一、TCP协议介绍

   见TCP流量分析篇
  TCP 流量分析 - 简书 (jianshu.com)

二、实验环境

  使用一台windows主机作为TCP Server，使用一台Linux作为TCP Client，发起TCP连接，发送数据，结束连接。

三、Python实现

3.1 TCP Server

  以下Python脚本通过Socket实现TCP Server端，接收TCP连接。

#!/usr/bin/python3.4
# -*- coding=utf-8 -*-

from socket import *

myHost = '192.168.10.113'
myPort = 6666

#创建TCP Socket,
sockobj = socket(AF_INET, SOCK_STREAM)
#绑定套接字到地址
sockobj.bind((myHost, myPort))
#在拒绝连接前，操作系统可以挂起的最大连接数量，一般配置为5
sockobj.listen(5)

while True:#
    #接受TCP连接
    print("等待客户端连接。。。")
    connection, address = sockobj.accept()
    #打印连接客户端的IP地址
    print('Server Connected by', address)
    while True:
        data = connection.recv(1024)#接收数据
        if not data: break#如果没有数据就退出循环
        connection.send(b'Echo==>' + data)#发送回显数据给客户
    connection.close()#关闭连接

3.2 TCP Client

  以下Python脚本通过Scapy实现TCP Client端，向Server端发起TCP连接。

#!/usr/bin/python3.4
# -*- coding=utf-8 -*-

import re
from kamene.all import *

def tcp_connection(ip, port):
    dstport = port
    sportid = random.randint(1024, 65535)
    seqid = random.randint(1, 65535*65535)

    #产生SYN包（FLAG = 2 为SYN）并等待回应####源端口调用随机端口，序列号调用随机序列号
    syn_pkt=IP(dst=ip)/TCP(dport=dstport,sport=sportid,flags=2,seq=seqid)#第一个包（SYN）
    print("C:SYN:\n",syn_pkt.summary())
    result_raw_synack = sr1(syn_pkt, timeout=1, verbose=False)#接收第二个包（SYN ACk）
    print("S:SYN_ACK:\n",result_raw_synack.summary())
    #由于SYN算一个字节，所以客户到服务器序列号（sc_sn)需要增加1
    sc_sn = result_raw_synack.getlayer(TCP).fields['seq'] + 1#获取SYN ACK包的序列号作为ACK包的ack号
    cs_sn = result_raw_synack.getlayer(TCP).fields['ack']#获取SYN ACK包的ack号作为ACK包的seq号
    #发送ACK(flag = 16),完成三次握手！
    ack_pkt=IP(dst=ip)/TCP(dport=dstport,sport=sportid,flags=16,seq=cs_sn,ack=sc_sn)
    print("C:ACK:\n",ack_pkt.summary())
    send(ack_pkt, verbose = False)#发送第三个包（ACK）

    #发送数据
    msg_pkt = IP(dst=ip) / TCP(dport=dstport, sport=sportid, flags=24, seq=cs_sn, ack=sc_sn) / b"Hello Word"
    print("C:msg:\n",msg_pkt.summary())
    #print("msg\n",msg_pkt.show())
    result_raw_msg = sr1(msg_pkt, verbose=False, timeout=1)#接收服务端的响应
    print("S:msg_ack:\n",result_raw_msg.summary())

    ip_len=result_raw_msg.getlayer(IP).fields["len"]#IP数据包总长度
    ip_ihl=result_raw_msg.getlayer(IP).fields["ihl"]#IP首部长度
    tcp_hl=result_raw_msg.getlayer(TCP).fields["dataofs"]#IP首部长度

    #如果回显数据中有‘Echo’字段就打印回显内容
    if re.search(b'Echo', result_raw_msg.getlayer(Raw).fields['load']):
        print("Server Echo",result_raw_msg.getlayer(Raw).fields['load'])
    #计算数据长度，ip总长度 - ip头部长度（['ihl']*4） - tcp头部长度（['dataofs']*4）
    data_len = ip_len - ip_ihl*4 -tcp_hl*4
    #客户到服务器端的序列号为，服务器回显中的‘seq’加上传输的数据长度！
    sc_sn = result_raw_msg.getlayer(TCP).fields['seq'] + data_len
    cs_sn = result_raw_msg.getlayer(TCP).fields['ack']
    #发送ACK对服务器的回显进行确认，flag = 16（ACK）
    raw_msg_ack_pkt = IP(dst=ip)/TCP(dport=dstport,sport=sportid,flags=16,seq=cs_sn,ack=sc_sn)
    print("C:ack:\n",raw_msg_ack_pkt.summary())
    send(raw_msg_ack_pkt, verbose = False)

    #客户端主动发送FIN（1） + ACK（16），进行连接终结。
    fin_pkt = IP(dst=ip)/TCP(dport=dstport,sport=sportid,flags=17,seq=cs_sn,ack=sc_sn)
    print("C:FIN：\n",fin_pkt.summary())
    # #由于FIN算一个字节，所以客户到服务器序列号（sc_sn)需要增加1
    result_raw_fin_list=sr(fin_pkt,multi=1, timeout=1,verbose = False)
    result_raw_fin_ack=(result_raw_fin_list[0].res)[0]
    result_raw_fin_fin = (result_raw_fin_list[0].res)[1]
    print("S:ack\n",result_raw_fin_ack[1].summary())
    print("S:Fin\n",result_raw_fin_fin[1].summary())
    sc_sn = result_raw_fin_ack[1][1].fields['seq'] + 1
    cs_sn = result_raw_fin_ack[1][1].fields['ack']
    #发送最后一个ACK（16），结束整个TCP连接！！！
    fin_ack_pkt=IP(dst=ip)/TCP(dport=dstport,sport=sportid,flags=16,seq=cs_sn,ack=sc_sn)
    print("C:ACK:\n",fin_ack_pkt.summary())
    send(fin_ack_pkt, verbose = False)

if __name__ == '__main__':
    tcp_connection('192.168.10.113', 6666)

3.3 运行过程

3.3.1 运行Server端

  首先在Windows主机上运行TCP Server脚本。

TCP Server

3.3.2 运行Client端

  在linux主机上运行TCP Client脚本后，会将TCP交互过程打印出来。

TCP Cleint

3.3.3 抓包分析

  通过科来的csna抓包，并追踪TCP流，如下为交互的数据包

TCP 数据包
  通过交易视图，能够直观的看到TCP连接的交互过程：
TCP 交易
  进一步分析数据传输过程，通过对Client端发送的ACK进行解析，可以发现数据载荷长度=IP数据包总长度（50）-IP头部长度（5）4-TCP首部长度（5）4，因为IP与TCP首部长度字段的单位为4字节，因此需乘4；另外可以看到服务端给的ACK确认包中ack的序号=客户端发送的ACK序列号+载荷长度。
TCP 传输
  另外可以看到Server端重复发送FIN包，是由于Client端发送ACK的间隔时间较长，导致服务端认为可客户端未收到FIN包而重传FIN包
TCP 重传
  从图中可以看到Client端发送ACK的间隔时间接近1秒钟，与脚本中设置的sr超时时间为1秒相符。

result_raw_fin_list=sr(fin_pkt,multi=1, timeout=1,verbose = False)