【文章內(nèi)容簡介】 實踐內(nèi)容展開。具體內(nèi)容安排如下：第一章是引言，簡要介紹開發(fā)背景、設(shè)計任務(wù)和論文結(jié)構(gòu)安排；第二章介紹網(wǎng)絡(luò)基礎(chǔ)理論研究、數(shù)據(jù)包捕獲與流量檢測的技術(shù)原理；第三章介紹如何使用原始套接字實現(xiàn)數(shù)據(jù)捕獲；第四章重點介紹網(wǎng)絡(luò)流量監(jiān)測工具的設(shè)計與實現(xiàn)過程，并且詳細闡述了從系統(tǒng)功能總體設(shè)計、詳細設(shè)計、具體實現(xiàn)的全部過程；第五章介紹了軟件測試情況。2 相關(guān)的概念與技術(shù) OSI 參考模型與 TCP/IP 體系結(jié)構(gòu) OSI 參考模型開放系統(tǒng)互聯(lián)參考模型 OSI 是由國際標準化組織 ISO 制定的標準化開放式的計算機網(wǎng)絡(luò)層次結(jié)構(gòu)模型,其結(jié)構(gòu)如圖 1 所示。可以看出，該結(jié)構(gòu)共有七層，各層主要實現(xiàn)如下功能：（1）物理層，利用傳輸介質(zhì)實現(xiàn)相鄰節(jié)點間的物理連接，主要對機械、電氣、功能和規(guī)程四個方面及信號傳輸速率方面進行規(guī)定；（2）數(shù)據(jù)鏈路層，完成管理數(shù)據(jù)的傳輸，提供差錯檢測和恢復(fù)，并且提供流量控制，最終實現(xiàn)向上一層提供無差錯、高可靠性的傳輸鏈路；（3）網(wǎng)絡(luò)層，執(zhí)行路由算法和流量控制算法，完成數(shù)據(jù)分組傳輸，它是通信子網(wǎng)的最高層；（4）傳輸層，提供端到端的無差錯傳輸，同時，它也提供屬于局通信網(wǎng)絡(luò)接口，比如 SOCKET；（5）會話層，完成用戶之間會話的組織、協(xié)調(diào)、分配用戶名等；（6）表示層，解決數(shù)據(jù)格式問題，規(guī)定編碼方式；（7）應(yīng)用層，OSI 的最高層，利用應(yīng)用進程提供網(wǎng)絡(luò)訪問手段。圖 1 OSI 參考模型第 6 頁 共 22 頁 TCP/IP 體系結(jié)構(gòu)由于 TCP/IP 比其之前的 OSI 模型更具體實現(xiàn)，隨著互聯(lián)網(wǎng)的不斷發(fā)展，遵循 TCP/IP 結(jié)構(gòu)的網(wǎng)絡(luò)不斷普及，因此現(xiàn)在通常采用 TCP/IP 代表 Inter 體系結(jié)構(gòu)。TCP/IP 的目的是在網(wǎng)絡(luò)標準不同的情況下解決互聯(lián)問題，可以說，網(wǎng)絡(luò)互聯(lián)是 TCP/IP 的核心。TCP/IP 的體系結(jié)構(gòu)如圖 2 所示。TCP/IP 在設(shè)計時重點并沒有放在具體通信的實現(xiàn)上，所以對最后兩層沒有做出具體規(guī)定，同時表明它允許不同類型的通信網(wǎng)絡(luò)參與通信。它的四個層次功能如下。（1）應(yīng)用層，提供常用的應(yīng)用程序及自定義的應(yīng)用程序，數(shù)據(jù)傳輸時用TCP/IP 協(xié)議來進行；（2）傳輸層，提供端到端的應(yīng)用程序之間的通信，可以使用傳輸控制協(xié)議TCP（Transmission Control Protocol）或用戶數(shù)據(jù)報協(xié)議 UDP（User Datagram Protocol）協(xié)議，前者提供可靠傳輸，傳送單位是報文段，后者提供不可靠服務(wù)，傳輸單位是數(shù)據(jù)報，即分組。此外，傳輸層另外一個功能就是區(qū)別應(yīng)用程序；（3）網(wǎng)際層，負責計算機之間的通信，采用的協(xié)議是 IP 協(xié)議，數(shù)據(jù)傳送單位是分組，向上提供不可靠的傳輸服務(wù)；（4）網(wǎng)絡(luò)接口層，負責接收數(shù)據(jù)報，并實現(xiàn)發(fā)送，或者接收幀，提取 IP數(shù)據(jù)報，交給互聯(lián)網(wǎng)層。