網(wǎng)絡(luò)流量監(jiān)控論文(編輯修改稿)
2024-10-04 15:13 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 CPU產(chǎn)生中斷進(jìn)行響應(yīng)，然后調(diào)用驅(qū)動(dòng)程序設(shè)置的網(wǎng)卡中斷程序地址調(diào)用驅(qū)動(dòng)程序接收數(shù)據(jù)，然后放入堆棧進(jìn)行系統(tǒng)相關(guān)處理，若不匹配則直接丟棄該數(shù)據(jù)包[3]。對(duì)于網(wǎng)絡(luò)接口，它一般具有4種數(shù)據(jù)接收模式：廣播、組播、直接和混雜模式，只有當(dāng)把接口設(shè)置為混雜模式時(shí)，網(wǎng)絡(luò)接口才能接收所有的數(shù)據(jù)，無論地址是否匹配，所以在做本設(shè)計(jì)的時(shí)候一定要設(shè)置為混雜模式才能實(shí)現(xiàn)數(shù)據(jù)的采集。第二，需要了解套接字的工作程序和使用方法：一般來說，采用套接字開發(fā)網(wǎng)絡(luò)程序需要經(jīng)歷以下幾個(gè)基本步驟：?jiǎn)?dòng)、創(chuàng)建、綁定、監(jiān)聽（接受連接）、連接、發(fā)送/接收數(shù)據(jù)、關(guān)閉、卸載等。第三，具體到Windows下利用原始套接字捕獲網(wǎng)絡(luò)數(shù)據(jù)可以這樣設(shè)計(jì)：（1）啟動(dòng)套接字；（2）創(chuàng)建一個(gè)原始套接字；（3）將套接字與本地地址綁定；（4）設(shè)置操作參數(shù)；（5）設(shè)置網(wǎng)絡(luò)接口為混雜模式；（6）啟動(dòng)監(jiān)聽線程，開始接收數(shù)據(jù)；（7）退出關(guān)閉套接字。（1）啟動(dòng)函數(shù)WSAStartupint PASCAL FAR WSAStartup (DWORD wVersionRequested , LPWSADATA lpWSAData)；每一個(gè)套接字應(yīng)用程序都必須調(diào)用該函數(shù)進(jìn)行一系列初始化工作，并且只有調(diào)用成功返回后，才能開始使用套接字，其中參數(shù)wVersionRequested是版本號(hào)，高字節(jié)是次版本號(hào)、低字節(jié)是主版本號(hào)，參數(shù)lpWSAData是指向WSADATA結(jié)構(gòu)的指針。（2）套接字創(chuàng)建函數(shù)socketSOCKET socket (int af , int type , int protocol)。所有的通信在建立之前都必須創(chuàng)建一個(gè)套接字，socket函數(shù)的功能就是創(chuàng)建套接字，其中參數(shù)af指協(xié)議地址族（address family），當(dāng)建立的套接字是依賴于UDP或TCP的話，需要設(shè)置af為AF_INET,表示采用IP協(xié)議。參數(shù)type是指協(xié)議的套接字類型，采用流式套接字時(shí)用SOCK_STREAM，采用數(shù)據(jù)報(bào)套接字時(shí)用SOCK_DGRAM，采用原始套接字時(shí)用SOCK_RAW。參數(shù)protocol是協(xié)議字段，默認(rèn)情況下可直接設(shè)置為0。（3）綁定函數(shù)bindint bind ( SOCKET s , struct sockaddr_in* name , int namelen)。成功創(chuàng)建套接字后的下一步工作就是將本地網(wǎng)絡(luò)接口與套接字進(jìn)行綁定，其中參數(shù)s是創(chuàng)建的套接字，參數(shù)name是需要綁定的通信對(duì)象的信息結(jié)構(gòu)體指針，namelen是該結(jié)構(gòu)的長(zhǎng)度。