01
Präfixe ausdrücklich angeben
10 ohne Präfix ist dezimal zehn, 0b10 dagegen binär zwei. Hexadezimale Buchstaben brauchen 0x. Führende Nullen schalten nicht auf Oktal um.
- Auch 0X0012 wird als 18 gelesen.
IP- und Subnetz-Werkzeuge
TCP Flags dekodieren
Dezimalzahl, Hex mit 0x oder Binär mit 0b eingeben. Über die acht Kontrollkästchen lässt sich die Maske verändern.
TCP Flags dekodieren
Numerischer Flag-Wert
Acht Bits bearbeiten
Bitänderungen schreiben 0xHH. Leere oder ungültige Eingaben zuerst korrigieren.
Dekodierte Flags
- Dezimal
- 18
- Hexadezimal
- 0x12
- Binär
- 00010010
Kombination und Kontext
SYN + ACK
0x02 | 0x10 = 0x12
SYN + ACK: häufig eine Handshake-Antwort.
- 0 · CWR · 128 — Nicht gesetzt. Herkömmliche Verkleinerung des Überlastungsfensters oder ECN-Aushandlung.
- 0 · ECE · 64 — Nicht gesetzt. ECN-Echo oder Aushandlung je nach Kontext.
- 0 · URG · 32 — Nicht gesetzt. Urgent-Pointer-Feld ist gültig.
- 1 · ACK · 16 — Gesetzt. Bestätigungsnummernfeld ist gültig.
- 0 · PSH · 8 — Nicht gesetzt. Push-Funktion.
- 0 · RST · 4 — Nicht gesetzt. Reset-Anzeige.
- 1 · SYN · 2 — Gesetzt. Sequenznummern synchronisieren.
- 0 · FIN · 1 — Nicht gesetzt. Absender hat keine weiteren Daten.
Die Werte bleiben in diesem Browser. Keine Aufzeichnung, Übertragung oder Netzwerkprüfung.
Eingaberegeln
Ohne Präfix dezimal, mit 0x hexadezimal, mit 0b binär. Höchstens 64 Zeichen.
Nur die unteren acht Bits: 0–255. AE (früher NS) liegt außerhalb dieses Feldes.
Muster beschreiben typische Kontexte, keine Verbindungszustände. ECE/CWR beziehen sich auf herkömmliches ECN.
Gesetzte Bits: 2; Dezimalwert: 18.
Wer TCP Flags dekodieren möchte, trifft oft auf 18 im Log und 0x12 in der Paketansicht. Beide Zahlen stehen für dieselben Bits; sie sind keine Bestätigungsnummern.
Bei Flow-Logs kann der Wert mehrere Pakete zusammenfassen. Prüfen Sie deshalb zuerst die Felddefinition des Anbieters, bevor Sie aus der Kombination auf einen einzelnen TCP-Abschnitt schließen.
Warum TCP Flags dekodieren?
Zahlenwert, Bitposition und Gewicht bleiben zusammen sichtbar.
Änderungen an einer Stelle nachvollziehen
TCP Flags dekodieren wird mit der verknüpften Bitansicht anschaulich: Entfernen Sie SYN aus 0x12, wird daraus 0x10. ACK bleibt gesetzt. So sehen Sie direkt, welchen Beitrag eine einzelne Auswahl leistet.
Unabhängige Gewichte kombinieren
Beginnen Sie mit null und wählen Sie die benötigten Bits. SYN trägt 2 bei, ACK trägt 16 bei; OR ergibt 18. Die zweite Grafik zeigt, wie beide gesetzten Bits ihre eigenen Positionen in derselben Maske behalten.
Zahlensystem, Aktualisierung und Kontext
02
Nach Änderungen auf das Ergebnis warten
Ein Klick auf ein Bit schreibt die Eingabe als 0xHH. Die Automatik wartet 350 ms. Nach dem Abschalten erscheint die Schaltfläche zum Dekodieren.
- Ctrl/Cmd + Enter führt die aktuelle Eingabe aus; Kopieren und Download bleiben bei veraltetem Ergebnis gesperrt.
03
Den Bericht mit dem Logformat abgleichen
JSON enthält alle acht Bits mit Gewicht und Zustand sowie den OR-Ausdruck. Auch nicht gesetzte Bits bleiben erhalten.
- Ein SYN+ACK-Muster allein bestätigt noch keinen abgeschlossenen Verbindungsaufbau.
