【正文】 查看它的 MAC地址為： 。 3. 捕獲到非法數(shù)據(jù)后有顯示功能。 } If ( !bSuccess ) { printf( GetQueuedCompletionStatus\n )。pRxPackagenBytesReturned, amp。 printf( Dest: %.%.%.%.%.% , (char * )pW32NPacketPacketBuffer[ MDstAddr + 0 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 1 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 2 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 3 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 4 ], 第 19 頁(yè) 共 25 頁(yè) (char * )pW32NPacketPacketBuffer[ MDstAddr + 5 ] )。 pAdapterm_hReadPort = CreateIoCompletionPort(pAdapterm_hDevice, //file handle to associate with I/O pletion port pAdapterm_hReadPort,//optional handle to existing I/O pletion port (DWORD )pAdapter, //pletion key 2)。 int i。 int i。當(dāng)匹配成功時(shí)調(diào)用處理模塊完成報(bào)警、記錄日志攔截計(jì)算機(jī)功能。 IP頭的校驗(yàn)和 unsigned int ip_source。分析該數(shù)據(jù)結(jié)構(gòu)，可以很容易取出該數(shù)據(jù)流的源 IP地址、目的 IP 地址、傳輸層協(xié)議類(lèi)型。 struct EtherHdr { unsigned char ether_dst[6]: 目標(biāo)網(wǎng)卡地址。 程序的循環(huán)部分是讀取打開(kāi)的截獲設(shè)備上的所有數(shù)據(jù)包，直到滿(mǎn)足設(shè)置的最大 截獲數(shù)目。 char errbuf [PCAP_ERRBUF_SIZE]。 u char *bf。 struct pcap_sf 。 文件描述符，這里指數(shù)據(jù)包的描述符，即底層過(guò)濾器特殊文件描述符 int snapshot。 第四步調(diào)用包捕獲模塊開(kāi)始抓包。查看當(dāng)前流量 ： 打開(kāi)系統(tǒng)中 /pros//dev文件，從而獲得網(wǎng)絡(luò)接口 的流第 13 頁(yè) 共 25 頁(yè) 量數(shù)據(jù)，然后將數(shù)據(jù)后發(fā)送給前臺(tái)軟件進(jìn)行顯示。參數(shù)內(nèi)容即過(guò)濾規(guī)則供包捕獲模塊使用。 服務(wù)器端建議用戶(hù)的計(jì)算機(jī)使用以下配置（或更高）： CPU： Intel 或兼容機(jī) 硬盤(pán)： 7200 轉(zhuǎn) /分，剩余空間 100M 內(nèi)存：建議 512MB 或更多 鼠標(biāo)： 3D 光電鼠 鍵盤(pán)：標(biāo)準(zhǔn) 104 鍵 Microsoft Windows NT Server 、 Windows 2021 Server、 Microsoft Windows NT Server 企業(yè)版、 Windows 2021 Advanced Server 及 Windows 2021 Data Center Server 或者更高軟件版本 。 系統(tǒng)功能模塊圖如下 圖 7： 系統(tǒng)功能模塊主控模塊命令模塊輸 出 模 塊日 志 模 塊圖 形 顯 示 模 塊解 碼 模 塊匹 配 模 塊包 捕 獲 模 塊 圖 7 系統(tǒng)功能模塊 5 論壇 監(jiān)測(cè) 軟件的實(shí)現(xiàn) 通過(guò)分析，后臺(tái)軟件選用 Red (Linux )作為開(kāi)發(fā)平臺(tái)。 