【正文】 traffic to carry out monitoring activities, the development of the IP work are of great importance. This design is aimed at the IP packet flow analysis, on which the IP data packets through the corresponding analysis can be a series of corresponding attribute values. IP data packets through the corresponding attribute values resolve to get the specific circumstances of the munication work. IP packet traffic analysis program that uses RAW SOCKET set promiscuous mode in order to accept the card after the data packets, and the use of linked list structures to store eligible packets of IP data packets to achieve the source, type, number and length features. IP packet traffic analysis program implementation, help us to work data transmission and data packet type for control and analysis, help to determine the amount of traffic, facilitate, or is about to advance to prevent work problems. Keywords: IP data packet； message type； traffic analysis 3 ……………………………裝……………………………………訂…………………………………線(xiàn)…………………………… 目 錄 1. 緒論 ................................................................. 5 研究的 目的和意義 ................................................ 5 開(kāi)發(fā)工具及環(huán)境簡(jiǎn)介 .............................................. 6 2. 系統(tǒng)分析 ............................................................. 7 需求分析 ........................................................ 7 可行性分析 ...................................................... 7 IP協(xié)議分析 ..................................................... 8 IP流量分析 .................................................... 11 3. 系統(tǒng)總體設(shè)計(jì) ........................................................ 13 開(kāi)發(fā)設(shè)計(jì)思想 ................................................... 13 系統(tǒng)設(shè)計(jì) ....................................................... 13 程序結(jié)構(gòu)設(shè)計(jì) ................................................... 14 程序功能設(shè)計(jì) ................................................... 17 系統(tǒng)設(shè)計(jì)中的重點(diǎn)及難點(diǎn) ......................................... 19 4. 系統(tǒng)詳細(xì)設(shè)計(jì)與實(shí)施 .................................................. 21 Winsock 服務(wù)的初始化 ............................................ 21 .............................................. 21 Socket句柄賦值功能的實(shí)現(xiàn) ....................................... 22 程序?qū)崿F(xiàn)所需重要函數(shù) ........................................... 22 Raw socket介紹 ................................................. 24 5. 系統(tǒng)測(cè)試 ............................................................ 29 測(cè)試方法 ....................................................... 29 運(yùn)行命令及運(yùn)行 結(jié)果 ............................................. 29 結(jié)束語(yǔ) ................................................................. 35 參考文獻(xiàn) ............................................................... 36 緒論 致 謝 ............................................................... 37 附錄 .................................................................. 35 A 程序清單 ......................................................... 35 B 用戶(hù)手冊(cè) ......................................................... 