【转】Wireshark网络抓包(三)——网络协议

比眉伴天荒 2023-01-17 07:43 206阅读 0赞

转自：[https://www.cnblogs.com/strick/p/6262284.html][https_www.cnblogs.com_strick_p_6262284.html]

# 一、ARP协议 #

**ARP（Address Resolution Protocol）地址解析协议，将IP地址解析成MAC地址。**

IP地址在OSI模型第三层，MAC地址在OSI第二层，彼此不直接通信；

在通过以太网发生IP数据包时，先封装第三层（32位IP地址）和第二层（48位MAC地址）的报头；

但由于发送数据包时只知道目标IP地址，不知道其Mac地址，且不能跨越第二、三层，所以需要使用地址解析协议。

ARP工作流程分请求和响应：

![aa171c320df8bcdce3dc1f36c9396595.png][]![e7abe3c30becece9cabf1e8937f32078.png][]

在dos窗口内“ping”某个域名抓取到的包：

![629d2ad25b24fb321bf2125bc389d3c1.png][]

# 二、IP协议 #

**IP（Internet Protocol）互联网协议，主要目的是使得网络间能够互相通信**，位于OSI第三层，负责跨网络通信的地址。

当以广播方式发送数据包的时候，是以MAC地址定位，并且需要电脑在同一子网络。

当不在同一子网络就需要路由发送，这时候就需要IP地址来定位。

![fb793c38b8d028ad8f9283e88d096d5a.png][]

同样在dos窗口内“ping”某个域名抓取到的包：

![bbf5b916308fa01f1694b403db33228c.png][]

# 三、TCP协议 #

**TCP（Transmission Control Protocol）传输控制协议，一种面向连接、可靠、基于IP的传输层协议，主要目的是为数据提供可靠的端到端传输。**

在OSI模型的第四层工作，能够处理数据的顺序和错误恢复，最终保证数据能够到达其应到达的地方。

**1）标志位**

**SYN： 同步**，在建立连接时用来同步序号。SYN=1， ACK=0表示一个连接请求报文段。SYN=1，ACK=1表示同意建立连接。

**FIN： 终止**，FIN=1时，表明此报文段的发送端的数据已经发送完毕，并要求释放传输连接。

**ACK： 确认**，ACK = 1时代表这是一个确认的TCP包，取值0则不是确认包。

**DUP ACK：重复**，重复确认报文，有重复报文，一般是是丢包或延迟引起的，从这个报文看应该是丢包了。

**URG：紧急**，当URG=1时，表示报文段中有紧急数据，应尽快传送

**PSH：推送**，当发送端PSH=1时，接收端尽快的交付给应用进程

**RST：复位**，当RST=1时，表明TCP连接中出现严重差错，必须释放连接，再重新建立连接

**2）端口**

客户端与不同服务器建立连接时，源端口和目标端口可不同。

![3981c3834dc35021b5df3896ad795cf7.png][]

**3）TCP三次握手**

![759a78cb12efd9f140aa991cf38a7397.png][]![d4cf56a5a7d5090687916e326d427678.png][]

**4）TCP四次挥手**

TCP四次断开，例如关闭页面的时候就会断开连接。

![6b07479b1707e19d2d0852e80012ad96.png][]

![e8c282040401e5c40cc378457902aef5.png][]