需要注意的是sockaddr_in結(jié)構(gòu)：struct sockaddr_in{short sin_family。 //地址族，設(shè)置為AF_INETunsigned short sin_port。 //指定的端口號(hào)struct in_addr sin_addr。 //IP地址char sin_zero[8]。}。由于主機(jī)序列與網(wǎng)絡(luò)序列的關(guān)系，在程序中需要使用htons等函數(shù)進(jìn)行轉(zhuǎn)換工作。（4）設(shè)置接口模式函數(shù)WSAIoctlint WSAAPI WSAIoctl(SOCKET s, DWORD dwIoControlCode, LPVOID lpvInBuffer, DWORD cbInBuffer, LPVOID lpvOutBuffer, DWORD cbOutBuffer, LPDWORD lpcbBytesReturned, LPWSAOVERLAPPED lpOverlapped, LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine)。其中，s為一個(gè)套接口的句柄，dwIoControlCode為操作控制代碼，lpvInBuffer為輸入緩沖區(qū)的地址，cbInBuffer為輸入緩沖區(qū)的大小，lpvOutBuffer為輸出緩沖區(qū)的地址，cbOutBuffer為輸出緩沖區(qū)的大小，lpcbBytesReturned為輸出實(shí)際字節(jié)數(shù)的地址，lpOverlapped為WSAOVERLAPPED結(jié)構(gòu)的地址，lpCompletionRoutine為一個(gè)指向操作結(jié)束后調(diào)用的例程指針。調(diào)用成功后，WSAIoctl 函數(shù)返回0，否則的話，將返回INVALID_SOCKET錯(cuò)誤，應(yīng)用程序可通過WSAGetLastError來獲取錯(cuò)誤代碼。（5）數(shù)據(jù)接收函數(shù)recvint recv (SOCKET s , char* buf ,int len , int flags)。第四章網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)各模塊的設(shè)計(jì)與實(shí)現(xiàn)本設(shè)計(jì)開發(fā)平臺(tái)采用Microsoft ，它是目前使用比較廣泛的Winsock開發(fā)平臺(tái)，因此具有較強(qiáng)的適應(yīng)性，能夠在很多的操作系統(tǒng)平臺(tái)上運(yùn)行，設(shè)計(jì)后具有直觀的簡(jiǎn)潔的操作界面，穩(wěn)定性也比較高。通過收集與分析簡(jiǎn)單網(wǎng)絡(luò)流量監(jiān)控軟件的用戶需求，總結(jié)出以下特征：（1）需要實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)接口數(shù)據(jù)包的盡可能多的捕獲，將網(wǎng)卡設(shè)置為混雜模式，然后進(jìn)行數(shù)據(jù)包的采集；（2）數(shù)據(jù)包的內(nèi)容要進(jìn)行一定的解析，對(duì)數(shù)據(jù)包的協(xié)議類型、源目地址、數(shù)據(jù)包截獲時(shí)間、數(shù)據(jù)包內(nèi)容需要進(jìn)行分析；（3）根據(jù)用戶不同的要求能夠依照特定地址范圍、特定協(xié)議類型相關(guān)包等條件進(jìn)行自定義監(jiān)視；（4）監(jiān)視結(jié)果輸出有實(shí)時(shí)流量圖、列表等顯示；（5）實(shí)現(xiàn)日志記錄，便于日后分析；（6）對(duì)某些常見的攻擊進(jìn)行發(fā)現(xiàn)分析?？偤弦陨舷到y(tǒng)要求與綜合分析，本系統(tǒng)總體設(shè)計(jì)如下，采用VC++，系統(tǒng)具有三個(gè)主要功能部分：數(shù)據(jù)捕獲與顯示模塊、流量信息統(tǒng)計(jì)模塊、流量繪制模塊，如圖5所示。