47 C 軟件光盤(pán) ......................................................... 47 D 科技譯文 ......................................................... 48 5 ……………………………裝……………………………………訂…………………………………線(xiàn)…………………………… 1. 緒論 研究的目的和意義 Inter的迅速發(fā)展使社會(huì)經(jīng)濟(jì)結(jié)構(gòu)和人們的生活方式發(fā)生了巨大的變化，而 IP流量是網(wǎng)絡(luò)管理的重要數(shù)據(jù)基礎(chǔ)，通過(guò) IP分析流量數(shù) 據(jù)，可以幫助網(wǎng)絡(luò)管理員發(fā)現(xiàn)各種惡意網(wǎng)絡(luò)攻擊，對(duì)攻擊源進(jìn)行追溯和定位，從而對(duì)網(wǎng)絡(luò)中的計(jì)算機(jī)進(jìn)行有效的保護(hù)?，F(xiàn)在很多軟件針對(duì)網(wǎng)絡(luò)流量的監(jiān)控，屬于企業(yè)級(jí)使用范圍，而對(duì) 于普通中小網(wǎng)絡(luò)來(lái)說(shuō)，雖然有殺毒軟件和防火墻，但卻不知道一些惡意程序也可以悄悄的在后臺(tái)運(yùn)行，可以神不知鬼不覺(jué)的連接網(wǎng)絡(luò)，來(lái)竊取用戶(hù)的信息和隱私，比如說(shuō)：木馬程序就可以通過(guò)修改數(shù)據(jù)包的信息來(lái)進(jìn)行信息的盜取。因?yàn)榫W(wǎng)絡(luò)上的信息流量是通過(guò)計(jì)算機(jī)的 網(wǎng)卡轉(zhuǎn)換把網(wǎng)上的信息呈現(xiàn)在我們眼前的，通過(guò)對(duì)流經(jīng)網(wǎng)卡的數(shù)據(jù)包的分析，如果發(fā)現(xiàn)有惡意連接或是異常流量的時(shí)候，網(wǎng)絡(luò)管理員就可以及時(shí)的做出相應(yīng)的措施來(lái)保護(hù)網(wǎng)絡(luò)的通暢和安全，這也就是進(jìn)行 IP包流量分析的重要意義所在。世界上很多著名的計(jì)算公司都成功的開(kāi)發(fā)了不同版本的 C語(yǔ)言，很多優(yōu)秀的 應(yīng)用程序 也都使用 C語(yǔ)言開(kāi)發(fā)的，它是一種很 有發(fā)展前途的高級(jí)程序設(shè)計(jì)語(yǔ)言。 它以擁有“語(yǔ)法高亮”， IntelliSense（自動(dòng)編譯功能）以及高級(jí)除錯(cuò)功能而著稱(chēng)。在過(guò)去看來(lái)， Windows編程是復(fù)雜而又難以駕馭的， Visual C++這種強(qiáng)大開(kāi)發(fā)工具的出現(xiàn)改變了這種情況。因此，基 于 IP 流量分析的研究就顯得十分必要，這樣網(wǎng)絡(luò)管理員就能更加直觀(guān)的來(lái)了解網(wǎng)絡(luò)實(shí)時(shí)的通信情況，有利于網(wǎng)絡(luò)的管理。通過(guò)對(duì)這些內(nèi)容的分析，網(wǎng)絡(luò)管理員就可以了解計(jì)算機(jī)通信的情況，從而做出應(yīng)對(duì)措施。 IP 包流量分析程序開(kāi)發(fā)成本較小，硬施僅需要一臺(tái)計(jì)算機(jī)來(lái)進(jìn)行開(kāi)發(fā)，軟件方面需要正版軟件 Visual C++ 作為開(kāi)發(fā)工具，總計(jì)花費(fèi)在一萬(wàn)元左右。 在大學(xué)期間我深入的學(xué)習(xí)了 Visual C++，尤其是在理論和實(shí)踐相結(jié)合的方面上下了很大的功夫，循序漸進(jìn)的掌握了 Windows 程序開(kāi)發(fā)，還能學(xué)會(huì)如何在程序中添加一些必要的語(yǔ)句以達(dá)到特定的目的。 IP 協(xié)議分析 IP流量分析程序在運(yùn)行過(guò)程中捕獲的 IP數(shù)據(jù)包主要包括 TCP數(shù)據(jù)包， 9 ……………………………裝……………………………………訂…………………………………線(xiàn)…………………………… UDP數(shù)據(jù)包， IGMP數(shù)據(jù)包， ICMP數(shù)據(jù)包等，這些數(shù)據(jù)包分屬于不同的 TCP/IP協(xié)議?！盁o(wú)連接的”含義是指IP并不維護(hù)后續(xù)分組的狀態(tài)信息，每個(gè)分組的處理都是相互獨(dú)立的。 數(shù)據(jù)報(bào)的長(zhǎng)度是指包括報(bào)頭和數(shù)據(jù)部分在內(nèi)的總字節(jié)數(shù)。 (2)由于傳輸數(shù)據(jù)不建立連接，因此也就不需要維護(hù)連接狀態(tài)，包括收發(fā)狀態(tài)等，因此一臺(tái)服務(wù)機(jī)可同時(shí)向多個(gè)客戶(hù)機(jī)傳輸相同的消息。 UDP 是面向報(bào)文的。如圖 所示。之后 TCP把結(jié)果包傳給 IP層，由它來(lái)通過(guò)網(wǎng)絡(luò)將包傳送給接收端實(shí)體的 TCP層。 TCP報(bào)文是 TCP層傳輸?shù)臄?shù)據(jù)單元，也稱(chēng)為報(bào)文段 [4]。 ，這和網(wǎng)絡(luò)的結(jié)構(gòu)、應(yīng)用特點(diǎn)等緊密首部 數(shù)據(jù) 系統(tǒng)分析 相關(guān)，通過(guò) IP 流量分析，能夠了解網(wǎng)絡(luò)系統(tǒng)運(yùn)行的規(guī)律。通過(guò) IP 流量分析就可以很輕松的知曉網(wǎng)絡(luò)存在的異常。 IP 流量分析是有助于維護(hù)網(wǎng)絡(luò)持續(xù)、高效和安全運(yùn)行的一種手段， IP 流量分析有助于網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)運(yùn)行管理、應(yīng)用運(yùn)行管理和網(wǎng)絡(luò)應(yīng)用問(wèn)題分析。 系統(tǒng)設(shè)計(jì) 在通常情況下，網(wǎng)絡(luò)通信的套接字程序只能響應(yīng)與自己硬件地址相匹配的或是以廣播形式發(fā)出的數(shù)據(jù)幀，對(duì)于其他形式的數(shù)據(jù)幀比如已到達(dá)網(wǎng)絡(luò)接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡(luò)接口在驗(yàn)證投遞地址并非是自身地址之后將不引起響應(yīng)，也就是說(shuō)應(yīng)用程序無(wú)法收取與自己無(wú)關(guān)的的數(shù)據(jù)包。 首先初始化環(huán)境，再創(chuàng)建原始 socket將 其初始化；然后獲得本地地址，把原始 socket綁定到本地網(wǎng)卡，再設(shè)置 sock_raw為 SIO_RCVALL,