**5）TCP概念**

**1. 发送窗口**

无法简单的看出发送窗口的大小，发送窗口会由网络因素决定。发送窗口定义了一次发的字节，而MSS定义了这些字节通过多少个包发送。

**2. 拥塞窗口（cwnd）**

描述源端在拥塞控制情况下一次最多能发送的数据包的数量。

在发送方维护一个虚拟的拥塞窗口，并利用各种算法使它尽可能接近真实的拥塞点。

网络对发送窗口的限制，就是通过拥塞窗口实现的。

**3. 在途字节数（bytes in flight）**

已经发送出去，但尚未被确认的字节数。

在途字节数 = Seq + Len - Ack

其中Seq和Len来自上一个数据发送方的包，而Ack来自上一个数据接收方的包。

**4. 拥塞点（congestion point）**

发生拥塞时候的在途字节数就是该时刻的网络拥塞点。

先从Wireshark中找到一连串重传包中的第一个，再根据该Seq找到原始包最后计算该原始包发送时刻的在途字节数。

**5. 慢启动**

RFC建议初始拥塞窗口发送2、3、或4个MSS，如果发出去的包都能得到确认，则表明还没到拥塞点，可以收到n个确认增加n个MSS

![4f9af17228170a7e010b11e88eab9d8b.png][]

**6. 拥塞避免**

慢启动持续一段时间后，拥塞窗口达到一个较大的值，就得放慢RFC建议在每个往返时间增加1个MSS，比如发了16个MSS全部确认，那么就增加到17个MSS

**7. 超时重传**

发出去的包在等待一段时间（RTO）后，没有收到确认，就只能重传了

![eb26f4c05417e4eae3ad13d23e13d273.png][]

**8. 快速重传（Fast Retransmit）**

不以时间驱动，而以数据驱动重传。如果包没有连续到达，就ACK最后那个可能被丢了的包，如果发送方连续收到3次相同的ACK，就重传。

![732be87b1488e9b649c2f7c650f925a6.png][]

**9. SACK（Selective Acknowledgment）**

选择性确认重传，ACK还是Fast Retransmit的ACK，SACK则是汇报收到的数据，在发送端就可以根据回传的SACK来知道哪些数据到了，哪些没有到。

![f67b2167905f0ddcab8edd45ccc3f2eb.png][]

**10. 延迟确认（Delayed ACK）**

如果收到一个包后暂时没什么数据发给对方，那就延迟一段时间再确认。假如这段时间恰好有数据要发送，那数据和确认信息可以在一个包中发送。

**11. LSO**

LSO拯救CPU而出的创意，为了缓解CPU的压力，把它的一部分工作外包给了网卡，比如TCP的分段。

启用LSO之后，TCP层就可以把大于MSS的数据块直接传给网卡，让网卡负责分段。

比如“Seq=348586，Len=2776”，被网卡分为“Seq=348586，Len=1388”和“Seq=349974，Len=1388”两个包。

在发送端抓包相当于站在CPU角度，只看到一个分段前的大包，而接收端就可以看到两个包。

所以才会出现只见重传包，不见原始包的情况。

**12. Nagle算法**

在发出去的数据还没有被确认之前，假如又有小数据生成，那就把小数据收集起来，凑满一个MSS或等收到确认后再发送。

**13. Vegas算法**

通过监控网络状态来调整发包速度。

当网络状态良好时，数据包的RTT比较稳定，这时可以增大拥塞窗口；

当网络开始繁忙时，数据包开始排队，RTT就会变大，这时就减小拥塞窗口。

**6）选项字段**

**PTR（Pointer Record）**：指针记录，PTR记录解析IP地址到域名

**TTL（Time to live）**：

存活时间，限制数据包在网络中存在的时间，防止数据包不断的在IP互联网络上循环，初始值一般为64，每经过一个路由减去1。

通过TTL过滤运营商劫持包，假的包是抢先应答的，所以和真实包的TTL可能不同（例如ip.ttl == 54）

**Seq**：数据段的序号，当接收端收到乱序的包，就能根据此序号重新排序，当前Seq等上一个Seq号与长度相加获取到

**Len**：数据段的长度，这个长度不包括TCP头

**Ack**：确认号，接收方向发送方确认已经收到了哪些字节

**RTT（Round Trip Time）**：也就是一个数据包从发出去到回来的时间

**RTO（Retransmission TimeOut）**：超时重传计数器，描述数据包从发送到失效的时间间隔，是判断数据包丢失与否及网络是否拥塞的重要参数

**MTU（Maximum Transmit Unit）**：最大传输单元

![fdbf13de992edc4e9ccf11067a3bf8ed.png][]

