【正文】 太網(wǎng)類型。 服務(wù)類型 unsigned short ip_total_ length IP數(shù)據(jù)包的總長(zhǎng)度 unsigned short ip_flags。 模式匹配模塊 模式匹配模塊通過打開存取有害詞庫的文件提取并建立匹配字庫。當(dāng)用戶選擇命令發(fā)送時(shí)，可以有啟動(dòng)抓包、結(jié)束抓包、傳送 流程 三種選擇。 DWORD Key, NumberBytes。 DWORD Key, NumberBytes。 0xe0) define BPF_IMM 0x00 define BPF_ABS 0x20 define BPF_IND 0x40 define BPF_MEM 0x60 define BPF_LEN 0x80 define BPF_MSH 0xa0 define BPF_OP(code)((code) amp。 i++ ) { pRxPackage = amp。NumberBytes, amp。 } If ( !pCompletedOverlapped ) { continue。 7. 抓 包 和 丟包率的測(cè)試。 網(wǎng)關(guān)的 配置 添加網(wǎng)絡(luò)路由功能，網(wǎng)卡 IP地址設(shè)為 ，網(wǎng)卡 2的 IP地址設(shè)為， DNS地址 ， 設(shè)為 目標(biāo)論壇的 網(wǎng)關(guān)的 MAC地址：007305072997。 因?yàn)檫@是外部網(wǎng)絡(luò)，監(jiān)聽機(jī)放在目標(biāo)論壇的網(wǎng)關(guān)路由器上，所以當(dāng)用戶機(jī) 2給目標(biāo)論壇發(fā)信息的時(shí)候，它的 MAC 地址到達(dá)它自己的路由器后，就發(fā)生了轉(zhuǎn)變。分別用來測(cè)試 監(jiān)測(cè) 計(jì)算機(jī)處于局域網(wǎng)絡(luò)內(nèi)部和局域網(wǎng)外部的 監(jiān)測(cè) 效果。 } } 6 結(jié)果測(cè)試，性能分析 ： 1. 啟動(dòng)包捕獲。pCompletedOverlapped, (DWORD)1 )。 W32N_PacketRead( pAdapterm_hDevice, amp。 0x08) define BPF_K 0x00 define BPF_X 0x08 顯示目的和源的 MAC 地址： void HP_Display802_3Packet( PW32N_PACKET pW32NPacket ) { USHORT nLengthOrType。 printf( Starting Receive Thread\n )。 } DWORD WINAPI ReceiveProc( PHookAdapter pAdapter ) { DWORD nResult。 如圖 8 所示： 第 16 頁 共 25 頁 論壇 監(jiān)測(cè) 的關(guān)鍵代碼 接受線程 DWORD WINAPI ReceiveProc( PHookAdapter pAdapter ) { DWORD nResult。模式匹配模塊采用順序匹配方式逐個(gè)匹配 關(guān)鍵詞，如果匹配成功退出該程序，如果不成功繼續(xù)匹配直到匹配完所有的關(guān)鍵詞。 生存期 unsigned char ip_protocol。 去掉以太網(wǎng)頭部信息可以得到 IP層數(shù)據(jù)實(shí)體。以太網(wǎng)頭數(shù)據(jù)結(jié)構(gòu)定義如下。 指向一個(gè)過濾器指令鏈表頭的指針值。 struct by program fcode。 u char *buffer。 int offset。 結(jié)構(gòu) pcap是實(shí)現(xiàn)數(shù)據(jù)包截獲機(jī)制的一個(gè)關(guān)鍵數(shù)據(jù)結(jié)構(gòu)。 第三步根據(jù)全局系統(tǒng)緩沖區(qū)中存放的命令參數(shù)，定義過濾規(guī)則，建立過濾器指令鏈表頭，該數(shù)據(jù)結(jié)構(gòu)詳細(xì)介紹在后面。停止抓包 ： 關(guān)閉抓包線程。如果命令行給出的參數(shù)不正確，會(huì)提示用戶一個(gè)信息然后退出。 5. 基于開放式源代碼的特性，系統(tǒng)中不會(huì)存在后門，安全性好。 圖形顯示模塊顯示目前的關(guān)鍵字和匹配成功的信息和信息的源 IP地址、目的IP地址、端口號(hào)、 ID號(hào)。前臺(tái)部分包括圖形顯示模塊、命令模塊。 支持監(jiān)視內(nèi)容和配置文件的 海量模式備份、恢復(fù) 。 可設(shè)置只監(jiān)視具體的一些網(wǎng)站，也可以忽略監(jiān)視某些網(wǎng)站；比如一個(gè)公司里通常 SINA 這樣的網(wǎng)站可 能同時(shí)所有的人都有去看，如果都監(jiān)視的話將相當(dāng)浪費(fèi)資源又內(nèi)容重復(fù) ， 實(shí)際上也無意義和必要 。 他們分 別有各自的出口網(wǎng)關(guān)。 4 論壇 監(jiān)測(cè) 軟件設(shè)計(jì)的總體方案 互聯(lián)網(wǎng)論壇 監(jiān)測(cè) 系統(tǒng)使用的是用戶 /服務(wù)器的模式。 包過濾就離不開 Berkeley Packet Filter（ BPF） ，即伯克利數(shù)據(jù)包過濾器 ，它 提供了一種新的流量 監(jiān)測(cè) 結(jié)構(gòu)，性能比其它工具有顯著提高。 丟棄并報(bào)警 正常 抓包 分析包 匹配 關(guān)鍵字 是 否 圖 3系統(tǒng)流程圖 第 7 頁 共 25 頁 當(dāng)存儲(chǔ)緩 沖區(qū)滿而復(fù)制緩沖區(qū)空時(shí)， BPF將兩者交換。 如下圖 3 ： 1. 數(shù) 據(jù)包捕獲功能 論壇內(nèi)容 監(jiān)測(cè) 要實(shí)現(xiàn)抓包，就離不開 Libpcap調(diào)用抓包庫函數(shù)。 