tcpdump入门——每种flag分别表示什么意思
在 tcpdump
的输出中,TCP 标志位(Flags)通常用简写字符表示。以下是每种 TCP 标志位的含义及其对应的简写字符:
TCP 标志位及其简写
-
SYN (Synchronize)
- 作用:用于初始化连接。
- 简写字符:
S
-
ACK (Acknowledgment)
- 作用:确认收到的数据包。
- 简写字符:
.
(表示只有 ACK 标志位被设置时)
-
FIN (Finish)
- 作用:用于终止连接。
- 简写字符:
F
-
RST (Reset)
- 作用:重置连接。
- 简写字符:
R
-
PSH (Push)
- 作用:表示需要立即将数据推送给接收应用程序。
- 简写字符:
P
-
URG (Urgent)
- 作用:表示包中有紧急数据,需优先处理。
- 简写字符:
U
-
ECE (ECN Echo)
- 作用:用于显式拥塞通知(ECN)机制,表明包中存在 ECN 信息。
- 简写字符:
E
-
CWR (Congestion Window Reduced)
- 作用:表示发送方已响应接收方的 ECN 标志并减小拥塞窗口。
- 简写字符:
W
-
NS (Nonce Sum)
- 作用:防止伪造的 ECN 标志。
- 简写字符:
N
示例解析
在 tcpdump
的输出中,标志位通常会以方括号中的字符形式出现。例如:
10:25:43.220467 IP 192.168.1.100.35764 > 192.168.1.1.80: Flags [S], seq 0, win 65535, options [mss 1460], length 0
10:25:43.220497 IP 192.168.1.1.80 > 192.168.1.100.35764: Flags [S.], seq 0, ack 1, win 65535, options [mss 1460], length 0
10:25:43.220517 IP 192.168.1.100.35764 > 192.168.1.1.80: Flags [.], ack 1, win 65535, length 0
[S]
表示 SYN 标志位被设置。[S.]
表示 SYN 和 ACK 标志位同时被设置。[.]
表示 ACK 标志位被设置。
通过理解这些标志位和对应的简写字符,你可以更容易地分析和理解 tcpdump
抓取的 TCP 流量。