**MSS（Maximum Segment Size）**：最长报文段，TCP包所能携带的最大数据量，不包含TCP头和Option。一般为MTU值减去IPv4头部(至少20字节)和TCP头部(至少20字节)得到。

**Win（Window Size）**：声明自己的接收窗口

**TCP Window Scale**：窗口扩张，放在TCP头之外的Option，向对方声明一个shift count，作为2的指数，再乘以TCP定义的接收窗口，得到真正的TCP窗口

**DF（Don't fragment）**：在网络层中，如果带了就丢弃没带就分片

**MF（More fragments）**：0表示最后一个分片，1表示不是最后一片

**7）过滤表达式**

握手请求被对方拒绝：tcp.flags.reset === 1 && tcp.seq === 1

重传的握手请求：tcp.flags.syn === 1 && tcp.analysis.retransmission

过滤延迟确认：tcp.analysis.ack\_rtt > 0.2 and tcp.len == 0

# 四、UDP协议 #

**UDP（User Datagram Protocol）用户数据报协议，提供面向事务的简单不可靠信息传送服务。**

将网络数据流压缩成数据包的形式。每一个数据包的前8个字节保存包头信息，剩余的包含具体的传输数据。

虽然UDP是不可靠的传输协议，但它是分发信息的理想协议，例如在屏幕上报告股票市场、显示航空信息；

在路由信息协议RIP（Routing Information Protocol）中修改路由表、QQ聊天、迅雷、网络电话等。

TCP的效率不一定比UDP低，只要窗口足够大，TCP也可以不受往返时间的约束而源源不断地传数据。

**1）UDP的优势**

1. UDP 协议的头长度不到TCP头的一半，所以同样大小的包里UDP携带的净数据比TCP包多，

2. 没有Seq和Ack等概念，省去了建立连接的开销，DNS解析就使用UDP协议。

**2）UDP的劣势**

1. 超过MTU的时候，发送方的网络层负责分片，接收方收到分片后再组装起来，这个过程会消耗资源，降低性能。

2. 没有重传机制，丢包由应用层处理，某个写操作有6个包，当有一个丢失的时候，就要将6个包重新发送。

![377bbf6aff19d5906cc0ec0e5e6e30ec.png][]

3. 分片机制存在弱点，接收方是根据包中的“More fragments”的flag来判断是否包已接收完，1表示还有分片，0表示最后一个分片，可以组装了。

如果持续发送flag为1的UDP，接收方无法组装，就有可能耗尽内存。

![e86f25b257325ab51a67eb7156e57d11.png][]

# 五、ICMP协议 #

**ICMP（Internet Control Message Protocol）网际报文控制协议，用于传输错误报告控制信息**，对网络安全有极其重要的意义。

例如请求的服务不可用、主机或路由不可达，ICMP协议依靠IP协议来完成任务，是IP协议的一个集成部分。

通常不被用户网络程序直接使用，多用于ping和tracert等这样的诊断程序。

![af33b32e5bedd6a90fbd035ee43169e6.png][]

# 六、DNS协议 #

**DNS（Domain Name System）域名系统，DNS就是进行域名解析的服务器。**

DNS协议运行在UDP协议之上，端口为53，工作原理如下：

![d33e41de27c7cbc16452f01c1efc5b72.png][]

DNS的解析过程：

![7a65f52c3c534e46af5e808d33784704.png][]

DNS客户机向本地域名服务器A发送查询，如果A中没有保存IP地址记录，A就会发请求给根域名服务器B

如果B中也没有，A就发请求给C，再没有就发请求给D，然后是E，找到后将地址发给DNS客户机。

域名解析过程涉及到递归查询和迭代查询。

客户机再与Web服务器连接。

![ee54dc6d7f5aaf6b6c7ebff1b1772444.png][]

# 七、HTTP协议 #

**HTTP（HyperText Transfer Protocol）超文本传输协议，HTTP是一个应用层协议，无状态，由请求和响应构成，是一个标准的客户端服务器模型。**

HTTP工作流程如下：

![82bb220d6138bd50cd161ffebcc76f58.png][]

