【正文】 如圖 35 所示。 圖 35 關(guān)鍵字統(tǒng)計(jì)模塊流程圖 . 前臺(tái)數(shù)據(jù)顯示模塊 本模塊比較簡(jiǎn)單 ，在數(shù)據(jù)分析的基礎(chǔ)上， 每捕獲到一個(gè)數(shù)據(jù)包就進(jìn)行分是 否 否 是 分析得到命令 關(guān)鍵字 表中是否已存在此關(guān)鍵字 數(shù) 量值增 1 關(guān)鍵字插入表中 數(shù)量值 設(shè)為 1 是否到達(dá)文件末尾 開始 打開文件 讀取數(shù)據(jù) 結(jié)束 析，并 把分析 數(shù)據(jù)包得到 的各種信息顯示在界面中的表格中，從表格中就可以清楚的看到數(shù)據(jù)包的各種信息，如捕獲數(shù)據(jù)包的時(shí)間、數(shù)據(jù)包的長(zhǎng)度等等。 . 數(shù)據(jù)存儲(chǔ)模塊 本部分是數(shù)據(jù)存儲(chǔ)的第二方面，即存入數(shù)據(jù)庫(kù) 。本模塊的功能是通過(guò)數(shù)據(jù)分析得到數(shù)據(jù)包的捕獲時(shí)間 （ 此處的時(shí)間 分為年月日和時(shí)分秒兩種格式）、源端口、目的端口、源 IP 和目的 IP 的信息，并把這些信息存入到數(shù)據(jù)庫(kù)中 。這些數(shù)據(jù)也是作圖模塊的原始數(shù)據(jù)。 此部分的數(shù)據(jù)流程圖如圖 36 所示 。 開始 獲得指向數(shù)據(jù)包的指針 計(jì) 算時(shí)間、 端口、 IP 信息 計(jì)算得到距 IRC 數(shù)據(jù)的 圖 36 數(shù)據(jù)存儲(chǔ)模塊流程圖 . 作圖模塊 本模塊的功能是讀取 原始數(shù)據(jù)，并對(duì)數(shù)據(jù)進(jìn)行統(tǒng)計(jì)，把統(tǒng)計(jì)結(jié)果以科學(xué)圖標(biāo)的形式變現(xiàn)出來(lái)，如直方圖、折線圖。原始數(shù)據(jù)的來(lái)源分為兩部分，一個(gè)是從文件中讀取，文件中存儲(chǔ)的是最原始的數(shù)據(jù)，即直接從網(wǎng)卡捕獲而沒有經(jīng)過(guò)加工的數(shù)據(jù)；另一個(gè)是從數(shù)據(jù)庫(kù)中讀取經(jīng)過(guò)加工的數(shù)據(jù)。 作圖模塊的流程圖如圖 37 所示。 圖 37 作圖模塊流程示意圖 數(shù)據(jù)庫(kù)設(shè)計(jì) 數(shù)據(jù)庫(kù)作為數(shù)據(jù)存儲(chǔ)的載體，在一個(gè)系統(tǒng)中占有非常重要的地位， 它為系統(tǒng)提供數(shù)據(jù)存儲(chǔ)支持，滿足業(yè)務(wù)系統(tǒng)的流程。數(shù)據(jù)庫(kù)設(shè) 計(jì)是系統(tǒng)設(shè)計(jì)的重要組成部分，是系統(tǒng)模型最原始的表示和反映。數(shù)據(jù)庫(kù)設(shè)計(jì)的好壞直接對(duì)應(yīng)用系統(tǒng)的效率、實(shí)現(xiàn)的效果、開發(fā)周期和性能產(chǎn)生重要影響。 數(shù)據(jù)庫(kù)設(shè)計(jì)原則 (1) 布局合理 為了減少不必要的中間傳輸， 應(yīng)當(dāng)考慮把數(shù)據(jù)庫(kù)建立在靠近信息源和使用點(diǎn)的地方，就近開發(fā)，就近使用。 (2) 合理冗余 允許部分?jǐn)?shù)據(jù)重疊。