实验场景：自己电脑开启apache服务器，主页有一个文件上传的表单，用舍友的电脑访问并上传一个小文件，抓包到TCP连接以及上传文件时的数据包进行分析，文件位置：上传文件分析.pcapng，用显示过滤器：tcp&&ip.addr==10.108.203.52，一次对显示的报文进行分析首先分析TCP建立连接的三次握手：
1、TCP连接第一次握手
summary：
99 4.725696000 10.108.203.52 10.108.203.50 TCP 66 6533 →http [SYN] Seq=0 Win=65535 Len=0 MSS=1460 WS=256 SACK_PERM=1
首先分析一下IP报文：
在2E~2F位置是标志和片偏移共2B，0x4000即：0100 0000 0000 0000片偏移全为0，而低2位的为bit1表示这个IP数据包不要分片。
在2G位置是TTL：这里0x40即：64，在2H是协议字段这里是0x06：表示后面的是TCP 报文
正式分析TCP报文：
0x1985即：6533，表示对方浏览器用TCP6553端口访问我的服务器
80，表示我的apache服务器是在用TCP8端口
2793897253
分开来说，即：1000 0000 0000 0010
前4bit表示数据偏移，也就是首部的长度，这里是8*4=32B，正好是3C~5B(最后)的字节数。
往后6bit做保留置空
后面6bit分别来说：
第一个，URG：表示紧急激活后面的紧急指针字段，这里为0
第二个，ACK：激活确认号字段，因为是第一次请求所以ACK置空为0
第三个，PSH：推送，让收到这个TCP报文的TCP处理模块加快上传到应用程序中，这里为0，一般都不用
第四个，RST：复位，表示连接出现差错需要重新连接，也用来拒绝非法报文段或拒绝打开
第五个，SYN：同步，在连接时用来同步序号，这里为1再加上ACK为0表示这是一个TCP连接请求报文
第六个，FIN：终止，用来释放一个连接，表示发送方的数据已经发送完毕，
窗口：表示自己能接受的TCP控制窗口，这里0xff ff即：65535B，表示自己能接受的发送窗口值为65535B，自己的缓存够用
0，暂且认为表示的是紧急数据的字节数，紧急数据属于TCP数据字段其后就是普通的数据
其中：
0x02：类型，这里表示这个是MSS size设置的选项
0x04：长度，这里表示这个可选项的长度是4字节
0x05 b4：MSS Value，这里表示MSS Value的值是1460，即这个链接传送的TCP数据字段最大字节数是1460个字节，由此来看分配的很紧凑，1460+20(TCP头)+20(IP头)=1500B(MAC 帧长度限制)
不知道什么意思
：不明白什么意思，但是有下面的信息：
0x03：Kind: Window Scale (3)
0x03：Length: 3
0x08：Shift count: 8
不知道什么意思
不知道什么意思
其中：
0x04：Kind: SACK Permission (4)
0x02：Length: 2
2、TCP连接第二次握手
Summary：
102 4.726743000 10.108.203.50 10.108.203.52 TCP 66 http →6533 [SYN, ACK] Seq=0 Ack=1 Win=8192 Len=0 MSS=1460 WS=256 SACK_PERM=1
直接分析TCP报文：
0x00 50，即：80，源端口，是字节apache服务器的端口
服务器选的序号：3343311029
2793897254，是上面的值加1
0x1000 0000 0001 0010
前4bit位是数据偏移即TCP报文首部数据长度，这里表示32B
之后6bit保留置空为0
后面的6bit分开来说：
第一个：URG，用于激活下面的紧急指针字段，这里没有激活
第二个：ACK，表示是确认的报文，激活确认号字段，这里激活
第三个：PSH：置空为0
第四个：RST，复位，置空为0
第五个：SYN，同步SYN，这里为1结合ACK，表示这是一个对同步求组确认的报文
FIN，这里为0
窗口大小：这里表示对方可用的发送端口是8192B，可见服务器这边的窗口和客户端的窗口值不一样啊
紧急指针：置空为0
MSS选项：Maximum segment size: 1460 bytes
其中：
0x02：Kind: MSS size (2)
0x04：Length: 4
0x05 b4：MSS Value: 1460
3、TCP连接第三次握手
Summary：
103 4.727668000 10.108.203.52 10.108.203.50 TCP 60 6533 →http [ACK] Seq=1 Ack=1 Win=262144 Len=0
Detail：
先分析IP包，首部2E部分中又包含报文段不能分片的选项，与前面两个一样
6553，对方浏览器TCP的端口号
，Apache的TCP端口号
和前一个报文的确认号是一样的
3343311029，是上一个序号的值加1
要分开来说：即：0101 0000 0001 0000
其中前4bit位是：5表示首部数据长度是20B，终于是标准的长度了
向后6bit保留置空为0
后面六个：
第一个：0，URG：表示不激活后面的紧急指针字段
第二个：1，ACK：表示确认激活确认号字段
第三个：0，PSH：表示不推送
第四个：0，RST：表示不复位
第五个：0，SYN：表示不是同步请求或者同步确认，结合ACK表示这是一个确认报文
第六个：0，FIN：表示这不是一个结束相关报文
窗口大小：这里是0x04 00即：1024，表示自己(浏览器)可以接受的窗口值是1024，很
0xff ff窗口值呢，怎么现在又突然少了，纳闷！
帧的最小长度46字节故填充这八个字节为0