![eaf30fbf91892097f1fe8370da5a6f54.png][]

下面是报文首部字段的说明，表格的摘自《[图解HTTP][HTTP]》。

**HTTP请求头域：**

<table> 
 <tbody> 
  <tr> 
   <td>&nbsp;Accept</td> 
   <td>&nbsp;用户代理能够处理的媒体类型（<a href="https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Basics_of_HTTP/MIME_types" rel="nofollow">MIME</a>）及媒体类型的相对优先级，“text/plain;q=0.3”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Accpet-Charset</td> 
   <td>&nbsp;通知服务器用户代理支持的字符集及字符集的相对优先顺序，“iso-8859-5”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Accept-Encoding</td> 
   <td>&nbsp;告知服务器用户代理支持的内容编码及优先级顺序“gzip,deflate”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Accept-Language</td> 
   <td>&nbsp;告知服务器用户代理能够处理的自然语言集及优先级，“zh-cn,zh;q=0.7”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Authorization</td> 
   <td>&nbsp;用户代理的认证信息（证书值），“Basic dWVub3NlbjpwYNzd==”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Expect</td> 
   <td>&nbsp;期望出现的某种特定行为，错误时返回“417 Expectation Failed”，“100-continue”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;From</td> 
   <td>&nbsp;用户的电子邮箱地址，为了显示搜索引擎等用户代理负责人的联系方式，“info@ha.com”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Host</td> 
   <td>&nbsp;请求的资源所处的互联网主机名和端口号，必须包含在请求头中，“www.hh.com”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;If-Match</td> 
   <td>&nbsp;条件请求，只有当If-Match字段值与ETag匹配才会接受请求，否则返回“412 Precondition Failed”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;If-Modified-Since</td> 
   <td>&nbsp;若字段值早于资源的更新时间（Last-Modified），资源未更新，返回“304 Not Modified”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;If-None-Match</td> 
   <td>&nbsp;与If-Match相反</td> 
  </tr> 
  <tr> 
   <td>&nbsp;If-Range</td> 
   <td>&nbsp;字段值和请求资源的ETag或时间一致时，作为范围请求处理，反之，返回全体资源</td> 
  </tr> 
  <tr> 
   <td>&nbsp;If-Unmodified-Since</td> 
   <td>&nbsp;与If-Modified-Since作用相反</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Max-Forwards</td> 
   <td>&nbsp;以十进制整数形式指定可经过的服务器最大数目。服务器转发一次，减少1，当为0就不进行转发</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Proxy-Authorization</td> 
   <td>&nbsp;接收从代理服务器发来的认证质询时，发送此字段，告知服务器认证所需要的信息</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Range</td> 
   <td>&nbsp;只需获取部分资源的范围请求，“5001-10000”从5001字节到10000字节的资源。</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Referer</td> 
   <td>&nbsp;请求的原始资源的URI，也就是上一页</td> 
  </tr> 
  <tr> 
   <td>&nbsp;TE</td> 
   <td>&nbsp;客户端能够处理响应的传输编码方式及相对优先级，还可指定Trailer字段分块传输编码的方式。“gzip,deflate;q=0.5”</td> 
  </tr> 
  <tr> 
   <td>User-Agent</td> 
   <td>&nbsp;创建请求的浏览器和用户代理名称等信息</td> 
  </tr> 
 </tbody> 
</table>

![7dc850d24d2a968de0948db5e41545e1.png][]![35d57aa585e1093742173b9aa7f0b7da.png][]

