網(wǎng)絡(luò)流量監(jiān)控與分析工具的設(shè)計(jì)與實(shí)現(xiàn)-在線瀏覽
2024-08-10 12:05本頁面
【正文】 圖 標(biāo)準(zhǔn)套接與原始套接字的關(guān)系Raw Socket廣泛應(yīng)用于高級網(wǎng)絡(luò)編程，也是一種廣泛的黑客手段。Raw Socket與標(biāo)準(zhǔn)套接字（SOCK_STREAM、SOCK_DGRAM）的區(qū)別在于前者直接置根于操作系統(tǒng)網(wǎng)絡(luò)核心（Network Core），而SOCK_STREAM、SOCK_DGRAM則“懸浮”于TCP和UDP協(xié)議外圍。在Windows環(huán)境下，可通過網(wǎng)絡(luò)驅(qū)動(dòng)程序接口規(guī)范（NDIS），WinSock的SOCK_RAW或虛擬設(shè)備驅(qū)動(dòng)技術(shù)（VxD）等技術(shù)實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包的捕獲功能。第一，使用套接字前，需要了解網(wǎng)卡接收數(shù)據(jù)的工作原理：在正常情況下，網(wǎng)絡(luò)接口只響應(yīng)兩種數(shù)據(jù)幀，一種是與自己的硬件相匹配的數(shù)據(jù)幀，另一種四向所有計(jì)算機(jī)廣播的數(shù)據(jù)幀。對于網(wǎng)絡(luò)接口，它一般具有4種數(shù)據(jù)接收模式：廣播、組播、直接和混雜模式，只有當(dāng)把接口設(shè)置為混雜模式時(shí)，網(wǎng)絡(luò)接口才能接收所有的數(shù)據(jù)，無論地址是否匹配，所以在做本設(shè)計(jì)的時(shí)候一定要設(shè)置為混雜模式才能實(shí)現(xiàn)數(shù)據(jù)的采集。第三，具體到Windows下利用原始套接字捕獲網(wǎng)絡(luò)數(shù)據(jù)可以這樣設(shè)計(jì)：（1）啟動(dòng)套接字；（2）創(chuàng)建一個(gè)原始套接字；（3）將套接字與本地地址綁定；（4）設(shè)置操作參數(shù)；（5）設(shè)置網(wǎng)絡(luò)接口為混雜模式；（6）啟動(dòng)監(jiān)聽線程，開始接收數(shù)據(jù)；（7）退出關(guān)閉套接字。（2）套接字創(chuàng)建函數(shù)socketSOCKET socket (int af , int type , int protocol)。參數(shù)type是指協(xié)議的套接字類型，采用流式套接字時(shí)用SOCK_STREAM，采用數(shù)據(jù)報(bào)套接字時(shí)用SOCK_DGRAM，采用原始套接字時(shí)用SOCK_RAW。（3）綁定函數(shù)bindint bind ( SOCKET s , struct sockaddr_in* name , int namelen)。需要注意的是sockaddr_in結(jié)構(gòu)：struct sockaddr_in{short sin_family。 //指定的端口號struct in_addr sin_addr。}。（4）設(shè)置接口模式函數(shù)WSAIoctlint WSAAPI WSAIoctl(SOCKET s, DWORD dwIoControlCode, LPVOID lpvInBuffer, DWORD cbInBuffer, LPVOID lpvOutBuffer, DWORD cbOutBuffer, LPDWORD lpcbBytesReturned, LPWSAOVERLAPPED lpOverlapped, LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine)。調(diào)用成功后，WSAIoctl 函數(shù)返回0，否則的話，將返回INVALID_SOCKET錯(cuò)誤，應(yīng)用程序可通過WSAGetLastError來獲取錯(cuò)誤代碼。