數(shù)據(jù)庫(kù)設(shè)計(jì)時(shí)，應(yīng)盡量減少數(shù)據(jù)冗余，但有時(shí)為了開始 從文件或數(shù)據(jù)庫(kù)中讀取數(shù)據(jù) 統(tǒng)計(jì)命令關(guān)鍵字信息 根據(jù)統(tǒng)計(jì)信息作圖 結(jié)束 以空間換取時(shí)間，允許部分?jǐn)?shù)據(jù)重復(fù)存貯，但要保證數(shù)據(jù)同步更新。 (3) 結(jié)構(gòu)化、標(biāo)準(zhǔn)化和規(guī)范化 數(shù)據(jù)庫(kù)體系的建立，應(yīng)統(tǒng)一名詞解釋、統(tǒng)一指標(biāo)體系和統(tǒng)一分類編碼，以保證信息交換和資源共享。 (4) 支持 對(duì)數(shù)據(jù)庫(kù)的并發(fā)操作 為提高數(shù)據(jù)庫(kù)的使用效率，數(shù)據(jù)庫(kù)支持并發(fā)操作，防止由于并發(fā)操作引起的不良反應(yīng)。 數(shù)據(jù)庫(kù) 表 劃分 本系統(tǒng)對(duì)數(shù)據(jù)庫(kù)的操作要求比較簡(jiǎn) 單，主要是用來(lái)存儲(chǔ)數(shù)據(jù)的信息，所以表比較單一，本系統(tǒng)只涉及到兩個(gè) 表， 一個(gè)用于對(duì)文件中數(shù)據(jù)統(tǒng)計(jì)的保存，一個(gè)用于存儲(chǔ)捕獲數(shù)據(jù)包后的分析結(jié)果 。下面給出數(shù)據(jù)庫(kù)中涉及到的表。 關(guān)鍵字統(tǒng)計(jì)表，如表 31 所示。 表 31 關(guān)鍵字統(tǒng)計(jì)表 字段名 中文名 數(shù)據(jù)類型 是否為空 id 編號(hào) Bigint(20) 否 name 關(guān)鍵字名稱 Varchar(20) 是 frequency 數(shù)量 Bigint(20) 是 數(shù)據(jù)存儲(chǔ)表，如表 32 所示。 表 32 數(shù)據(jù)存儲(chǔ)表 字段名 中文名 數(shù)據(jù)類型 是否為空 yearMD 年月日 Varchar(20) 是 time 時(shí)分秒 Varchar(20) 是 keyname 關(guān)鍵字名稱 Varchar(15) 是 sport 源端口 Varchar(10) 是 dport 目的端口 Varchar(10) 是 Sip 源 ip Varchar(20) 是 Dip 目的 ip Varchar(20) 是 數(shù)據(jù)庫(kù)操作模塊 數(shù)據(jù)庫(kù) 操作模塊的功能是查看數(shù)據(jù)庫(kù)中的內(nèi)容，同時(shí)也具有刪除和導(dǎo)入數(shù)據(jù)的功能。 當(dāng)選中某一行時(shí)，刪除操作將會(huì)刪除此行。導(dǎo)入數(shù)據(jù)是打開一個(gè)存放原始數(shù)據(jù)的文件，邊分析表插入到數(shù)據(jù)庫(kù)中。 數(shù)據(jù)庫(kù)操作模塊如圖 38 所示。 圖 38 數(shù)據(jù)操作模塊功能圖 本章小結(jié) 本章主要討論了系統(tǒng)的技術(shù)架構(gòu)設(shè)計(jì)和系統(tǒng)功能設(shè)計(jì)，從理論上 闡述了系統(tǒng)設(shè)計(jì)實(shí)現(xiàn)思路， 并以粗略的流程圖描述了部分功能模塊的實(shí)現(xiàn)流程。下一章將詳細(xì)介紹具體的實(shí)現(xiàn)。 數(shù)據(jù)庫(kù)操作模塊 查看數(shù)據(jù) 刪除數(shù)據(jù) 導(dǎo)入數(shù)據(jù) 第 4章 系統(tǒng)的實(shí)現(xiàn)與測(cè)試 本章將詳細(xì)的介紹系統(tǒng)的實(shí)現(xiàn)過(guò)程和數(shù)據(jù)測(cè)試。 