**HTTP应答头域：**

<table> 
 <tbody> 
  <tr> 
   <td>&nbsp;Accpet-Ranges</td> 
   <td>&nbsp;告知客户端服务器是否能处理范围请求，以指定获取服务器端某个部分的资源。“bytes”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Age</td> 
   <td>&nbsp;源服务器在多久前创建了响应，字段值单位为秒</td> 
  </tr> 
  <tr> 
   <td>&nbsp;ETag</td> 
   <td>&nbsp;客户端实体标识，一种可以将资源以字符串形式做唯一标识的方式</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Location</td> 
   <td>&nbsp;将响应接收方引导至某个与请求URI位置不同的资源，会配置3xx：Redirection的响应</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Proxy-Authenticate</td> 
   <td>&nbsp;由代理服务器所要求的认证信息发送给客户端</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Retry-After</td> 
   <td>&nbsp;告知客户端应该在多久（秒数或具体日期）之后再次发送请求，主要配合“503 Service Unavailable”或“3xx Redirect”。</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Server</td> 
   <td>&nbsp;当前服务器上安装的HTTP服务器应用程序的信息，包括版本号等。“Apache/2.2.6 (Unix) PHP/5.2.5”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Vary</td> 
   <td>&nbsp;对缓存进行控制，设置“Accept-Language”，如果字段值相同，就从缓存返回响应。</td> 
  </tr> 
  <tr> 
   <td>&nbsp;WWW-Authenticate</td> 
   <td>&nbsp;HTTP访问认证，告知客户端适用于访问请求URI所指定资源的认证方案（Basic或Digest）和带参数提示的质询（challenge）</td> 
  </tr> 
 </tbody> 
</table>

![08975062cd7cc0f7518789849f0aa2e8.png][]

**HTTP通用头域：**

<table> 
 <tbody> 
  <tr> 
   <td>Cache-Control</td> 
   <td>操作缓存的工作机制，多个指令用“,”分割，“private,max-age=0,no-cache”</td> 
  </tr> 
  <tr> 
   <td>Connection</td> 
   <td>控制不再转发给代理的首部字段与管理持久连接，“keep-alive”</td> 
  </tr> 
  <tr> 
   <td>Date</td> 
   <td>HTTP报文的日期和时间</td> 
  </tr> 
  <tr> 
   <td>Pragema</td> 
   <td>HTTP1.1之前的遗留字段，作为向后兼容定义，只用在客户端发送的请求中。“no-cache”</td> 
  </tr> 
  <tr> 
   <td>Trailer</td> 
   <td>说明在报文主体后记录了哪些首部字段，可应用在分块编码传输时。在报文最后写了重要信息</td> 
  </tr> 
  <tr> 
   <td>Transfer-Encoding</td> 
   <td>传输报文主体时采用的编码方式，分块传输“chunked”</td> 
  </tr> 
  <tr> 
   <td>Upgrade</td> 
   <td>检测HTTP协议及其他协议是否可使用更高版本进行通信</td> 
  </tr> 
  <tr> 
   <td>Via</td> 
   <td>追踪客户端与服务器之间的请求和响应报文的传输路径，各个代理服务器会往Via添加自己的服务器信息</td> 
  </tr> 
  <tr> 
   <td>Warning</td> 
   <td>告知用户一些与缓存相关问题的警告</td> 
  </tr> 
 </tbody> 
</table>

![beaccedc475831b1e22fcaa639b05e5a.png][]

**HTTP实体头域：**

<table> 
 <tbody> 
  <tr> 
   <td>&nbsp;Allow</td> 
   <td>&nbsp;告知客户端能够支持Request-URI指定资源的所有HTTP方法，“GET,HEAD”。当不支持，会返回“405 Method Not Allowed”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-Encoding</td> 
   <td>&nbsp;服务器对实体的主体部分选用的内容编码方式，在不丢失内容的前提下进行压缩。“gzip”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-Language</td> 
   <td>&nbsp;实体主体使用的自然语言（中文或英文等）</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-Length</td> 
   <td>&nbsp;主体部分的大小（单位是byte）</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-Location</td> 
   <td>&nbsp;给出与报文主体部分相对应的URI，与Location不同</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-MD5</td> 
   <td>&nbsp;一串由MD5算法生成的值，目的在于检查报文主体在传输过程中是否保持完整，以及确认传输到达</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-Range</td> 
   <td>&nbsp;针对范围请求，作为响应返回的实体的哪个部分符合范围请求，单位为byte。“bytes 5001-10000/10000”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Content-Type</td> 
   <td>&nbsp;实体主体内对象的媒体类型，与Accpet一样，字段值用type/subtype形式赋值。“text/html; charset=UTF-8”</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Expires</td> 
   <td>&nbsp;将资源失效的日期告知客户端。当首部字段Cache-Control有指定max-age指令时，优先处理max-age指令</td> 
  </tr> 
  <tr> 
   <td>&nbsp;Last-Modified</td> 
   <td>&nbsp;指明资源最终修改时间，一般来说，这个值就是Request-URI指定资源被修改的时间</td> 
  </tr> 
 </tbody> 
</table>

