【文章內容簡介】 據(jù)分 析 協(xié)議 類 型數(shù) 據(jù) 庫處 理結 束結 束Y E SY E SN ON O 圖 10 系統(tǒng)流程圖 第 11 頁 共 25 頁 本系統(tǒng)包括三個基本模塊，分別是數(shù)據(jù)包捕獲模塊，數(shù)據(jù)分析模塊和數(shù)據(jù)庫模塊。其中數(shù)據(jù)包捕獲模塊的功能是：利用 Winpcap 控件，通過網(wǎng)卡設備從網(wǎng)絡中捕獲數(shù)據(jù)包 ； 數(shù)據(jù)分析模塊的功能是： 主要實現(xiàn)數(shù)據(jù)的解析 ， 從網(wǎng)絡適配器中捕獲 到的數(shù)據(jù) 的為原始數(shù)據(jù)（ raw data），這些原始數(shù)據(jù)為二進制格式，必須轉化為能比較好明白的格式，這就要求將這些原始數(shù)據(jù)能按照網(wǎng)絡數(shù)據(jù)傳輸?shù)木唧w格式來保存，主要為了能較好的讀懂相關的信息，以便使用者分析 ； 數(shù)據(jù)庫模塊的功能是：經過前兩個模塊處理后的數(shù)據(jù)，現(xiàn)在已經轉化成了對我們有用的信息了，而這些信息不可能一直讓他存放在內存中，那么就需要在數(shù)據(jù)庫中建立相應的表，把這些信息存貯在這些數(shù)據(jù)庫表的相應列名中，以便使用者處 理、使用。 系統(tǒng)功能模塊的設計 數(shù)據(jù)包 捕獲模塊 數(shù)據(jù)包捕獲模塊主要用 Winpcap軟件實現(xiàn)，模塊的設計思想遵循 Winpcap捕獲數(shù)據(jù)包的流程，流程分三步：查找設備，打開設備和捕獲數(shù)據(jù)的函數(shù)。 利用 WinPcap結構提供的 。流程圖如下： 查 找 網(wǎng) 卡 設 備獲 取 網(wǎng) 卡 設 備打 開 網(wǎng) 卡 設 備捕 獲 網(wǎng) 絡 數(shù) 據(jù) 包結 束Y E SN O開 始 圖 11 數(shù)據(jù)捕獲模塊 流程圖 這里給出其主要過程 ： 先確定要在其上進行監(jiān)測的網(wǎng)絡適配器，得到現(xiàn)有的網(wǎng)絡適配器的列表和他們的描述，從而獲得該 NIC的相關信息。 if( pcap_findalldevs_ex(PCAP_SRC_IF_STRING,NULL,amp。alldevs,errbuf) == 1) { MessageBox(查找設備出錯 ,提示 )。 return。 第 12 頁 共 25 頁 } 接下來打開所獲得的網(wǎng)絡適配器，其中 pcap_open函數(shù)的參數(shù) 1為上面獲得的NIC名稱，參數(shù) 2定義了網(wǎng)絡監(jiān)測程序所捕捉的最大字節(jié)數(shù)。參數(shù) 3指示是否將網(wǎng)絡適配器設為混雜模式， PCAP_OPENFLAG_PROMISCUOUS表示工作方式為混雜模式。參數(shù) 4為捕獲時間限制，單位為毫秒。參數(shù) 5為錯誤信息緩 存。該函數(shù)負責按照用戶指定參數(shù)和其它系統(tǒng)默認值初始化 WinPcap，并返回會話句柄 //打開設備 adhandle = pcap_open(dname, 65536, PCAP_OPENFLAG_PROMISCUOUS, 1000, NULL, errbuf)。 當網(wǎng)卡已打“打開”并且具體配置好后，就可以進入捕獲了?？紤]到系統(tǒng)資料的占用等問題，利用了線程來解決此問題，捕獲數(shù)據(jù)是新建一個線程，來實現(xiàn)數(shù)據(jù)的捕獲，再在線程中處理數(shù)據(jù)的解析和特征碼的提取，其 中 CreateThread 函數(shù)的參數(shù) 1 為指向 SECURITY_ATTRIBUTES 結構體的指針，參數(shù) 2 指定線程堆棧大小，參數(shù) 3 指定線程執(zhí)行函數(shù)名稱，參數(shù) 4 表示給新線程的參數(shù)，參數(shù) 5 為線程指定的更多控制參數(shù)，參數(shù) 6 為新線 ID。代碼如下 //這里創(chuàng)建一個線程來處理數(shù)據(jù) LPDWORD ThID=NULL。 m_handle=CreateThread(NULL,0,ThreadProc,this,0,ThID)。 if(m_handle==NULL) { return 。 } //線程處理函數(shù) DWORD WINAPI ThreadProc( LPVOID lpParameter ) { CLjDlg * m_dlg = (CLjDlg *)lpParameter。 