數(shù)據(jù)挖掘 數(shù)據(jù)獲取和存儲(chǔ)平臺(tái)： 接入互聯(lián)網(wǎng)，對(duì)定點(diǎn)網(wǎng)站、論壇進(jìn)行數(shù)據(jù)深入挖掘，基于發(fā)帖人、發(fā)帖時(shí)間、主題及正文進(jìn)行分類檢索與統(tǒng)計(jì)，對(duì)目標(biāo)站點(diǎn)的信息提取率達(dá)到 90%；專項(xiàng)針對(duì)目標(biāo)論壇的信息發(fā)布進(jìn)行內(nèi)容獲取，對(duì)目標(biāo)論壇分組，基于論壇組進(jìn)行高效的輪詢式全文獲??；采用純文本方式存儲(chǔ)，以最大限度節(jié)約空間。 因此互聯(lián)網(wǎng)論壇內(nèi)容 監(jiān)測(cè) 系統(tǒng)的產(chǎn)生 就顯得尤為重要。 2. 類型過濾： 站過濾 ： 根據(jù) MAC地址，篩選出某個(gè) 工 作站或服務(wù)器的數(shù)據(jù)。 網(wǎng)絡(luò)信息 監(jiān)測(cè) 將獲取所有的網(wǎng)絡(luò)信息，但在實(shí)際應(yīng)用中，其中存在若干用戶不關(guān)心的數(shù)據(jù)，或者稱為垃圾數(shù)據(jù)。網(wǎng)絡(luò)層判斷目標(biāo) IP地址是否為本機(jī)所綁定的 IP地址，如果不是 本機(jī)所綁定 IP地址，將丟棄這些 IP數(shù)據(jù)報(bào) 。 利用以太網(wǎng)的廣播特性進(jìn)行 包捕獲 以太網(wǎng)數(shù)據(jù)傳輸通過廣播實(shí)現(xiàn)，通常在同一個(gè)共享局域網(wǎng)的所有網(wǎng)絡(luò)接口都有訪問在物理媒體上傳輸?shù)乃袛?shù)據(jù)的能力，但是在系統(tǒng)正常工作時(shí)，應(yīng)用程序只能接收到本主機(jī)為目標(biāo)主 機(jī)的數(shù)據(jù)包，其他數(shù)據(jù)包過濾后將被丟棄不作 處理。大體上來說，可以將 監(jiān)測(cè) 程序分為兩個(gè)組成部分 : 在眾多 的網(wǎng)絡(luò)安全技術(shù)中， 監(jiān)測(cè) 過濾技術(shù)是一個(gè)廣泛使用的技術(shù)。 同時(shí)企業(yè)如何能夠從海量的數(shù)據(jù)信息中獲取民眾焦點(diǎn)和 社會(huì)輿論動(dòng)向已經(jīng)成為 管理部門日常工作的重中之重。 “資源共享，信息互通” 需要更多相關(guān)設(shè)計(jì)資料和源代碼加 :493703123 Design and Implementation of the Inter Forum Detective System Abstract As the inter has been developing rapidly, the inter forum has brought many convenient to the people. But at the same time, it also has been having a series of questions, such as spreads the pornography, declares the reactionary opinion, divulges the secret of technology, etc. Therefore the requirement of the Inter forum detective system has been stared in the face, and thorough analysis for the system has the extremely vital significance. The thesis introduces the base knowledge of work, the principle of the work detecting and filter. Pointed out a method of how the data transport from the customer to the server. The thesis has analyzed the goal of inter forum detective system, the principle of system position and the function module. The important module includes the module of capture package, module of decode, module of matching. The system proposes the broadcast characteristic of Ether, using the BPF technology to gain the work information in the mon work environment. The system has base on Linux operation system, transferring a libpcap storeroom function to grasp the package, analyzing the content of the package and finding the bad message in order to realize the function of filter. The thesis uses the method which was referred just now to construct the system detective, and it realizes some of its functions. Key words: The forum detecting。因此人們對(duì)網(wǎng)絡(luò)論壇內(nèi)容監(jiān)測(cè) 的需求已經(jīng)迫在眉睫，而對(duì)它的深入分析和研究就更具有極為重要的意義。其主要模塊包括包捕獲模塊、解碼模塊、模式匹配模塊。 BPF 目 錄 論文總頁數(shù)： 25 頁 1引 言 ..................................................................... 1 ................................................................ 1 ...................................................... 1 .........................................