![fa96973c29787f6aae5f87f76232693c.png][]

详细信息可以参考MDN的《[HTTP Headers][HTTP_Headers]》

[MIME ][MIME](Multipurpose Internet Mail Extensions) 是描述消息内容类型的因特网标准，一种通知客户端其接收文件的多样性的机制，文件后缀名在网页上并没有明确的意义。

# 八、HTTPS协议 #

**HTTPS（Hypertext Transfer Protocol over Secure Socket Layer）基于SSL的HTTP协议，HTTP的安全版。**

使用端口43，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输和身份认证的网络协议。

**1）HTTPS工作流程**

![07b74c1cb1dcf14a63164bafae93992e.png][]

**2）SSL**

SSL（Secure Sockets Layer）安全套接层，TLS（Transport Layer Security）传输层安全是其继任者。

SSL和TLS在传输层对网络连接进行加密。

SSL协议分为两层，SSL记录协议（SSL Record Protocol）和SSL握手协议（SSL Handshake Protocol）。

SSL记录协议建立在TCP之上，提供数据封装、压缩加密基本功能的支持。

SSL握手协议建立在SSL记录协议之上，在数据传输之前，通信双方进行身份认证、协商加密算法和交换加密秘钥等。

SSL工作分为两个阶段，服务器认证和用户认证。

SSL协议既用到了公钥加密（非对称加密）又用到了对称加密技术。

**3）数据包**

![589c3cc5d9445d031be03b95cc499988.png][]

客户端与服务器之间的通信：

![54a0bd73e805c5ffbc367bb9fce5a0b4.png][]

**1.客户端发出请求（Client Hello）**

![83bd80294f407ce312df264b9e72e14d.png][]![468238cfc0c7641f13250451f52e0420.png][]

**2.服务器响应（Server Hello）**

![22f583f8aa34cf7c08bde04b07545c2e.png][]![c97870ad249374cc2a8729f5b37b859d.png][]

**3）证书信息**

![8a84a33b5346531d362c30da85ca9588.png][]![c9942d8ef2047b322196d40247d66614.png][]![2d48c020b690753bdcdb0dc4e232e867.png][]

**3.密钥交换**

![5473eca4a585d94566d58b9de01763e9.png][]![47a64d1b72de897a9622184bc90228f1.png][]

**4.应用层信息通信**

用户可以发送通过TLS层使用RC4的写实例加密过的普通HTTP消息，也可以解密服务端RC4写实例发过来的消息。

此外，TLS层通过计算消息内容的HMAC\_MD5哈希值来校验每一条消息是否被篡改。

参考资料：

[Wireshark网络分析的艺术][Wireshark]

[Wireshark数据包分析实战详解][Wireshark 1]

[车小胖谈网络：MTU 与 MSS][MTU _ MSS]

[MTU & MSS 详解记录][MTU _ MSS 1]

[网络传输分片、MTU、MSS][MTU_MSS]

[理解TCP序列号（Sequence Number）和确认号（Acknowledgment Number）][TCP_Sequence Number_Acknowledgment Number]

[wireshark抓包图解 TCP三次握手/四次挥手详解][wireshark_ TCP]

[TCP 的那些事儿（下）][TCP]

