TCP Dump, não consegue entender essas 4 linhas?

Question

Eu preciso de suporte para entender essas quatro linhas. Parece com tcp dump, mas eu realmente não entendo exatamente o que está acontecendo aqui.

13:13:22.407445 IP 192.168.246.128.54955 > 192.168.246.13.80: S 2910497703:2910497703(0) win 5840 <mss 1460,sackok,timestamp="" 518611="" 0,nop,wscale="" 6="">
13:13:22.407560 IP 192.168.246.13.80 > 192.168.246.128.54955: S 3762608065:3762608065(0) ack 2910497704 win 64240 <mss 1460,nop,wscale="" 0,nop,nop,timestamp="" 0="" 0,nop,nop,sackok="">
13:13:22.407963 IP 192.168.246.128.54955 > 192.168.246.13.80: . ack 1 win 92 <nop,nop,timestamp 518611="" 0="">
13:13:22.408321 IP 192.168.246.128.54955 > 192.168.246.13.80: R 1:1(0) ack 1 win 92 <nop,nop,timestamp 518611="" 0="">

    

Answer 1

Parece que o cliente 192.168.246.128 tentou se conectar ao servidor web 192.168.246.13 , mas o tamanho da janela do cliente de 92 bytes foi recusado por um ataque de leitura lenta mecanismo de prevenção.

    

Answer 2

EDITAR depois de ler o comentário de @GuntramBlohm na resposta de @XavierLucas Fiz uma verificação rápida de como certas verificações do nmap se parecem na tela e parece que o padrão no OP é compatível com nmap -sT conhecido como TCP connect scan

por exemplo. caso com a porta 80 aberta

# nmap -sT localhost -p80
11:06:20.734518 IP 127.0.0.1.58802 > 127.0.0.1.80: Flags [S], seq 2064268743, win 32792, options [mss 16396,sackOK,TS val 3605220739 ecr 0,nop,wscale 8], length 0
11:06:20.734540 IP 127.0.0.1.80 > 127.0.0.1.58802: Flags [S.], seq 2269627608, ack 2064268744, win 32768, options [mss 16396,sackOK,TS val 3605220739 ecr 3605220739,nop,wscale 8], length 0
11:06:20.734551 IP 127.0.0.1.58802 > 127.0.0.1.80: Flags [.], ack 1, win 129, options [nop,nop,TS val 3605220739 ecr 3605220739], length 0
11:06:20.734718 IP 127.0.0.1.58802 > 127.0.0.1.80: Flags [R.], seq 1, ack 1, win 129, options [nop,nop,TS val 3605220739 ecr 3605220739], length 0

caso com porta 80 fechada

# nmap -sT localhost -p80
12:18:07.737075 IP 127.0.0.1.58294 > 127.0.0.1.80: Flags [S], seq 2548091563, win 32792, options [mss 16396,sackOK,TS val 672612170 ecr 0,nop,wscale 7], length 0
12:18:07.737085 IP 127.0.0.1.80 > 127.0.0.1.58294: Flags [R.], seq 0, ack 2548091564, win 0, length 0

END EDIT interpretação original da saída do tcpdump

Linha por linha 13: 13: 22.407445

13:13:22.407445 IP 192.168.246.128.54955 > 192.168.246.13.80: S 2910497703:2910497703(0) win 5840 <mss 1460,sackok,timestamp="" 518611="" 0,nop,wscale="" 6="">

• IP: 192.168.246.128 com porta de origem 54955 tenta se conectar à porta 192.168.246.13 IP 80 (http)

• O início da Conexão TCP é iniciado configurando-se o sinalizador SYN indicado pela letra S

• o número de sequência da tentativa de conexão é 2910497703

• o tamanho da janela é 5840, tamanho máximo do segmento 1460

Segunda linha em 13: 13: 22.407560

13:13:22.407560 IP 192.168.246.13.80 > 192.168.246.128.54955: S 3762608065:3762608065(0) ack 2910497704 win 64240 <mss 1460,nop,wscale="" 0,nop,nop,timestamp="" 0="" 0,nop,nop,sackok="">

• O IP 192.168.246.13 com porta de origem 80 responde à tentativa de conexão da porta src 407445 192.168.246.128 com sinalizadores SYN + ACK indicados pela letra S e ack

• número de sequência 3762608065 e número de sequência da linha acima é incrementado em um para obter 2910497704

A janela

• está definida para 64240, tamanho máximo do segmento (mss) 1460

A terceira linha é o pacote final de handshake de três vias

13:13:22.407963 IP 192.168.246.128.54955 > 192.168.246.13.80: . ack 1 win 92 <nop,nop,timestamp 518611="" 0="">

• temomesmosrcIP:port-dstIP:pardeportascomoacimacomapenasconjuntodesinalizadoresACK.

Últimalinha

13:13:22.408321IP192.168.246.128.54955>192.168.246.13.80:R1:1(0)ack1win92<nop,nop,timestamp518611="" 0="">

Esta linha lê essa conexão entre 192.168.246.128:54955 e 192.168.246.13:80 é reset (sinalizador RST) e sinalizador ACK, que indica que os dados transmitidos até agora foram aceitos como esperado. Mais informações sobre isso podem ser encontradas aqui