);   
                    strcat(address_string, "\n");   
                    address_string[strlen(address_string) + 1] = 0;   
                    address_string[strlen(address_string)] = tcp_connection->server.urgdata;   
                    printf("%s", address_string);   
                    return ;   
                }   
                if (tcp_connection->client.count_new_urg)   
                {   
                    /* 表示TCP客户端接收到新的紧急数据 */   
                    printf("--------------------------------\n");   
                    strcpy(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.saddr))));   
                    sprintf(address_string + strlen(address_string), " : %i", ip_and_port.source);   
                    strcat(address_string, " <--- urgent ");   
                    strcat(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.daddr))));   
                    sprintf(address_string + strlen(address_string), " : %i", ip_and_port.dest);   
                    strcat(address_string, "\n");   
                    address_string[strlen(address_string) + 1] = 0;   
                    address_string[strlen(address_string)] = tcp_connection->client.urgdata;   
                    printf("%s", address_string);   
                    return ;   
                }   
                if (tcp_connection->client.count_new)   
                {   
                    /* 表示客户端接收到新的数据 */   
                    hlf = &tcp_connection->client;   
                    /* 此时hlf表示的是客户端的TCP连接信息 */   
                    strcpy(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.saddr))));   
                    sprintf(address_string + strlen(address_string), ":%i", ip_and_port.source);   
                    strcat(address_string, " <--- ");   
                    strcat(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.daddr))));   
                    sprintf(address_string + strlen(address_string), ":%i", ip_and_port.dest);   
                    strcat(address_string, "\n");   
                    printf("--------------------------------\n");   
                    printf("%s", address_string);   
                    memcpy(content, hlf->data, hlf->count_new);   
                    content[hlf->count_new] = '\0';   
                    printf("客户端接收数据\n");   
                    for (i = 0; i < hlf->count_new; i++)   
                    {   
                        printf("%s", char_to_ascii(content[i]));   
                        /* 输出客户端接收的新的数据，以可打印字符进行显示 */   
                    }   
                    printf("\n");   
                }   
                else   
                {   
                    /* 表示服务器端接收到新的数据 */   
                    hlf = &tcp_connection->server;   
                    /* 此时hlf表示服务器端的TCP连接信息 */   
                    strcpy(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.saddr))));   
                    sprintf(address_string + strlen(address_string), ":%i", ip_and_port.source);   
                    strcat(address_string, " ---> ");   
                    strcat(address_string, inet_ntoa(*((struct in_addr*) &(ip_and_port.daddr))));   
                    sprintf(address_string + strlen(address_string), ":%i", ip_and_port.dest);   
                    strcat(address_string, "\n");   
                    printf("--------------------------------\n");   
                    printf("%s", address_string);   
                    memcpy(content, hlf->data, hlf->count_new);   
                    content[hlf->count_new] = '\0';   
                    printf("服务器端接收数据\n");   
                    for (i = 0; i < hlf->count_new; i++)   
                    {   
                        printf("%s", char_to_ascii(content[i]));   
                        /* 输出服务器接收到的新的数据 */   
                    }   
                    printf("\n");   
                }   
            }   
        default:   
            break;   
    }   
    return ;   
}   
void main()   
{   
    if (!nids_init())   
     /* Libnids初始化 */   
    {   
        printf("出现错误：%s\n", nids_errbuf);   
        exit(1);   
    }   
    nids_register_tcp(tcp_protocol_callback);   
    /* 注册回调函数 */   
    nids_run();   
    /* Libnids进入循环捕获数据包状态 */   
}