[TCP segment of a reassembled PDU][]

[SSL/TLS协议运行机制的概述][SSL_TLS]

[如何通过Wireshark查看HTTPS、HTTP/2网络包（解码TLS、SSL）][Wireshark_HTTPS_HTTP_2_TLS_SSL]

[https_www.cnblogs.com_strick_p_6262284.html]: https://www.cnblogs.com/strick/p/6262284.html
[aa171c320df8bcdce3dc1f36c9396595.png]: https://img-blog.csdnimg.cn/img_convert/aa171c320df8bcdce3dc1f36c9396595.png
[e7abe3c30becece9cabf1e8937f32078.png]: /images/20221021/2ba9f7dfaca14b099d59d090041e7eb2.png
[629d2ad25b24fb321bf2125bc389d3c1.png]: /images/20221021/0c00593101174b21aa05e7be958b88d4.png
[fb793c38b8d028ad8f9283e88d096d5a.png]: /images/20221021/e33f89c8317648d99e0a92507a5c2a79.png
[bbf5b916308fa01f1694b403db33228c.png]: /images/20221021/b26d85a6bed345c89972f27dc6207ae0.png
[3981c3834dc35021b5df3896ad795cf7.png]: /images/20221021/8a8d31358dbb4e038c8b65583d5f263c.png
[759a78cb12efd9f140aa991cf38a7397.png]: https://img-blog.csdnimg.cn/img_convert/759a78cb12efd9f140aa991cf38a7397.png
[d4cf56a5a7d5090687916e326d427678.png]: /images/20221021/488e6ea5aae24803b76f184ad3fe762c.png
[6b07479b1707e19d2d0852e80012ad96.png]: /images/20221021/f4733a522301454fb60d25e56ebaf4e0.png
[e8c282040401e5c40cc378457902aef5.png]: /images/20221021/87e9e7437d594dcf8e687c8cf4479084.png
[4f9af17228170a7e010b11e88eab9d8b.png]: /images/20221021/a2f74230033d469c889ffef740ee823f.png
[eb26f4c05417e4eae3ad13d23e13d273.png]: /images/20221021/652408b8e68946aa9da5920a3c78099b.png
[732be87b1488e9b649c2f7c650f925a6.png]: /images/20221021/9067a31bf9e14a5286cb8db618d8cbc5.png
[f67b2167905f0ddcab8edd45ccc3f2eb.png]: /images/20221021/14c9978ad4924983b500ef4032bdf24f.png
[fdbf13de992edc4e9ccf11067a3bf8ed.png]: /images/20221021/2da71aab61a143aa95038bb680162bd8.png
[377bbf6aff19d5906cc0ec0e5e6e30ec.png]: /images/20221021/53f5e812cc33421b89c05955b0fd1c0d.png
[e86f25b257325ab51a67eb7156e57d11.png]: /images/20221021/859a0ba6a8544d4bb2905d6e7fef3b54.png
[af33b32e5bedd6a90fbd035ee43169e6.png]: /images/20221021/5b381acbf7774dc282c0aea9b0e71854.png
[d33e41de27c7cbc16452f01c1efc5b72.png]: /images/20221021/090176be1bb44ff5889e76f05c72dc7d.png
[7a65f52c3c534e46af5e808d33784704.png]: /images/20221021/1df58567e1ed43459a322b836e102e54.png
[ee54dc6d7f5aaf6b6c7ebff1b1772444.png]: /images/20221021/5a1a9f63d8444e79964f2b3e4ec0da41.png
[82bb220d6138bd50cd161ffebcc76f58.png]: /images/20221021/2b4d14a1d1144662b44a60dadb853244.png
[eaf30fbf91892097f1fe8370da5a6f54.png]: /images/20221021/2d078397079444818b0a472c21f0660c.png
[HTTP]: https://book.douban.com/subject/25863515/
[7dc850d24d2a968de0948db5e41545e1.png]: https://img-blog.csdnimg.cn/img_convert/7dc850d24d2a968de0948db5e41545e1.png
[35d57aa585e1093742173b9aa7f0b7da.png]: /images/20221021/b77cc1e177d54351bf99cf6da92f11b8.png