流量監(jiān)控分析系統(tǒng)數(shù)據(jù)采集模塊信息統(tǒng)計(jì)模塊流量繪制模塊圖 5 系統(tǒng)總體設(shè)計(jì)結(jié)構(gòu)圖數(shù)據(jù)采集模塊：完成網(wǎng)絡(luò)接口數(shù)據(jù)的捕獲、解析和顯示，可以根據(jù)用戶定義條件組合來進(jìn)行捕獲，如只監(jiān)視采用TCP或UDP協(xié)議的數(shù)據(jù)包，也可以監(jiān)視用戶希望關(guān)注的相關(guān)IP地址的數(shù)據(jù)包，同時(shí)完成數(shù)據(jù)封包日志記錄，提高了系統(tǒng)的靈活性。同時(shí)，在對(duì)數(shù)據(jù)包的解析過程中對(duì)一些常見入侵攻擊特征進(jìn)行判斷，發(fā)出預(yù)警。該模塊采用編寫原始套接字開發(fā)。信息統(tǒng)計(jì)模塊：完成統(tǒng)計(jì)功能，如統(tǒng)計(jì)IP要實(shí)現(xiàn)統(tǒng)計(jì)接收到的數(shù)據(jù)報(bào)數(shù)量、接收到的數(shù)據(jù)中協(xié)議出錯(cuò)的數(shù)量、正在請(qǐng)求傳輸?shù)臄?shù)量、路由表中可用路由數(shù)量、丟棄的數(shù)量、需要重組/成功重組的數(shù)量等，統(tǒng)計(jì)ICMP需要完成發(fā)送/接收的消息數(shù)量、滿足超過TTL的數(shù)量、重定向數(shù)量、時(shí)間戳請(qǐng)求/應(yīng)答數(shù)量等；采用IP助手函數(shù)完成。流量繪制模塊：完成總流量、輸入流量、輸出流量、瞬時(shí)流量值、最高流量值的顯示；采用訪問注冊(cè)表網(wǎng)絡(luò)性能數(shù)據(jù)完成有關(guān)數(shù)據(jù)的獲取，通過流量圖顯示。根據(jù)上面對(duì)各個(gè)功能模塊的劃分，進(jìn)行更進(jìn)一步的分析和設(shè)計(jì)，得到數(shù)據(jù)采集、注冊(cè)表網(wǎng)絡(luò)性能塊訪問大致的工作流程圖，如圖6與圖7所示。圖 6 數(shù)據(jù)捕獲處理流程圖 7 網(wǎng)絡(luò)性能數(shù)據(jù)塊訪問流程經(jīng)過上面的分析與設(shè)計(jì)，得到該系統(tǒng)的總體功能結(jié)構(gòu)、工作流程，也確定了從編寫套接字到最后捕獲數(shù)據(jù)，要經(jīng)過創(chuàng)建、綁定、設(shè)置工作模式、啟動(dòng)線程、接收數(shù)據(jù)等一系列的處理操作。為了實(shí)現(xiàn)處理中的每一步操作，設(shè)計(jì)了數(shù)據(jù)捕獲的類關(guān)系，如圖8所示。圖 8 數(shù)據(jù)包采集中各類的關(guān)系在上圖中CSockSupport，CSockHelper ，CPackInterDlg，CBinDataDlg等是封裝了各部分主要處理功能的類。且這些類中封裝了和這些類的操作相關(guān)的方法。將在后面對(duì)這些類的功能和實(shí)現(xiàn)進(jìn)行詳細(xì)介紹。（1）功能實(shí)現(xiàn)說明該功能模塊主要由封裝的CSockSupport，CsockHelper ，CpackInterDlg，CbinDataDlg四個(gè)類完成，下面將對(duì)這些類進(jìn)行詳細(xì)說明。CsockSupport類：，在該類中封裝了WSAStartup完成Socket的啟動(dòng)；CsockHelper類：主要實(shí)現(xiàn)了從獲取本機(jī)信息結(jié)構(gòu)、Socket創(chuàng)建、綁定、設(shè)置、啟動(dòng)線程、數(shù)據(jù)接收到協(xié)議分析的全部方法，詳細(xì)處理流程見圖9所示。圖
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1