數(shù)據(jù)包捕獲模塊 本模塊的功能實(shí)現(xiàn) IRC 數(shù)據(jù)包的捕獲，同時(shí)包含數(shù)據(jù)的過(guò)濾和存儲(chǔ)。此模塊依據(jù) Libpcap 提供的一系列功能函數(shù)來(lái)實(shí)現(xiàn)。詳細(xì)流程如圖 41 所示。 圖 41 數(shù)據(jù)包捕獲模塊流程圖 結(jié)束 是 其他操作 保存到數(shù)據(jù)庫(kù) pcap_pile() 編譯過(guò)濾器 pcap_setfilter() 設(shè)置過(guò)濾條件 pcap_next_ex() 捕獲數(shù)據(jù)包 Stopped 是否為假 pcap_dump() 保存到堆文件 pcap_open_live() 打開選中的網(wǎng)絡(luò)設(shè)備 pcap_dump_open() 打開堆文件 pcap_lookup() 獲取網(wǎng)絡(luò)地址和子網(wǎng)掩碼 是否為Ether 開始 pcap_findalldev() 獲取網(wǎng)絡(luò)設(shè)備 是 否 否 數(shù)據(jù)包捕獲模塊核心代碼： pcap_findalldevs(amp。alldevs,errbuf)。//獲取網(wǎng)絡(luò)設(shè)備 if((adhandle=pcap_open_live(devname,65536,1,1000,errbuf))==NULL)// 打開網(wǎng)卡 {?? } dumpfile=pcap_dump_open(adhandle,namec)。//打開堆文件 if(pcap_lookup(devname,amp。ip,amp。mask,errbuf)0)//網(wǎng)絡(luò)地址和子網(wǎng)掩碼 {?? } if(pcap_datalink(adhandle)!=DLT_EN10MB)//判斷網(wǎng)絡(luò)類型 {?? } if(pcap_pile(adhandle,amp。fcode,packet_filter,1,mask)0)//編譯過(guò)濾器 {?? } if(pcap_setfilter(adhandle, amp。fcode)0)//設(shè)置過(guò)濾條件 {?? } /*開始捕獲數(shù)據(jù)包 */ while((ret=pcap_next_ex(adhandle,amp。header,amp。pkt_data))=0amp。amp。!stopped) { ?? pcap_dump((unsigned char *)dumpfile,header,pkt_data)。//保存到文件 ?? (insert into packetData (yearMD,time,keyname,sport,dport,Sip, Dip) values(?,?,?,?,?,?,?))。//插入到數(shù)據(jù)庫(kù) ?? } 數(shù)據(jù)包分析模塊 本模塊的主要功能是對(duì)捕獲到的數(shù)據(jù)包進(jìn)行逐層剖析，最終得到 IRC的命令關(guān)鍵字 。同時(shí)根據(jù)得到的結(jié)果做出科學(xué)圖表或其他形式的分析，對(duì)關(guān)鍵字在一定時(shí)期的變化有個(gè)更直觀的視圖。以下 分別 介紹 關(guān)鍵字統(tǒng)計(jì)模塊，前臺(tái)顯示模塊和作 關(guān)鍵字統(tǒng)計(jì)模塊 本模塊是基于文件的操作，即讀取某個(gè)存儲(chǔ)原始數(shù)據(jù)的文件，統(tǒng)計(jì)文件中存在的命令關(guān)鍵字類型和每種命令對(duì)應(yīng)的數(shù)量 。詳細(xì)流程如圖 42 所示。 