圖 2 OSI 參考模型與 TCP/IP 結(jié)構(gòu)第 7 頁 共 22 頁 OSI 模型與 TCP/IP 體系結(jié)構(gòu)的區(qū)別從前面的分析可以看出 OSI 模型和 TCP/IP 體系有許多不同之處，主要體現(xiàn)在問題的處理上面，例如：（1）TCP/IP 一開始就考慮的是異構(gòu)網(wǎng)絡(luò)的互聯(lián)問題，并將 IP 看作是整個體系的重要組成部分，而 ISO 并沒有認識到網(wǎng)際協(xié)議 IP 的重要性，導(dǎo)致最后只能單獨劃分一個子層來完成 IP 的作用；（2）OSI 最開始只注意到了面向連接的服務(wù)，而 TCP/IP 一開始就注意了面向連接和無連接的并重。相比起來，TCP/IP 更注重了數(shù)據(jù)傳輸?shù)男?，而OSI 則注重了傳輸?shù)目煽啃裕唬?）TCP/IP 雖然分層，但是調(diào)用關(guān)系并不像 OSI 那樣嚴格，減少了不必要的開銷，提高了傳輸效率。 傳輸層的編程接口—Windows 套接字編程技術(shù) Windows 套接字的概念Windows 套接字—SOCKET，是為 Windows 系統(tǒng)開發(fā)的一套標準通用支持網(wǎng)絡(luò)協(xié)議數(shù)據(jù)通信的 API，它是網(wǎng)絡(luò)通信的基礎(chǔ)，即 TCP/IP 的網(wǎng)絡(luò)編程接口，1994年被定為網(wǎng)絡(luò)編程標準后，主要經(jīng)歷了 和 兩種版本，它產(chǎn)生最終目的是可以適應(yīng)應(yīng)用程序開發(fā)者、網(wǎng)絡(luò)服務(wù)商的需求，進程通過套接字的通信域來完成通信。需要指出的是，套接字主要負責控制數(shù)據(jù)的輸入與輸出，主要在傳輸層和網(wǎng)絡(luò)層，屏蔽了數(shù)據(jù)鏈路層和物理層 [2]。 套接字類型根據(jù)通信性質(zhì)把套接字主要分為流式套接字和數(shù)據(jù)報套接字兩種。它們的區(qū)別在于流式套接字提供雙向、有序、無重復(fù)的數(shù)據(jù)流服務(wù)，但相對于數(shù)據(jù)報套接字來說系統(tǒng)開銷較大。數(shù)據(jù)報套接字也支持雙向數(shù)據(jù)流，但并不注重傳輸可靠性、無重復(fù)性和有序性，但它保留了記錄邊界，由于數(shù)據(jù)報傳輸效率較高，所以還是得到了比較廣泛的應(yīng)用。 涉及的幾個基本概念（1）字節(jié)順序，不同的計算機采用不同的自己順序存儲數(shù)據(jù)，所以在這些數(shù)據(jù)進行通信時需要進行字節(jié)順序的轉(zhuǎn)換，所有傳送給網(wǎng)絡(luò)上套接字函數(shù)的 IP地址和端口號均按照網(wǎng)絡(luò)順序安排，主要由 sockaddr_in 這個結(jié)構(gòu)規(guī)范。特別要注意的是，應(yīng)用程序建立地址結(jié)構(gòu)之前，用戶輸入需要將主機序列轉(zhuǎn)換為網(wǎng)絡(luò)序列（使用 htons 函數(shù)，反之使用 ntohs 函數(shù)） 。（2）阻塞與非阻塞，套接字有同步阻塞和異步非阻塞兩種方法，阻塞模式第 8 頁 共 22 頁時，套接字需要等待操作全部完成才結(jié)束，而當套接字處于非阻塞模式時，套接字以是否有新數(shù)據(jù)到達作為阻塞的標志。阻塞方式套接字簡單、方便，但是效率比較低，而非阻塞模式使用復(fù)雜點，但效率很高。但是仍需強調(diào)一點，Winsock 提供了幾種 I/O 模型來解決異步問題，如“選擇” 、 “重疊” 、 “事件選擇” 、 “異步選擇”等 [3]。 