包捕獲模塊是主線(xiàn)程 的主程序，它將數(shù)據(jù)包捕獲后的處理交給解碼模塊。 此外對(duì) 用戶(hù) 的數(shù)據(jù)的 監(jiān)測(cè) 就只能通過(guò)流控設(shè)備去實(shí)現(xiàn)，了 解 所使用 的 各個(gè)服 務(wù)的流量，對(duì)敏感的流量和服務(wù)有必要進(jìn)行抓包分析。 比如輸入 SINA，將過(guò)濾全部包含 SINA 的所有 URL 訪(fǎng)問(wèn) ，這叫做白名單過(guò)濾。 根據(jù)不用管理需要，可設(shè)置為某些對(duì)象監(jiān)視 ,某些對(duì)象不監(jiān)視（比如 管理員和老板沒(méi)有必要被監(jiān)視），某些用戶(hù)應(yīng)用監(jiān)視 ,某些應(yīng)用不監(jiān)視 。 通過(guò) 監(jiān)測(cè) 機(jī)對(duì)網(wǎng)絡(luò)中所有主機(jī)的數(shù)據(jù)進(jìn)行檢測(cè)， 收集 網(wǎng)絡(luò)中的數(shù)據(jù)，當(dāng)發(fā)現(xiàn)正常的數(shù)據(jù)流時(shí)，監(jiān)測(cè) 機(jī) 不采取任何動(dòng)作，當(dāng)發(fā)現(xiàn)有敏感的數(shù)據(jù)時(shí)即可將其先隔離并保存下來(lái)，然后報(bào)警，通過(guò)管理員的操作和檢驗(yàn)后再對(duì)用戶(hù) pc 加以處理。做客戶(hù)端的機(jī)子在另外的局域網(wǎng)內(nèi)，發(fā)信息給目標(biāo)論壇。數(shù)據(jù)包的拷貝必須跨越內(nèi)核 /用戶(hù)保護(hù)界限，這就需要使用名為包過(guò)濾器 (packet filter)的內(nèi)核代理程序。 Libpcap完成了如下工作 ： Libpcap庫(kù)只支持 BPF接口的內(nèi)核過(guò)濾。 發(fā)帖人、發(fā)帖時(shí)間、主題及正文的分類(lèi)檢索與統(tǒng)計(jì) 論壇發(fā)布內(nèi)容 目標(biāo)論壇 2 目標(biāo)論壇 1 目標(biāo)論壇 n 定點(diǎn)深入 挖掘 信息獲取 /存儲(chǔ)平臺(tái) 數(shù) 據(jù)報(bào)告生成平臺(tái) 圖 2系統(tǒng)功能圖 第 6 頁(yè) 共 25 頁(yè) 此功能進(jìn)一步對(duì)某個(gè)網(wǎng)站進(jìn)行信息的有針對(duì)性的很具體的搜索，達(dá) 到 信息的快速獲取。 系統(tǒng)還應(yīng)該需要 ： 定點(diǎn)網(wǎng)站深入 挖掘 監(jiān)測(cè) 系統(tǒng) 的總體目標(biāo) 論壇 監(jiān)測(cè) 系統(tǒng)總體目標(biāo) ：通過(guò)設(shè)計(jì)流量控制，身份驗(yàn)證，屏蔽各種端口等方法 對(duì)用 戶(hù) 上網(wǎng)、收發(fā)郵件、聊天和電腦游戲進(jìn)行嚴(yán)格管 理與控制 ； 有效預(yù)防黑客、木馬和病毒 ，進(jìn)行反動(dòng)，色情的信息。 3. 內(nèi)容的過(guò)濾： 根據(jù)收到信息的內(nèi)容，選擇性的數(shù)據(jù)過(guò)濾。事實(shí)上，網(wǎng)絡(luò) 監(jiān)測(cè) 模塊過(guò)濾功 能的效率是該網(wǎng)絡(luò) 監(jiān)測(cè) 的關(guān)鍵，因?yàn)閷?duì)于網(wǎng)絡(luò)上的每一數(shù)據(jù)包都會(huì)使用該模塊處理，判斷是否符合過(guò)濾條件。 傳輸層中的 TCP或者 UDP判斷目標(biāo)端口是否在本機(jī)已經(jīng)打開(kāi)，如果沒(méi)有打開(kāi)，則拋棄這些包 ， 否則將向應(yīng)用層提交內(nèi)容。 