struct pcap_pkthdr *header。 //捕獲數(shù)據(jù)包的頭 const u_char *pkt_data。 //指向常量的指針 int res。 //pcap_next_ex 的返回值 m_dlgSetDlgItemText(IDC_STATIC_TIP,線程開始捕獲數(shù)據(jù) .)。 第 13 頁 共 25 頁 while((res=pcap_next_ex(m_dlgadhandle,amp。header,amp。pkt_data))=0) { if(res==0)//超時 continue。 //處理捕獲的數(shù)據(jù)包 m_dlgSaveDate(header,pkt_data)。 } return 1。 } 數(shù)據(jù)分析模塊實現(xiàn) 數(shù)據(jù)分析模塊的設計思想是將 Winpcap 捕獲到的數(shù)據(jù)對應網(wǎng)絡數(shù)據(jù)包的格式進行初始化，取得具體的值。通過相關的轉換函數(shù)得到相關的信息，具體的函數(shù)原型如下：（相關格式見第二章） void SaveDate(struct pcap_pkthdr * header , const u_char * pkt_data)。 將網(wǎng)絡中捕獲的數(shù)據(jù)包進行格式化 數(shù)據(jù)分析模塊的主要實現(xiàn)數(shù)據(jù)的解析。從網(wǎng)絡適配器中捕 獲數(shù)據(jù)的為原始數(shù)據(jù)（ raw data），這些原始數(shù)據(jù)為二進制格式，必須轉化為能比較好明白的格式，這就要求將這些原始數(shù)據(jù)能按照網(wǎng)絡數(shù)據(jù)傳輸?shù)木唧w格式來保存，主要為了能較好的讀懂相關的信息，以便使用者分析。 其流程圖如下： 第 14 頁 共 25 頁 捕 獲 的 數(shù) 據(jù) 包分 析 以 太 網(wǎng) 協(xié)議判 斷 是 否 為I P 協(xié) 議 數(shù) 據(jù)分 析 I P 協(xié) 議 數(shù)據(jù)判 斷 是 否 是T C P ， U D P協(xié) 議 類 型 字段分 析 T C P ，U D P 協(xié) 議 類 型數(shù) 據(jù) 包傳 入 數(shù) 據(jù) 庫 處理 模 塊Y E SN OY E SN O 圖 12 數(shù)據(jù)包分析流程圖 數(shù)據(jù)分析模塊實現(xiàn)時，本系統(tǒng)提取的數(shù)據(jù)包中主要的一些信息，如 IP 數(shù)據(jù)包中的 IP 地址，端口信息等。具體代碼下： //數(shù)據(jù)包分析和保存 ipheader * ih。 tcp* tcph。 udp* udph。 CString temp。 int chang。 //時間 struct tm *ltime。 ltime=localtime(amp。header)。 strftime(timestr,sizeof(timestr),%H:%M:%S,ltime)。 //IP ih=(ipheader*)(pkt_data+14)。//ip 頭 int iplen=(ihver_ihl amp。 0xf)*4。 第 15 頁 共 25 頁 itoa(iplen,IPLength,10)。 sprintf(IPDateLength,%d,headerlen)。//IP 數(shù)據(jù)包長度 sprintf(TTL,%d,ihttl)。//生存時間 sprintf(SIP,%d.%d.%d.%d,ih,ih,ih,ih)。 sprintf(DIP,%d.%d.%d.%d,ih,ih,ih3,ih)。 u_short u_sport,u_dport。 if(ihproto == 6 ) //這里是 TCP 數(shù)據(jù)包 { strcpy(proto,TCP)。 //協(xié)議類型 tcph=(tcp*)((u_char*)ih + iplen)。 u_sport = ntohs(tcphsport)。 //源端口 u_dport = ntohs(tcphdport)。 //目的端口 // sprintf(Sport,%d,tcphsport)。 //源端口 // sprintf(Dport,%d,tcphdport)。 //目的端口 chang = (tcphother ^ 0x0fff) / 1024。 sprintf(tcp_hLength,%d,chang)。 //TCP 首部長度 sprintf(date,%X,tcphcontent)。 //TCP 數(shù)據(jù) } else if(ihproto == 17) //這里是 UDP 數(shù)據(jù)包 { strcpy(proto,UDP)。 udph=(udp*)((u_char*)ih + iplen)。 u_sport = ntohs(udphsport)。 //源端口 u_dport = ntohs(udphdport)。 //目的端口 // sprintf(Sport,%d,udphsport)。 //源端口 // sprintf(Dport,%d,udphdport)。 //目的端口 sprintf(udplength,%d,udphlen)。 //TCP 首部長度 sprintf(date,%X,udphcontent)。 //TCP 數(shù)據(jù) } sprintf(Sport,%d,u_sport)。 //源端口 sprintf(Dport,%d,u_dport)。 //目的端口 AccessWrite(ihproto)。 第 16 頁 共 25 頁 } 數(shù)據(jù)庫模塊的實現(xiàn) 1．把捕獲到的數(shù)據(jù)包寫入數(shù)據(jù)庫中的操作： 相關數(shù)據(jù)信息捕獲分析完畢后，接下來就是對數(shù)據(jù)的保存。本系統(tǒng)使用的是ado 數(shù)據(jù)庫連接方式， ado 是 Microsoft 開發(fā)的一個連接數(shù)據(jù)庫方式，由于本系統(tǒng)的使用平臺，開發(fā)環(huán)境都為 Microsoft 的軟件，所以本系統(tǒng)使用 ado 方式。連接數(shù)據(jù)庫代碼如下： try { m_pConnectionOpen(Provider=。Data Source=,adModeUnknown)。///連接數(shù)據(jù)庫 } catch(__error e)///捕捉異常 { AfxMessageBox(數(shù)據(jù)庫連接失敗，確認數(shù)據(jù)庫 是否在當前路徑下 !)。 return FALSE。 } return TRUE。 數(shù)據(jù)包信息寫入數(shù) 據(jù)庫代碼如下： AccessWrite(int Type) { …… if(m_bOneIP) //指定 IP 地址模式 { (__uuidof(Recordset))。 m_pRecordsetOpen(SELECT * FROM 目標IP,(),adOpenDynamic,adLockOptimistic,adCmdText)。 try { m_pRecordsetAddNew()。 m_pRecordsetPutCollect(時間 , _variant_t(timestr))。 第 17 頁 共 25 頁 m_pRecordsetPutCollect(IP 首部長度 , _variant_t(IPLength))。 m_pRecordsetPutCollect(IP 數(shù)據(jù)包長度 , _variant_t(IPDateLength))。 m_pRecordsetPutCollect(生存時間 , _variant_t(TTL))。 m_pRecordsetPutCollect(協(xié)議類型 , _variant_t(proto))。 m_pRecordsetPutCollect(源 IP 地址 , _variant_t(SIP))。 m_pRecordsetPutCollect(目的 IP 地址 , _variant_t(DIP))。 m_pRecordsetPutCollect(源端口 , _variant_t(Sport))。 m_pRecordsetPutCollect(目的端口 , _variant_t(Dport))。 } …… m_pRecordsetUpdate()。 } catch(__error *e) { AfxMessageBox(eErrorMessage())。 } return 。 } } 2．查看寫入到數(shù)據(jù)庫中的數(shù)據(jù)包： (__uuidof(Recordset))。 ()。 if((TCP 表單 )==0) { (10,amp。pColumn)。 = TCP 首部長度 。 (10,amp。pColumn)。 (11,amp。pColumn)。 = TCP 數(shù)據(jù) 。 (11,amp。pColumn)。 try { m_pRecordsetOpen(SELECT * FROM TCP, 第 18 頁 共 25 頁 (), // 獲取庫接庫的 IDispatch 指針 adOpenDynamic, adLockOptimistic, adCmdText)。 } catch(__error