[08975062cd7cc0f7518789849f0aa2e8.png]: /images/20221021/94f2df39ee574bb49c4e3ce9c7682b80.png
[beaccedc475831b1e22fcaa639b05e5a.png]: /images/20221021/9ecb0c9342924d7d85a19a0b3c15a829.png
[fa96973c29787f6aae5f87f76232693c.png]: /images/20221021/3660a92a49ec4502a4720bdfd6428529.png
[HTTP_Headers]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers
[MIME]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Basics_of_HTTP/MIME_types
[07b74c1cb1dcf14a63164bafae93992e.png]: /images/20221021/c74ab28ddaff459e9dc5c0da9acfebee.png
[589c3cc5d9445d031be03b95cc499988.png]: /images/20221021/b0fe072775804e9c8c640201c53abf26.png
[54a0bd73e805c5ffbc367bb9fce5a0b4.png]: /images/20221021/6251984da4b04f1c9b37ebfe0e3f18a0.png
[83bd80294f407ce312df264b9e72e14d.png]: https://img-blog.csdnimg.cn/img_convert/83bd80294f407ce312df264b9e72e14d.png
[468238cfc0c7641f13250451f52e0420.png]: /images/20221021/6914a036bf3441dfa5601e27aaccf4c0.png
[22f583f8aa34cf7c08bde04b07545c2e.png]: https://img-blog.csdnimg.cn/img_convert/22f583f8aa34cf7c08bde04b07545c2e.png
[c97870ad249374cc2a8729f5b37b859d.png]: /images/20221021/7270dafb3427442f9b50bc1be5e041b5.png
[8a84a33b5346531d362c30da85ca9588.png]: https://img-blog.csdnimg.cn/img_convert/8a84a33b5346531d362c30da85ca9588.png
[c9942d8ef2047b322196d40247d66614.png]: https://img-blog.csdnimg.cn/img_convert/c9942d8ef2047b322196d40247d66614.png
[2d48c020b690753bdcdb0dc4e232e867.png]: /images/20221021/56778e6defa146d59d262ae60f02df1f.png
[5473eca4a585d94566d58b9de01763e9.png]: https://img-blog.csdnimg.cn/img_convert/5473eca4a585d94566d58b9de01763e9.png
[47a64d1b72de897a9622184bc90228f1.png]: /images/20221021/22dea447c52349b0acd6abc393e42352.png
[Wireshark]: http://download.csdn.net/download/loneleaf1/9730490
[Wireshark 1]: http://download.csdn.net/download/loneleaf1/9730491
[MTU _ MSS]: https://zhuanlan.zhihu.com/p/21268782
[MTU _ MSS 1]: http://infotech.blog.51cto.com/391844/123859
[MTU_MSS]: http://blog.csdn.net/peijian1998/article/details/40106965
[TCP_Sequence Number_Acknowledgment Number]: http://blog.csdn.net/a19881029/article/details/38091243
[wireshark_ TCP]: http://www.seanyxie.com/wireshark%E6%8A%93%E5%8C%85%E5%9B%BE%E8%A7%A3-tcp%E4%B8%89%E6%AC%A1%E6%8F%A1%E6%89%8B%E5%9B%9B%E6%AC%A1%E6%8C%A5%E6%89%8B%E8%AF%A6%E8%A7%A3/
[TCP]: http://coolshell.cn/articles/11609.html
[TCP segment of a reassembled PDU]: http://blog.163.com/hlz_2599/blog/static/142378474201151933643431/
[SSL_TLS]: http://www.ruanyifeng.com/blog/2014/02/ssl_tls.html
[Wireshark_HTTPS_HTTP_2_TLS_SSL]: http://joji.me/zh-cn/blog/walkthrough-decrypt-ssl-tls-traffic-https-and-http2-in-wireshark