鏈路層主要 指網(wǎng)卡驅(qū)動(dòng)程序判斷 所收到包的目標(biāo)以太 網(wǎng) 地址，在系統(tǒng)正常工作時(shí)，一個(gè)合法的網(wǎng)絡(luò)接口應(yīng)該只響應(yīng)這樣的兩種數(shù)據(jù)幀 : 監(jiān)測(cè) 技術(shù)簡(jiǎn)介 絕大多數(shù)的現(xiàn)代操作系統(tǒng)都提供了對(duì)底層網(wǎng)絡(luò)數(shù)據(jù)包捕獲的機(jī)制，其最初的第 2 頁(yè) 共 25 頁(yè) 目的在于對(duì)網(wǎng)絡(luò)通信情況進(jìn)行 監(jiān)測(cè) ，以對(duì)網(wǎng)絡(luò)的一些異常情況進(jìn)行調(diào)試處理。 綜合運(yùn)用以前所學(xué)的專(zhuān)業(yè)知識(shí)，設(shè)計(jì)開(kāi)發(fā)一個(gè)互聯(lián)網(wǎng) 監(jiān)測(cè) 軟件，本設(shè)計(jì)要求實(shí)現(xiàn)能夠自動(dòng)獲取目標(biāo)論壇的發(fā)布內(nèi)容，系統(tǒng)針對(duì)發(fā)帖作者、發(fā)帖時(shí)間、帖子URL、帖子標(biāo)題和帖子正文等關(guān)鍵字段開(kāi)放基于單個(gè)字段或是組合選項(xiàng)的熱點(diǎn)查詢(xún)等這些功能，具體包括以下內(nèi)容： 1. 在設(shè)計(jì)與開(kāi)發(fā)中，重點(diǎn)如何解決客 戶(hù)發(fā)的信息能夠捕獲到的問(wèn)題； 2. 在設(shè)計(jì)與開(kāi)發(fā)中， 難點(diǎn) 是對(duì)捕獲的信息過(guò)濾的問(wèn)題 。 filter。分析了互聯(lián)網(wǎng)論壇監(jiān)測(cè) 系統(tǒng)的目的、系統(tǒng)的組成原理和系統(tǒng)的功能模塊。 本文介紹了網(wǎng)絡(luò)基礎(chǔ)知識(shí)、網(wǎng)絡(luò)監(jiān)測(cè) 和過(guò) 濾的原理以及數(shù)據(jù)從客戶(hù)端傳到服務(wù)器端的方式。 Libpcap。 本課題研究的意義 通過(guò)設(shè)計(jì) 流量控制，身份驗(yàn)證，屏蔽各種端口等方法 對(duì)用 戶(hù) 上網(wǎng) 發(fā)信息到目標(biāo)論壇 進(jìn)行嚴(yán)格管理與控制 ， 有效預(yù)防 木馬 、 病毒 和用戶(hù) 進(jìn)行反動(dòng)，色情的信息傳遞 。監(jiān)視實(shí)時(shí)通訊的信息 并提取有害 內(nèi)容 ， 而且 在不影響網(wǎng)絡(luò)性能的基礎(chǔ)上提取信息體，并進(jìn)行 高效的匹配從而建立有害信息庫(kù) ，為 進(jìn)一步攔截和做出統(tǒng)計(jì)分析做準(zhǔn)備。內(nèi)核空間部分 :負(fù)責(zé)從網(wǎng)絡(luò)中捕獲以及過(guò)濾數(shù)據(jù)包。該過(guò)濾機(jī)制可以作用在鏈路層、網(wǎng)絡(luò)層和傳輸層這幾個(gè)層次。如果符合本機(jī) 1P地址則交給傳輸層處理。如果垃圾數(shù)據(jù)比重極大，將嚴(yán)重影響系統(tǒng)工作效率。 服務(wù)過(guò)濾 ： 根據(jù)端口篩選特定類(lèi)型服務(wù)。它是當(dāng)今網(wǎng)絡(luò)發(fā)展的必然產(chǎn)物，也是未來(lái)網(wǎng)絡(luò)的不可或缺的。 數(shù)據(jù)報(bào)告生成平臺(tái)： 以海量信息為基礎(chǔ)，自動(dòng)聚成目標(biāo)論壇當(dāng)前熱點(diǎn)，并發(fā)布信息快照、生成數(shù)據(jù)報(bào)告。 關(guān)注熱點(diǎn)查詢(xún) 所以先介紹Libpcap： Libpcap接口支持基于 BSD數(shù)據(jù)包過(guò)濾器 (BPF: BerkeleyPaeket Filter)的數(shù)據(jù)過(guò)濾機(jī) 制。這樣的設(shè)計(jì)使用戶(hù)程序不需與網(wǎng)卡驅(qū)動(dòng)程序交互。 