Erklärung der Kontrollbits und Zahlenwerte
Drei Darstellungen gleichzeitig
Dezimal, Hexadezimal und Binär beziehen sich auf denselben vorzeichenlosen Wert. Hex erscheint mit zwei, Binär mit acht Stellen. Die Maske wird weder als Portnummer noch als Position innerhalb eines Pakets interpretiert.
Alle acht Gewichte
FIN hat das Gewicht 1, CWR das Gewicht 128. Unterschiedliche gesetzte Bits werden mit OR kombiniert. ACK kennzeichnet ein gültiges Bestätigungsnummernfeld; URG kennzeichnet ein gültiges Urgent-Pointer-Feld. Beide sind nicht die jeweiligen Feldwerte.
Bekannte und ungewöhnliche Kombinationen
Sechs Beispiele decken SYN, SYN+ACK, ACK, PSH+ACK, FIN+ACK und RST+ACK ab. SYN zusammen mit FIN oder RST bleibt dekodierbar und erhält einen Hinweis zum Kontext, statt automatisch verändert zu werden.
Feldbreite und Grenzen der Aussage
- Nur das untere Byte
- Zulässig sind 0 bis 255. Das zusätzliche AE-Bit an der früheren NS-Position gehört nicht dazu. 0x100 und 0x1FF werden abgewiesen; obere Bits werden weder abgeschnitten noch durch Modulo entfernt.
- Ein strenger Zahlenwert
- Höchstens 64 Zeichen einschließlich äußerer Leerzeichen. Negative Zahlen, Brüche, Exponentialschreibweise, Flag-Namen, tcpdump-Kürzel, Ausdrücke und mehrere Werte werden nicht akzeptiert. Namen wählen Sie über die Bitfelder.
- Keine Verbindungsdiagnose
- Das Werkzeug liest keine PCAP-Dateien, zeichnet keine Pakete auf und prüft keine Ports. Richtung, Sequenznummern, Nutzdatenlänge und zeitlicher Ablauf fehlen. Ein gesetztes Flag ist daher kein Beleg für einen offenen Port oder einen Angriff.
- ECN erfordert Verhandlungskontext
- ECE und CWR werden im herkömmlichen ECN-Sinn erläutert. Nach einer AccECN-Aushandlung können die Bits gemeinsam anders zu lesen sein. Diese Byteansicht wertet weder die Aushandlung noch den tatsächlichen Überlastungszustand aus.
- Ersetzen mit Vorschau
- Beispiele und Leeren zeigen zunächst Eingabeanzahl und gesetzte Bits. Erst Anwenden ersetzt den Inhalt. Einmal Rückgängig stellt Eingabe und Ausgabe wieder her. Texteingabe und Bitklicks sind direkte Bearbeitungen.
Fragen zu TCP Flags dekodieren
Welchen Wert hat SYN?
SYN allein entspricht 2 beziehungsweise 0x02 und dient zur Synchronisierung von Sequenznummern. Die initiale Sequenznummer selbst steht in einem anderen Feld und lässt sich nicht aus dem Flag berechnen.
Was bedeutet tcp.flags.reset == 1?
Der Ausdruck prüft das gesetzte RST-Bit, nicht einen Gesamtwert von 1. RST hat in der numerischen Maske das Gewicht 4. Mit ACK zusammen ergibt sich 20 beziehungsweise 0x14; die Ursache des Resets bleibt offen.
Wie lassen sich TCP Flags in Wireshark ablesen?
Wireshark zeigt den Gesamtwert und einzelne Felder wie tcp.flags.syn oder tcp.flags.ack. Übertragen Sie nur den Zahlenwert in dieses Werkzeug, etwa 0x12. Die Seite nimmt keine Filterausdrücke oder vollständigen Paketdaten entgegen.
Kann ich TCP Flags aus tcpdump als Buchstaben eingeben?
Nein. Die Anzeige [S.] ist eine Schreibkonvention für SYN und ACK. Wählen Sie die beiden Bits oder geben Sie 18 ein. Prüfen Sie bei anderen Buchstaben die verwendete tcpdump-Darstellung; hier werden keine Capture-Filter erzeugt.
Wofür steht P bei den Flags?
In der üblichen tcpdump-Anzeige steht P für PSH, das Push-Bit mit Gewicht 8. Zusammen mit ACK ergibt sich 24. PSH markiert keine verlässliche Nachrichtengrenze der Anwendung und bedeutet keine besondere Paketpriorität.
Noch eine Frage?
Die Maske erneut prüfen
TCP Flags dekodieren, die Einzelgewichte vergleichen und den aktuellen JSON-Bericht für die weitere Untersuchung speichern.