Archive三月 2014

TCP连接复位RST:强制关闭TCP链接

在TCP协议中RST表示复位,用于强制关闭TCP链接,主机需要尽快关闭连接(或连接超时,端口或主机不可达)时发送RST包,TCP关闭连接的正常方法是四次握手。

发送RST包关闭连接时,可以丢弃缓存区的包直接发送RST包。而接收端收到RST包后,也不必发送ACK包来确认。RST包不是TCP连接中的必须部分, 可以只发送RST包(即不带ACK标记),但在正常的TCP连接中RST包可以带ACK确认标记。

提取上传和下载文件的工具:NetworkMiner

网络上NetworkMiner被定义为网络取证分析工具、协议分析工具,它通过数据包嗅探或解析PCAP文件进行网络分析。NetworkMiner是windows平台开放源代码的工具。

这里最看重的一点是:NetworkMiner能够从网络通信中提取文件,这项功能可以将get方式下载和post方式上传的数据包保存到本地。有了这个软件就可以查看本地程序从网络下载了什么文件,上传了什么文件,文件内容是什么。