BPF 工作原理： 用戶(hù)程序 Llibpcap 庫(kù)函數(shù) 用戶(hù)緩沖區(qū) 用戶(hù)程序 Llibpcap 庫(kù)函數(shù) 用戶(hù)緩沖區(qū) 復(fù)制緩沖區(qū) 存儲(chǔ)緩沖區(qū) 過(guò)濾器 復(fù)制緩沖區(qū) 存儲(chǔ)緩沖區(qū) 過(guò)濾器 網(wǎng)絡(luò)接口卡 用戶(hù)級(jí) 內(nèi)核級(jí) 網(wǎng)絡(luò) 圖 4 Libpcap 工 作流程圖 第 8 頁(yè) 共 25 頁(yè) 許多版本的 UNIX 都提供用戶(hù)級(jí)別的網(wǎng)絡(luò) 監(jiān)測(cè) 功能，因?yàn)?監(jiān)測(cè) 程序以用戶(hù)級(jí)別進(jìn)程工作。做服務(wù)器端的多臺(tái)機(jī)子在一個(gè)局域網(wǎng)內(nèi)，組成目標(biāo)論壇，接收來(lái)自其他網(wǎng)絡(luò)的客戶(hù)機(jī)的信息。 由此可得到它的拓?fù)鋱D如下 圖 6： 監(jiān)測(cè) 軟件主要功能 對(duì) 外部 網(wǎng)絡(luò)的 監(jiān)測(cè) ： 根據(jù)具體網(wǎng)絡(luò)大小和 監(jiān)測(cè) 應(yīng)用的范圍有所不同而 做 些修改即可。 系統(tǒng)在受限于上述遍歷層數(shù)的同時(shí)，還能接受管理人員對(duì)于最大下載字節(jié)數(shù)與每次請(qǐng)求間隔時(shí)間的設(shè)置，從而避免因其內(nèi)容獲取操作而造成目標(biāo)論壇的工作負(fù)載驟然增加。 全部監(jiān)視 /不監(jiān)視、只監(jiān)視部分應(yīng)用 。 因此采用過(guò)濾方法模糊控制模式去忽略對(duì)一些公共的東西過(guò)濾 。 監(jiān)測(cè) 系統(tǒng) 功能模塊的描述 對(duì) 用戶(hù) 上網(wǎng)行為的 監(jiān)測(cè) 和管理事實(shí)上要配合一個(gè)復(fù)雜的網(wǎng)絡(luò)系統(tǒng)體系去實(shí)現(xiàn)，首先要定義 網(wǎng)絡(luò)用戶(hù)的類(lèi)型，普通用戶(hù)、管理員等都應(yīng) 有不同的網(wǎng)絡(luò)權(quán)限去獲得網(wǎng)絡(luò)的資源，因此就需要網(wǎng)管功能的軟硬件了 。 主控模塊實(shí)現(xiàn)的功能包括所有模塊的初始化、命令行解釋、配置文件解釋、建立主線(xiàn)程、關(guān)閉主線(xiàn)程。 日志模塊實(shí)現(xiàn)各種報(bào)文日志功能，也就是把各種類(lèi)型的報(bào)文記錄到各科類(lèi)型的日志中。由于 Window系統(tǒng)的圖形開(kāi)發(fā)功能強(qiáng)大，因此選擇在 Win2021professional上開(kāi)發(fā)前臺(tái)軟件 。如果命令行給出的參數(shù)正確，將參數(shù)相應(yīng)的數(shù)據(jù)放在一個(gè)全局的緩沖區(qū)內(nèi)。 過(guò)濾規(guī)則中包括數(shù)據(jù)鏈路層網(wǎng)絡(luò)傳輸類(lèi)型、網(wǎng)絡(luò)層 IP地址范圍以及傳輸層使用的端口號(hào)。 Struct pcap { int fd。 對(duì)應(yīng)于不同對(duì)齊方式的偏移量。 數(shù)據(jù)包緩沖區(qū)的首地址。 為一指向過(guò)濾器程序代碼的指針。 }。根據(jù)數(shù)據(jù)結(jié)構(gòu)中以太網(wǎng)類(lèi)型一項(xiàng)可以繼續(xù)判斷是 IP傳輸。 IP層頭部數(shù)據(jù)數(shù)據(jù)結(jié)構(gòu)定 義如下。 傳輸層協(xié)議類(lèi)型 unsigned short ip_checksum。匹配算法部分因?yàn)椴捎?KMP算法，所以編寫(xiě)生成 NEXT數(shù)組函數(shù)和匹配函數(shù)組成。 BOOL bSuccess。 BOOL bSuccess。 // Use Send/Receive Key Instead Of pAdap