没有SYN的TCP启动？

Question

我正在为一台计算机中的所有tcp流量实现一个嗅探器。

我遇到了这个奇怪的案例 - 转到Amazon.com时，保存HTML的TCP不会以SYN flag开头。

在WireShark中，我右键点击其中一个数据包，然后按Follow TCP Stream 结果如下： -

发生了什么事？我知道所有TCP流都应该从3次握手开始。

Answer 1

  

发生了什么事？

由于我们无法重播流，并且数据包498在捕获开始后约2.1秒发生，我们只能猜测...但是，最可能的情况是：

• 在您在wireshark中按下捕获之前，您已使用Amazon启动了TCP套接字
• 在Wireshark中捕获后套接字启动，但Wireshark在启动阶段延迟捕获数据包，并以某种方式错过了192.168.2.41:6097的前几个数据包＆lt; - ＆gt; 205.251.242.54:80套接字。你在前两秒内得到了500个数据包，这实际上是一个重要的负载...捕获驱动程序可能过载而错过了3次握手。

  

我知道所有的tcp流都应该以3次握手开始，不是吗？

你是对的。所有TCP流都以三次握手开始。不知怎的，你在这种情况下设法错过了握手;但是，这不是什么值得关注的事情。