【文章內容簡介】 類；(3) QwtAbstractSlider：滑塊部件的抽象類；(4) QwtAbstractColorMap：可以改變顏色的alpha值；(5) QwtAnalogClock：時鐘模擬類；(6) ……利用Qwt可以畫出多種統(tǒng)計圖，如圖2圖24所示。圖23 曲線圖圖24 cpu性能圖 本章小結本章首先介紹了有關IRC協(xié)議的基礎知識，包括IRC協(xié)議的歷史、消息傳遞原理、IRC網(wǎng)絡的結構和IRC命令概括。隨后介紹了基于Libpcap的網(wǎng)絡捕包技術、Qt程序開發(fā)框架和MySQL數(shù)據(jù)庫以及可以做出比較沒關圖表的Qwt開發(fā)包，為IRC協(xié)議命令關鍵字分析系統(tǒng)的設計和實現(xiàn)奠定了理論基礎。第3章 系統(tǒng)設計 開發(fā)環(huán)境主機：普通PC。操作系統(tǒng)：。開發(fā)語言：C語言。開發(fā)工具：Libpcap、Qt。數(shù)據(jù)庫：MySQL。 系統(tǒng)功能架構設計在軟件設計中，通常采用模塊化的設計思想，這樣的設計比較合理，在開發(fā)階段也比較容易實施。模塊化的過程一般是根據(jù)功能來進行的，把系統(tǒng)的主要功能分配成幾個關鍵模塊，然后分別加以實現(xiàn)，而且通常需要結合分層設計的思想。即由頂層模塊調用它的各個子模塊來實現(xiàn)整個的功能，而每個下層模塊再調用它的子模塊，以此類推。最基礎最具體的功能則由最下層的模塊來完成。根據(jù)以上原則，按照功能，IRC協(xié)議關鍵字分析系統(tǒng)可分為捕獲和分析模塊，系統(tǒng)的總體結構如圖31所示數(shù)據(jù)包捕獲模塊IRC協(xié)議命令關鍵字分析系統(tǒng)數(shù)據(jù)庫操作模塊數(shù)據(jù)分析模塊作圖模塊關鍵字統(tǒng)計模塊前臺數(shù)據(jù)顯示模塊數(shù)據(jù)包過濾模塊數(shù)據(jù)存儲模塊圖31 系統(tǒng)功能模塊總體結構系統(tǒng)各功能介紹如下：(1) 數(shù)據(jù)包捕獲模塊：包括網(wǎng)卡的選擇和配置，并從選擇的網(wǎng)卡進行數(shù)據(jù)包捕獲。(2) 數(shù)據(jù)包過濾模塊：設置過濾表達式，過濾掉不符合條件的數(shù)據(jù)包。(3) 數(shù)據(jù)存儲模塊：沒有經(jīng)過分析的原始數(shù)據(jù)以文件的形式存放，經(jīng)過分析提取的數(shù)據(jù)包信息，如數(shù)據(jù)包捕獲時間、端口等信息存放到數(shù)據(jù)庫中。(4) 數(shù)據(jù)庫操作模塊：可以查看數(shù)據(jù)庫中存放的所有捕獲到的數(shù)據(jù)包的信息，并且可以執(zhí)行刪除和導入文件操作。(5) 關鍵字統(tǒng)計模塊：當打開某個原始文件時，統(tǒng)計此文件中關鍵字的名稱和相應的數(shù)量。(6) 前臺數(shù)據(jù)顯示模塊：根據(jù)數(shù)據(jù)包協(xié)議的格式分析出各個數(shù)據(jù)包捕獲時間、長度、端口、ip等信息，并把這些信息在界面顯示。(7) 作圖模塊：讀取數(shù)據(jù)庫中的數(shù)據(jù)，并根據(jù)條件畫出相應的科學圖表，如直方圖、折線圖。 數(shù)據(jù)包捕獲模塊設計數(shù)據(jù)包捕獲模塊的功能是從指定的網(wǎng)絡接口捕獲數(shù)據(jù)包。此功能模塊主要由數(shù)據(jù)包過濾模塊和數(shù)據(jù)存儲模塊組成。數(shù)據(jù)包捕獲模塊數(shù)據(jù)流分析如圖32所示。搜索可用網(wǎng)絡設備打開網(wǎng)絡設備保存數(shù)據(jù)編輯過濾器捕獲數(shù)據(jù)包其他操作設置過濾表達式圖32 數(shù)據(jù)包捕獲模塊數(shù)據(jù)流圖. 數(shù)據(jù)包過濾模塊過濾模塊完成了從大量的網(wǎng)絡數(shù)據(jù)包中獲得自己感興趣的數(shù)據(jù)包，過濾掉其他的干擾數(shù)據(jù)包，從而可以集中對所關心的數(shù)據(jù)進行后序處理。整個過濾可以分為四個不同的層次，根據(jù)網(wǎng)絡數(shù)據(jù)包的協(xié)議逐層過濾。