- 使用tcpdump命令获取报文. -w为写入文件； -s0 每个数据包的大小默认是68字节； 只抓取指定host的报文
sudo tcpdump -w ~/Desktop/a.cap host www.baidu.com -s0
复制代码- 使用vim读取报文并分析。-x 以16进制形式展示
tcpdump -r ~/Desktop/a.cap -n -nn -A -x | vim -
复制代码- 如下报文，其中标黑的16位为4+3+9 即4位首部长度（单位是字）+3位保留位+9位tcp标志位（NS|CWR|ECE|URG|ACK|PSH|RST|SYN|FIN） 展开成二进制表示(只取后九位，这里有我们关心的tcp标志位)
| 报文 | 二进制数据 |
|---|---|
| 报文1 | b 0 0000 0010 |
| 报文2 | b 0 0001 0010 |
| 报文3 | b 0 0001 0000 |
- 可以看到报文1的SYN位是1，即发起建立连接请求的SYN报文；报文2 的ACK+SYN均为1 是服务器对客户端的应答；报文3的 ACK是1；连接建立
- 红框内的事seq值，蓝框中的是ack值，可以看到报文2中的ack=报文1的seq+1;而报文3ack=报文2seq+1；
验证三次握手建立成功
转载于:https://juejin.im/post/5d0a54dee51d45778f076d4e