【正文】 code) amp。 DWORD Key, NumberBytes。 模式匹配模塊 模式匹配模塊通過打開存取有害詞庫的文件提取并建立匹配字庫。 以太網(wǎng)類型。 這定這段指令程序的長度。 int bufsize。 打開數(shù)據(jù)包截獲設(shè)備，定義 t是指向 數(shù)據(jù)包截獲設(shè)備描述符結(jié)構(gòu) pcap的全局指針。啟動抓包 ： 初始化抓包線程。 第 12 頁 共 25 頁 3. 目前的幾種主流抓包軟件都有支持 Linux的版本，便于比較功能。主進(jìn)程通過主控模塊實(shí)現(xiàn)。 如下圖 5： ?? 圖 5 BPF組成結(jié)構(gòu)圖 3. 匹配 報(bào)警 功能 根據(jù)任務(wù)的實(shí)時(shí)性要求，報(bào)警、記錄日志、圖形顯示 等功能應(yīng)建立在不影響包捕獲的基礎(chǔ)上。 核心緩沖區(qū)分為兩部分 ： 存儲緩沖區(qū)和復(fù)制緩沖區(qū)。 目標(biāo)論壇分組，基于論壇組的高效輪詢式全文獲取 此功能主要能夠很快的建立目標(biāo)論壇網(wǎng)站的目錄，并根據(jù)需要 定點(diǎn)某個(gè)網(wǎng)站。 從小型公司員工上網(wǎng)浪費(fèi)工作時(shí)間和公司資源，到商業(yè)間諜通過一封郵件將公司機(jī)密泄露，無不體現(xiàn)著網(wǎng)絡(luò) 監(jiān)測 的必要性。操作系統(tǒng)直接訪問數(shù)據(jù)鏈路層，截獲相關(guān)數(shù)據(jù)，由應(yīng)用程序如 IP層 , TCP層 的 協(xié)議對數(shù)據(jù)過濾處理，這樣就可以 監(jiān)測 到流經(jīng)網(wǎng)卡的所有數(shù)據(jù)。而包捕獲機(jī)制是在數(shù)據(jù)鏈路層增加一個(gè)旁路處理，對發(fā)送和接收到的數(shù)據(jù)包做過濾 /緩沖等相關(guān)處理，最后直接傳遞到應(yīng)用 程序。從小型公司員工上網(wǎng)浪費(fèi)工作時(shí)間和公司資源，到商業(yè)間諜通過一封郵件將公司機(jī)密泄露，無不體現(xiàn)著網(wǎng)絡(luò) 監(jiān)測 的必要性。利用文中介紹的方法來構(gòu)建 監(jiān)測 系統(tǒng)，能起 到一定的 監(jiān)測 作用。系統(tǒng)在 Linux 操作系統(tǒng)下，調(diào)用 Libpcap 庫函數(shù)來實(shí)現(xiàn)抓包，對包中的內(nèi)容進(jìn)行分析， 找出有害的信息 ，從而實(shí)現(xiàn)過濾功能。 而隨之帶來的安全和管理問題不得不受到用戶的重視。數(shù)據(jù)包常規(guī)的傳輸路徑依次為網(wǎng)卡 、設(shè)備驅(qū)動層、數(shù)據(jù)鏈路層、 IP 層、網(wǎng) 絡(luò) 緩沖區(qū) 過濾區(qū) 過濾區(qū) 緩沖區(qū) 傳輸層 網(wǎng)絡(luò)層 DLPI 接口 協(xié)議分析模塊 系統(tǒng)無關(guān)捕獲模塊 用戶交互模塊 其它監(jiān)測 程序 用戶程序 包 捕 獲 用戶層 核心層 圖 1監(jiān)測程序結(jié)構(gòu) 第 3 頁 共 25 頁 傳輸層、最后到達(dá)應(yīng)用程序。當(dāng)網(wǎng)絡(luò)接口處于這種混雜模式時(shí)，該網(wǎng)絡(luò)接口具備“廣播地址”，它對所有接收到的幀都產(chǎn)生硬件中斷以提醒操作系統(tǒng)處理流經(jīng)該物理媒體上的每一個(gè)報(bào)文 (絕大多數(shù)的網(wǎng)絡(luò)接口具 備置成 promiscuous方式的能力 )。