原始套接字從用戶的角度來看，標準的流式套接字和數(shù)據(jù)報套接字這兩類套接字似乎涵蓋了 TCP/IP 應(yīng)用的全部，因為基于 TCP/IP 的應(yīng)用，從協(xié)議棧的層次（如圖3 所示）上講，在傳輸層的確只可能建立于 TCP 或 UDP 協(xié)議之上，而流式套接字和數(shù)據(jù)報套接字又分別對應(yīng)于 TCP 和 UDP，所以幾乎所有的應(yīng)用都可以用這兩類套接字實現(xiàn)。但是，當需要自定義數(shù)據(jù)包發(fā)送時或者需要分析所有經(jīng)過網(wǎng)絡(luò)的數(shù)據(jù)包的時候，就必須面臨一種不同于前兩者的方式—Raw Socket，即原始套接字，程序員可以用它來發(fā)送和接收 IP 層以上的原始數(shù)據(jù)包, 如 ICMP，TCP， UDP 等，不僅這樣，它還可以實現(xiàn)如偽裝本地 IP、發(fā)送 ICMP 包等功能。Raw Socket 廣泛應(yīng)用于高級網(wǎng)絡(luò)編程，也是一種廣泛的黑客手段。著名的網(wǎng)絡(luò) sniffer、拒絕服務(wù)攻擊（DOS） 、IP 欺騙等都可以以 Raw Socket 實現(xiàn)。Raw Socket 與標準套接字（SOCK_STREAM、SOCK_DGRAM）的區(qū)別在于前者直接置根于操作系統(tǒng)網(wǎng)絡(luò)核心（Network Core） ，而 SOCK_STREAM、SOCK_DGRAM 則“懸浮”于 TCP 和 UDP 協(xié)議的外圍，如圖 4 所示。圖 4 標準套接與原始套接字的關(guān)系圖 3 協(xié)議棧層次第 9 頁 共 22 頁3 網(wǎng)絡(luò)數(shù)據(jù)的采集技術(shù)分析 Windows 下原始數(shù)據(jù)包捕獲的實現(xiàn)網(wǎng)絡(luò)上的數(shù)據(jù)包捕獲機制主要依賴于所使用的操作系統(tǒng)，不同的操作系統(tǒng)下有不同的實現(xiàn)途徑。在 Windows 環(huán)境下，可通過網(wǎng)絡(luò)驅(qū)動程序接口規(guī)范（NDIS） ，WinSock 的 SOCK_RAW 或虛擬設(shè)備驅(qū)動技術(shù)（VxD）等技術(shù)實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包的捕獲功能。前面已經(jīng)介紹到了，使用原始套接字可以繞過 Socket 提供的功能，對底層的協(xié)議進行使用與開發(fā)，可以根據(jù)自己的需要生成想要的數(shù)據(jù)報文等，下面開始介紹使用原始套接字對數(shù)據(jù)包捕獲進行開發(fā)的相關(guān)技術(shù)知識。第一，使用套接字前，需要了解網(wǎng)卡接收數(shù)據(jù)的工作原理：在正常情況下，網(wǎng)絡(luò)接口只響應(yīng)兩種數(shù)據(jù)幀，一種是與自己的硬件相匹配的數(shù)據(jù)幀，另一種四向所有計算機廣播的數(shù)據(jù)幀。在系統(tǒng)中，數(shù)據(jù)幀的收發(fā)由網(wǎng)卡完成，網(wǎng)卡程序接收從網(wǎng)絡(luò)發(fā)來的數(shù)據(jù)包，根據(jù)其硬件地址去判斷是否與本機的硬件地址匹配，若匹配就通知 CPU 產(chǎn)生中斷進行響應(yīng)，然后調(diào)用驅(qū)動程序設(shè)置的網(wǎng)卡中斷程序地址調(diào)用驅(qū)動程序接收數(shù)據(jù)，然后放入堆棧進行系統(tǒng)相關(guān)處理，若不匹配則直接丟棄該數(shù)據(jù)包 [3]。