數(shù)據(jù)表中是否已存在此關(guān)鍵字 數(shù)量增 1 插入數(shù)據(jù)庫(kù) 數(shù)量設(shè)為 1 開始 得到文件名稱 pcap_open_offline() 打開文件 pcap_next_ex() 讀取文件 是否到達(dá)文件末尾 是否有前綴 獲取命令關(guān)鍵字 獲取命令關(guān)鍵字 結(jié)束 圖 42 關(guān)鍵字統(tǒng)計(jì)模塊 關(guān)鍵字統(tǒng)計(jì)模塊核心代碼： void DataAnalysis::run() { if((fp=pcap_open_offline(nameoff,ebuf))==NULL)//讀取文件 {?? } while((ret=pcap_next_ex(fp,amp。header,amp。pkt_data))=0)//讀取數(shù)據(jù) { if(ircdata[0]==0x3a)//有前綴 { ?? while(ircdata[k]!=0x20)//得到命令關(guān)鍵字 { hex_to_str(ircdata[k],temp1,t1)。 ?? } if(!isReduplicate(tem))//數(shù)據(jù)庫(kù)中不在此關(guān)鍵字 { ?? //插入到數(shù)據(jù)庫(kù)中 (insert into keywords(name,frequency)values(?,?))。 ?? } else if(isReduplicate(tem))//數(shù)據(jù)庫(kù)中存在此關(guān)鍵字 { …… (select frequency from keywords where name=?)。 …… fre=(0).toInt()+1。//數(shù)量增 1 …… } } 前臺(tái)數(shù)據(jù)顯示模塊 此模塊的功能是把分析得到有關(guān)數(shù)據(jù)包的各 種信息，如捕包時(shí)間、數(shù)據(jù)包長(zhǎng)度、端口信息等，以列表的形式顯示在界面中 ，并且可以實(shí)現(xiàn)簡(jiǎn)單的查詢功能，如查詢關(guān)鍵字，則列表中相應(yīng)的關(guān)鍵字就會(huì)以高亮形式顯示。 數(shù)據(jù)顯示的界面如圖 43 所示。 圖 43 數(shù)據(jù)顯示界面 在彈出的文本框中輸入要查詢的內(nèi)容，點(diǎn)擊“ find next”按鈕，若表中存在要查詢的內(nèi)容，則以高亮的方式顯示；若沒有，無(wú)高亮標(biāo)識(shí)。 查詢功能的界面如圖 44 和圖 45 所示。 圖 44 查詢內(nèi)容 圖 45 查詢內(nèi)容高亮顯示 作圖模塊 本模塊以 Qwt 開發(fā)包為基礎(chǔ)，分別從文件和數(shù)據(jù)庫(kù)中讀取 數(shù)據(jù)，并進(jìn)行數(shù)據(jù)統(tǒng)計(jì)，然后利用各種作圖類，調(diào)用相應(yīng)的函數(shù)進(jìn)行作圖。本模塊的整體流程如圖 45 所示。 圖 45 作圖模塊整體流程 作圖模塊的核心是數(shù)據(jù)統(tǒng)計(jì)， 本系統(tǒng)涉及到三個(gè)圖，第一個(gè) 以單個(gè)文件為單位統(tǒng)計(jì)數(shù)據(jù)，第二個(gè)是統(tǒng)計(jì)多個(gè)文件的數(shù)據(jù)，在圖表中對(duì)比顯示，第三個(gè)是以時(shí)間為單位進(jìn)行統(tǒng)計(jì)作圖。下面主要介紹第二個(gè)和第三個(gè)圖的實(shí)現(xiàn)方法。 按時(shí)間統(tǒng)計(jì)作圖 本模塊的功能是按時(shí)間條件從數(shù)據(jù)庫(kù)中讀取數(shù)據(jù) ，然后根據(jù)統(tǒng)計(jì)的內(nèi)容來(lái)完成圖形的制作。時(shí)間條件包括