同時(shí)企業(yè)如何能夠從海量的數(shù)據(jù)信息中獲取民眾焦點(diǎn)和社會輿論動向已經(jīng)成為管理部門日常工作的重中之重。 專項(xiàng)針對論壇發(fā)布內(nèi)容獲取 網(wǎng)卡部分監(jiān)視共享網(wǎng)絡(luò)中的所有包，BPF用過濾條件匹配監(jiān)視到的包，若匹配成功則將之從網(wǎng)卡驅(qū)動的緩沖區(qū)復(fù)制到核心區(qū)。過濾器決定某一數(shù)據(jù)包是被接收還是拒絕，以及如果被接受，數(shù)據(jù)中的那些部分被拷貝給應(yīng)用程序。 互聯(lián) 網(wǎng)論壇 監(jiān)測 系統(tǒng)呈現(xiàn)簡潔、歸一化的操作界面，多線程獲取網(wǎng)站發(fā)布數(shù)據(jù)。 如果有人在觀看網(wǎng)站的帖子后，想 發(fā)表評論，如果評論中包含 色情 和反動的字眼就自動刪除該帖子，并發(fā)出警報(bào)。后臺部分由主進(jìn)程和主線程完成。并且可以得到 libpcap的更新版本。 這 5個(gè)接口函數(shù) 的主要功能如下所述 ： 1. pcap_ open_live()，用來獲得一個(gè)數(shù)據(jù)截獲描述符，該描述符用于查看在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包 ； 2. pcap_read()，用于讀取底層數(shù)據(jù)緩沖區(qū)中的數(shù)據(jù)包，并對捕獲到的數(shù)據(jù)包用參數(shù)所設(shè)定的回調(diào)函數(shù)進(jìn)行處理 ； 3. pcap_pile()，用于生成過濾器指令鏈表 ； 4. pcap_setfilter(),用 于設(shè)定過濾器 ； 5. pcap close()， 關(guān)閉相關(guān)的文件井釋放對應(yīng)資源 。 表示數(shù)據(jù)包截獲機(jī)制狀態(tài)和相關(guān)設(shè)備狀態(tài)的結(jié)構(gòu)。 過濾器程序用 pcap_pile(), pcap_ setfilter()函數(shù)和 bpf_ program數(shù)據(jù)結(jié)構(gòu)來描述，該數(shù)據(jù)結(jié)構(gòu)如下所示 : Struct bpf_ program { U_ int bf_ len。 unsigned char ether_type[6]。 當(dāng)解碼模塊按照 TCP/IP格式取得數(shù)據(jù)傳輸體中的實(shí)際數(shù)據(jù)時(shí) (數(shù)據(jù)實(shí)體 )，需要按照一定的協(xié)議格式進(jìn)行匹配處理。 LPOVERLAPPED pCompletedOverlapped。 0x18) define BPF_W 0x00 define BPF_H 0x08 define BPF_B 0x10 define BPF_MODE (code) ((code) amp。 bSuccess = GetQueuedCompletionStatus( pAdapterm_hReadPort, amp。 6. 對黑名單用戶的信息有顯示、報(bào)瞥、日志功能。所以抓到包的 MAC 地 址是目標(biāo)論壇的網(wǎng)關(guān)路由器地址做為源地址，目標(biāo)論壇 MAC地址做為目的地址。 2. 停止包捕獲。pRxPackageUserPacketData, amp。 // Use Send/Receive Key Instead Of pAdapter pAdapterm_hReadPort = CreateIoCompletionPort( 管理員 命令 日志 報(bào)警 顯示 前臺軟件 后臺 接收對象 報(bào)警 數(shù)據(jù) 圖 8 系統(tǒng)對象關(guān)系圖 第 17 頁 共 25 頁 INVALID_HANDLE_VALUE, //file handle to associate with I/O pletion port NULL, //optional handle to existing I/O pletion port (DWORD ) pAdapter, //pletion key 2 // of threads allowed to execute concurrently )。 BOOL bSuccess。 傳輸層協(xié)議類型 unsigned short ip_checksum。根據(jù)數(shù)據(jù)結(jié)構(gòu)中以太網(wǎng)類型一項(xiàng)可以繼續(xù)判斷是 IP傳輸。 為一指向過濾器程序代碼的指針。 對應(yīng)于不同對齊方式的偏移量。過濾規(guī)則中包括數(shù)據(jù)鏈路層網(wǎng)絡(luò)傳輸類型、網(wǎng)絡(luò)層 IP地址范圍以及傳輸層使用的端口號。如果命令行給出的參數(shù)正確，將參數(shù)相應(yīng)的數(shù)據(jù)放在一個(gè)全局的緩沖區(qū)內(nèi)。 日志模塊實(shí)現(xiàn)各種報(bào)文日志功能，也就是把各種類型的報(bào)文記錄到各科類型的日志中。 監(jiān)測 系統(tǒng) 功能模塊的描述 對 用戶 上網(wǎng)行為的 監(jiān)測 和管理事實(shí)上要配合一個(gè)復(fù)雜的網(wǎng)絡(luò)系統(tǒng)體系去實(shí)現(xiàn)，首先要定義 網(wǎng)絡(luò)用戶的類型，普通用戶、管理員等都應(yīng) 有不同的網(wǎng)絡(luò)權(quán)限去獲得網(wǎng)絡(luò)的資源，因此就需要網(wǎng)管功能的軟硬件了 。 全部監(jiān)視 /不監(jiān)視、只監(jiān)視部分應(yīng)用 。 由此可得到它的拓?fù)鋱D如下 圖 6： 監(jiān)測 軟件主要功能 對 外部 網(wǎng)絡(luò)的 監(jiān)測 ： 根據(jù)具體網(wǎng)絡(luò)大小和 監(jiān)測 應(yīng)用的范圍有所不同而 做 些修改即可。 BPF 工作原理： 用戶程序 Llibpcap 庫函數(shù) 用戶緩沖區(qū) 用戶程序 Llibpcap 庫函數(shù) 用戶緩沖區(qū) 復(fù)制緩沖區(qū) 存儲緩沖區(qū) 過濾器 復(fù)制緩沖區(qū) 存儲緩沖區(qū) 過濾器 網(wǎng)絡(luò)接口卡 用戶級 內(nèi)核級 網(wǎng)絡(luò) 圖 4 Libpcap 工 作流程圖 第 8 頁 共 25 頁 許多版本的 UNIX 都提供用戶級別的網(wǎng)絡(luò) 監(jiān)測 功能，因?yàn)?監(jiān)測 程序以用戶級別進(jìn)程工作。所以先介紹Libpcap： Libpcap接口支持基于 BSD數(shù)據(jù)包過濾器 (BPF: BerkeleyPaeket Filter)的數(shù)據(jù)過濾機(jī) 制。 數(shù)據(jù)報(bào)告生成平臺： 以海量信息為基礎(chǔ)，自動聚成目標(biāo)論壇當(dāng)前熱點(diǎn)，并發(fā)布信息快照、生成數(shù)據(jù)報(bào)告。 服務(wù)過濾 ： 根據(jù)端口篩選特定類型服務(wù)。如果符合本機(jī) 1P地址則交給傳輸層處理。