對于網(wǎng)絡(luò)接口，它一般具有 4 種數(shù)據(jù)接收模式：廣播、組播、直接和混雜模式，只有當把接口設(shè)置為混雜模式時，網(wǎng)絡(luò)接口才能接收所有的數(shù)據(jù)，無論地址是否匹配，所以在做本設(shè)計的時候一定要設(shè)置為混雜模式才能實現(xiàn)數(shù)據(jù)的采集。第二，需要了解套接字的工作程序和使用方法：第 10 頁 共 22 頁一般來說，采用套接字開發(fā)網(wǎng)絡(luò)程序需要經(jīng)歷以下幾個基本步驟：啟動、創(chuàng)建、綁定、監(jiān)聽（接受連接） 、連接、發(fā)送/接收數(shù)據(jù)、關(guān)閉、卸載等。第三，具體到 Windows 下利用原始套接字捕獲網(wǎng)絡(luò)數(shù)據(jù)可以這樣設(shè)計：（1）啟動套接字；（2）創(chuàng)建一個原始套接字；（3）將套接字與本地地址綁定；（4）設(shè)置操作參數(shù)；（5）設(shè)置網(wǎng)絡(luò)接口為混雜模式；（6）啟動監(jiān)聽線程，開始接收數(shù)據(jù)；（7）退出關(guān)閉套接字。 原始數(shù)據(jù)包捕獲的關(guān)鍵函數(shù)（1）啟動函數(shù) WSAStartupint PASCAL FAR WSAStartup (DWORD wVersionRequested , LPWSADATA lpWSAData)；每一個套接字應(yīng)用程序都必須調(diào)用該函數(shù)進行一系列初始化工作，并且只有調(diào)用成功返回后，才能開始使用套接字，其中參數(shù) wVersionRequested 是版本號，高字節(jié)是次版本號、低字節(jié)是主版本號，參數(shù) lpWSAData 是指向WSADATA 結(jié)構(gòu)的指針。（2）套接字創(chuàng)建函數(shù) socketSOCKET socket (int af , int type , int protocol)。所有的通信在建立之前都必須創(chuàng)建一個套接字，socket 函數(shù)的功能就是創(chuàng)建套接字，其中參數(shù) af 指協(xié)議地址族（address family） ，當建立的套接字是依賴于 UDP 或 TCP 的話，需要設(shè)置 af 為 AF_INET,表示采用 IP 協(xié)議。參數(shù) type是指協(xié)議的套接字類型，采用流式套接字時用 SOCK_STREAM，采用數(shù)據(jù)報套接字時用 SOCK_DGRAM，采用原始套接字時用 SOCK_RAW。參數(shù) protocol 是協(xié)議字段，默認情況下可直接設(shè)置為 0。（3）綁定函數(shù) bindint bind ( SOCKET s , struct sockaddr_in* name , int namelen)。成功創(chuàng)建套接字后的下一步工作就是將本地網(wǎng)絡(luò)接口與套接字進行綁定，其中參數(shù) s 是創(chuàng)建的套接字，參數(shù) name 是需要綁定的通信對象的信息結(jié)構(gòu)體指針，namelen 是該結(jié)構(gòu)的長度。需要注意的是 sockaddr_in 結(jié)構(gòu)：struct sockaddr_in{short sin_family。 //地址族，設(shè)置為 AF_INET第 11 頁 共 22 頁unsigned short sin_port。 //指定的端口號struct in_addr sin_addr。 //IP 地址char sin_zero[8]。}。由于主機序列與網(wǎng)絡(luò)序列的關(guān)系，在程序中需要使用 htons 等函數(shù)進行轉(zhuǎn)換工作。（4）設(shè)置接口模式函數(shù) WSAIoctlint WSAAPI WSAIoctl(SOCKET s, DWORD dwIoControlCode, LPVOID lpvIn