(1) 第一層過濾式利用以太網(wǎng)協(xié)議類型過濾出IP數(shù)據(jù)包。因為本文研究的范圍仍在IP/TCP范圍內，所以首先過濾出IP協(xié)議來。(2) 第二層過濾是利用IP協(xié)議，選擇過濾出TCP數(shù)據(jù)包。因為IRC協(xié)議是以TCP協(xié)議為基礎的，所以所有的IRC數(shù)據(jù)包都會通過此層的過濾進入下一個層次。(3) 第三層的過濾是使用數(shù)據(jù)包的大小作為過濾條件。在通常情況下使用IRC服務聊天所產生的數(shù)據(jù)包一般都不會太大。一般使用300字節(jié)作為數(shù)據(jù)包大小的過濾上限。(4) 第四層則是使用端口號作為過濾條件。使用端口號作為過濾條件，既有缺點又有優(yōu)點。優(yōu)點是確定了端口號的過濾更加明確。而且準確率也相對較高。缺點也很顯然，固定了單一端口的僵尸網(wǎng)絡檢測方法，無法適應IRC服務端口偽裝到非標準端口（端口6667）的情況。針對這個缺點，有兩種解決方法。l 根據(jù)調查分析，%，很多服務器使用非標準端口[16]現(xiàn)的過程中，并不僅僅使用單一的標準 6667 端口作為過濾條件，而是將其他常用的端口如8080、135等與標準端口以“或”的關系并列作為過濾條件，這樣，可以將覆蓋的可能性大大提高到。l 與上面的方法相反，不是取某些端口，而是否定某些端口，如HTTP協(xié)議的80端口，F(xiàn)TP協(xié)議的21端口等。把這些常用端口的數(shù)據(jù)過濾掉，則把剩下的數(shù)據(jù)包認為是目的數(shù)據(jù)包。過濾的作用就是盡量減少數(shù)據(jù)包數(shù)量的大小，提高后面數(shù)據(jù)分析的效率，增加準確度。具體的過程如圖33所示。協(xié)議過濾IP協(xié)議：6（代表使用TCP協(xié)議）原始數(shù)據(jù)協(xié)議過濾IP協(xié)議：6（代表使用TCP協(xié)議）過濾后數(shù)據(jù)圖33 過濾模塊示意圖圖33 過濾模塊流程. 數(shù)據(jù)包存儲模塊數(shù)據(jù)包的存儲包括兩部分，一是沒經(jīng)過分析的數(shù)據(jù)保存到文件中，另一個是通過對原始數(shù)據(jù)的分析把數(shù)據(jù)包的某些特征，如數(shù)據(jù)包的大小，端口號等保存到數(shù)據(jù)庫中。在此處只說明第一部分，第二部分則在數(shù)據(jù)分析模塊說明。保存到文件中的過程很簡單，在保存之前只要提供文件名即可，捕獲到數(shù)據(jù)包后打開文件，寫入文件，當捕包結束后關閉文件即可。 數(shù)據(jù)分析模塊此模塊對捕獲到的數(shù)據(jù)包進行分析，從而得到數(shù)據(jù)包的下列信息：數(shù)據(jù)包的捕獲時間、數(shù)據(jù)包IP頭部長度、TCP頭部長度、源端口、目的端口、源IP、目的IP和IRC命令關鍵字。數(shù)據(jù)分析模塊的流程圖如圖34所示開始獲得指向數(shù)據(jù)包的指針計算時間、長度、端口、IP信息計算得到距IRC數(shù)據(jù)的字節(jié)數(shù)否分析得到命令關鍵字是分析得到命令關鍵字結束是否有前綴圖34 數(shù)據(jù)分析模塊流程圖. 關鍵字統(tǒng)計模塊本模塊的功能是統(tǒng)計一個文件中的命令關鍵字的種類及其每種關鍵字的數(shù)量，并把統(tǒng)計結果寫到數(shù)據(jù)庫一個臨時表中，并能以界面的形式顯示出來。從界面中就可以清楚的看到命令關鍵字的名稱及其對應的數(shù)量。是否否是分析得到命令關鍵字表中是否已存在此關鍵字數(shù)量值增1關鍵字插入表中數(shù)量值設為1是否到達文件末尾開始打開文件讀取數(shù)據(jù)結束關鍵字統(tǒng)計模塊的流程圖如圖35所示。圖35 關鍵字統(tǒng)計模塊流程圖. 前臺數(shù)據(jù)顯示模塊本模塊比較簡單，在數(shù)據(jù)分析的基礎上，每捕獲到一個數(shù)據(jù)包就進行分析，并把分析數(shù)據(jù)包得到的各種信息顯示在界面中的表格中，從表格中就可以清楚的看到數(shù)據(jù)包的各種信息，如捕獲數(shù)據(jù)包的時間、數(shù)據(jù)包的長度等等。. 