內(nèi)核空間部分 :負(fù)責(zé)從網(wǎng)絡(luò)中捕獲以及過濾數(shù)據(jù)包。 本課題研究的意義 通過設(shè)計(jì) 流量控制，身份驗(yàn)證，屏蔽各種端口等方法 對用 戶 上網(wǎng) 發(fā)信息到目標(biāo)論壇 進(jìn)行嚴(yán)格管理與控制 ， 有效預(yù)防 木馬 、 病毒 和用戶 進(jìn)行反動，色情的信息傳遞 。 本文介紹了網(wǎng)絡(luò)基礎(chǔ)知識、網(wǎng)絡(luò)監(jiān)測 和過 濾的原理以及數(shù)據(jù)從客戶端傳到服務(wù)器端的方式。 filter。 監(jiān)測 技術(shù)簡介 絕大多數(shù)的現(xiàn)代操作系統(tǒng)都提供了對底層網(wǎng)絡(luò)數(shù)據(jù)包捕獲的機(jī)制，其最初的第 2 頁 共 25 頁 目的在于對網(wǎng)絡(luò)通信情況進(jìn)行 監(jiān)測 ，以對網(wǎng)絡(luò)的一些異常情況進(jìn)行調(diào)試處理。 鏈路層主要 指網(wǎng)卡驅(qū)動程序判斷 所收到包的目標(biāo)以太 網(wǎng) 地址，在系統(tǒng)正常工作時(shí)，一個(gè)合法的網(wǎng)絡(luò)接口應(yīng)該只響應(yīng)這樣的兩種數(shù)據(jù)幀 : 事實(shí)上，網(wǎng)絡(luò) 監(jiān)測 模塊過濾功 能的效率是該網(wǎng)絡(luò) 監(jiān)測 的關(guān)鍵，因?yàn)閷τ诰W(wǎng)絡(luò)上的每一數(shù)據(jù)包都會使用該模塊處理，判斷是否符合過濾條件。 監(jiān)測 系統(tǒng) 的總體目標(biāo) 論壇 監(jiān)測 系統(tǒng)總體目標(biāo) ：通過設(shè)計(jì)流量控制，身份驗(yàn)證，屏蔽各種端口等方法 對用 戶 上網(wǎng)、收發(fā)郵件、聊天和電腦游戲進(jìn)行嚴(yán)格管 理與控制 ； 有效預(yù)防黑客、木馬和病毒 ，進(jìn)行反動，色情的信息。 發(fā)帖人、發(fā)帖時(shí)間、主題及正文的分類檢索與統(tǒng)計(jì) 論壇發(fā)布內(nèi)容 目標(biāo)論壇 2 目標(biāo)論壇 1 目標(biāo)論壇 n 定點(diǎn)深入 挖掘 信息獲取 /存儲平臺 數(shù) 據(jù)報(bào)告生成平臺 圖 2系統(tǒng)功能圖 第 6 頁 共 25 頁 此功能進(jìn)一步對某個(gè)網(wǎng)站進(jìn)行信息的有針對性的很具體的搜索，達(dá) 到 信息的快速獲取。 Libpcap完成了如下工作 ： 做客戶端的機(jī)子在另外的局域網(wǎng)內(nèi)，發(fā)信息給目標(biāo)論壇。 比如輸入 SINA，將過濾全部包含 SINA 的所有 URL 訪問 ，這叫做白名單過濾。 包捕獲模塊是主線程 的主程序，它將數(shù)據(jù)包捕獲后的處理交給解碼模塊。 服務(wù)器端建議用戶的計(jì)算機(jī)使用以下配置（或更高）： CPU： Intel 或兼容機(jī) 硬盤： 7200 轉(zhuǎn) /分，剩余空間 100M 內(nèi)存：建議 512MB 或更多 鼠標(biāo)： 3D 光電鼠 鍵盤：標(biāo)準(zhǔn) 104 鍵 Microsoft Windows NT Server 、 Windows 2021 Server、 Microsoft Windows NT Server 企業(yè)版、 Windows 2021 Advanced Server 及 Windows 2021 Data Center Server 或者更高