4 網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)各模塊的設(shè)計(jì)與實(shí)現(xiàn) 總體結(jié)構(gòu)設(shè)計(jì)通過收集與分析簡單網(wǎng)絡(luò)流量監(jiān)控軟件的需求，總結(jié)出以下特征：（1）需要實(shí)現(xiàn)對網(wǎng)絡(luò)接口數(shù)據(jù)包的盡可能多的捕獲，將網(wǎng)卡設(shè)置為混雜模式，然后進(jìn)行數(shù)據(jù)包的采集；（2）數(shù)據(jù)包的內(nèi)容要進(jìn)行一定的解析，對數(shù)據(jù)包的協(xié)議類型、源目地址、數(shù)據(jù)包截獲時(shí)間、數(shù)據(jù)包內(nèi)容需要進(jìn)行分析；（3）監(jiān)視結(jié)果輸出有實(shí)時(shí)流量圖、列表等顯示；（4）實(shí)現(xiàn)日志記錄，便于日后分析；（5）對某些常見的攻擊進(jìn)行發(fā)現(xiàn)分析。流量監(jiān)控分析系統(tǒng)數(shù)據(jù)采集模塊信息統(tǒng)計(jì)模塊流量繪制模塊圖 系統(tǒng)總體設(shè)計(jì)結(jié)構(gòu)圖數(shù)據(jù)采集模塊：完成網(wǎng)絡(luò)接口數(shù)據(jù)的捕獲、解析和顯示，可以根據(jù)用戶定義條件組合來進(jìn)行捕獲，如只監(jiān)視采用TCP或UDP協(xié)議的數(shù)據(jù)包，也可以監(jiān)視用戶希望關(guān)注的相關(guān)IP地址的數(shù)據(jù)包，同時(shí)完成數(shù)據(jù)封包日志記錄，提高了系統(tǒng)的靈活性。該模塊采用編寫原始套接字開發(fā)。流量繪制模塊：完成總流量、輸入流量、輸出流量、瞬時(shí)流量值、最高流量值的顯示；采用訪問注冊表網(wǎng)絡(luò)性能數(shù)據(jù)完成有關(guān)數(shù)據(jù)的獲取，通過流量圖顯示。圖 數(shù)據(jù)捕獲處理流程圖 網(wǎng)絡(luò)性能數(shù)據(jù)塊訪問流程 各模塊功能概述與實(shí)現(xiàn) 數(shù)據(jù)包采集中各類的關(guān)系經(jīng)過上面的分析與設(shè)計(jì)，得到該系統(tǒng)的總體功能結(jié)構(gòu)、工作流程，也確定了從編寫套接字到最后捕獲數(shù)據(jù)，要經(jīng)過創(chuàng)建、綁定、設(shè)置工作模式、啟動(dòng)線程、接收數(shù)據(jù)等一系列的處理操作。圖 數(shù)據(jù)包采集中各類的關(guān)系在上圖中CSockSupport，CSockHelper ，CPackInterDlg，CBinDataDlg等是封裝了各部分主要處理功能的類。將在后面對這些類的功能和實(shí)現(xiàn)進(jìn)行詳細(xì)介紹。CsockSupport類：，在該類中封裝了WSAStartup完成Socket的啟動(dòng)；CsockHelper類：主要實(shí)現(xiàn)了從獲取本機(jī)信息結(jié)構(gòu)、Socket創(chuàng)建、綁定、設(shè)置、啟動(dòng)線程、數(shù)據(jù)接收到協(xié)議分析的全部方法。StartCapture方法完成套接字的創(chuàng)建、綁定、設(shè)置操作方式和啟動(dòng)線程；具體完成如下：圖 CSockHelper類處理流程m_sockCap = socket(AF_INET , SOCK_RAW , IPPROTO_IP)。sa, sizeof(sa))。bopt, sizeof(bopt)) 。bopt, sizeof(bopt)) 。dwBufferInLen,sizeof(dwBufferInLen),dwBufferLen,sizeof(dwBufferLen),amp。//混雜模式m_hCapThread = CreateThread(NULL, 0, CaptureThread, this, 0, NULL)。數(shù)據(jù)接收后，將緩沖區(qū)數(shù)據(jù)轉(zhuǎn)化為IP數(shù)據(jù)格式后即可以開始解析過程，協(xié)議名稱獲取如下：for(int i=0。 i
試題試卷相關(guān)推薦
鄂ICP備17016276號-1