數(shù)據(jù)存儲模塊本部分是數(shù)據(jù)存儲的第二方面，即存入數(shù)據(jù)庫。本模塊的功能是通過數(shù)據(jù)分析得到數(shù)據(jù)包的捕獲時間（此處的時間分為年月日和時分秒兩種格式）、源端口、目的端口、源IP和目的IP的信息，并把這些信息存入到數(shù)據(jù)庫中。這些數(shù)據(jù)也是作圖模塊的原始數(shù)據(jù)。此部分的數(shù)據(jù)流程圖如圖36所示。結束是否開始獲得指向數(shù)據(jù)包的指針計算時間、端口、IP信息計算得到距IRC數(shù)據(jù)的字節(jié)數(shù)是否有前綴分析得到命令關鍵字分析得到命令關鍵字把時間、命令等信息插入到數(shù)據(jù)庫中圖36 數(shù)據(jù)存儲模塊流程圖. 作圖模塊本模塊的功能是讀取原始數(shù)據(jù)，并對數(shù)據(jù)進行統(tǒng)計，把統(tǒng)計結果以科學圖標的形式變現(xiàn)出來，如直方圖、折線圖。原始數(shù)據(jù)的來源分為兩部分，一個是從文件中讀取，文件中存儲的是最原始的數(shù)據(jù)，即直接從網(wǎng)卡捕獲而沒有經(jīng)過加工的數(shù)據(jù)；另一個是從數(shù)據(jù)庫中讀取經(jīng)過加工的數(shù)據(jù)。作圖模塊的流程圖如圖37所示。開始從文件或數(shù)據(jù)庫中讀取數(shù)據(jù)統(tǒng)計命令關鍵字信息根據(jù)統(tǒng)計信息作圖結束圖37 作圖模塊流程示意圖 數(shù)據(jù)庫設計數(shù)據(jù)庫作為數(shù)據(jù)存儲的載體，在一個系統(tǒng)中占有非常重要的地位，它為系統(tǒng)提供數(shù)據(jù)存儲支持，滿足業(yè)務系統(tǒng)的流程。數(shù)據(jù)庫設計是系統(tǒng)設計的重要組成部分，是系統(tǒng)模型最原始的表示和反映。數(shù)據(jù)庫設計的好壞直接對應用系統(tǒng)的效率、實現(xiàn)的效果、開發(fā)周期和性能產生重要影響。 數(shù)據(jù)庫設計原則(1) 布局合理為了減少不必要的中間傳輸，應當考慮把數(shù)據(jù)庫建立在靠近信息源和使用點的地方，就近開發(fā)，就近使用。(2) 合理冗余允許部分數(shù)據(jù)重疊。數(shù)據(jù)庫設計時，應盡量減少數(shù)據(jù)冗余，但有時為了以空間換取時間，允許部分數(shù)據(jù)重復存貯，但要保證數(shù)據(jù)同步更新。(3) 結構化、標準化和規(guī)范化數(shù)據(jù)庫體系的建立，應統(tǒng)一名詞解釋、統(tǒng)一指標體系和統(tǒng)一分類編碼，以保證信息交換和資源共享。(4) 支持對數(shù)據(jù)庫的并發(fā)操作為提高數(shù)據(jù)庫的使用效率，數(shù)據(jù)庫支持并發(fā)操作，防止由于并發(fā)操作引起的不良反應。 數(shù)據(jù)庫表劃分本系統(tǒng)對數(shù)據(jù)庫的操作要求比較簡單，主要是用來存儲數(shù)據(jù)的信息，所以表比較單一，本系統(tǒng)只涉及到兩個表，一個用于對文件中數(shù)據(jù)統(tǒng)計的保存，一個用于存儲捕獲數(shù)據(jù)包后的分析結果。下面給出數(shù)據(jù)庫中涉及到的表。關鍵字統(tǒng)計表，如表31所示。表31 關鍵字統(tǒng)計表字段名中文名數(shù)據(jù)類型是否為空id編號Bigint(20)否name關鍵字名稱Varchar(20)是frequency數(shù)量Bigint(20)是數(shù)據(jù)存儲表，如表32所示。表32 數(shù)據(jù)存儲表字段名中文名數(shù)據(jù)類型是否為空yearMD年月日Varchar(20)是time時分秒Varchar(20)是keyname關鍵字名稱Varchar(15)是sport源端口Varchar(10)是dport目的端口Varchar(10)是Sip源ipVarchar(20)是Dip目的ipVarchar(20)是 數(shù)據(jù)庫操作模塊數(shù)據(jù)庫操作模塊的功能是查看數(shù)據(jù)庫中的內容，