CN106484589B - 端口访问的监测方法及装置 - Google Patents

Abstract

本发明公开了一种端口访问的监测方法及装置，属于计算机技术领域。所述方法包括：确定当前主机访问的至少一个目标端口；根据在内核中设置的控制字段，判断是否对访问所述目标端口的指定进程进行记录，所述控制字段记录了端口连接信息；若判断出对访问所述目标端口的指定进程进行记录，则将所述指定进程的标识信息记录在所述内核的日志信息中。由于在内核中增加了控制字段，所以实现了通过修改Linux内核来记录进程对端口的访问情况，降低了对终端设备的要求，监测方式简便和快捷。

Description

端口访问的监测方法及装置

技术领域

本发明涉及计算机技术领域，特别涉及一种端口访问的监测方法及装置。

背景技术

端口作为TCP/IP(Transmission Control Protocol/Internet Protocol，网络通讯协议)协议的必要组成，可以协助进程与外界进行数据传输。通常情况下，一台主机上会运行多个进程，各个进程均通过端口访问与外界进行数据传输。众所周知，端口访问情况是进行数据转发、终止进程对端口占用等的必要条件，因此很有必要对端口访问进行监测。

现有技术中在对端口访问情况进行监测时，通过Linux调试工具systemtap实现。其中，systemtap是监控和跟踪运行中的Linux内核的操作的动态方法。在终端设备上预先存在debug symbol(调试符)、GCC(GNU Compiler Collection,GNU编译器套件)和具备root(根)权限的情况下，systemtap可监测到进程对各个端口的访问情况。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

由于在进行端口访问监测时，需要终端设备预先存在debug symbol、GCD，并具备root权限，因此对主机的要求过高，监测方式过于繁琐和复杂。

发明内容

为了解决现有技术的问题，本发明实施例提供了一种端口访问的监测方法及装置。所述技术方案如下：

一方面，提供了一种端口访问的监测方法，所述方法包括：

确定当前主机访问的至少一个目标端口；

根据在内核中设置的控制字段，判断是否对访问所述目标端口的指定进程进行记录，所述控制字段记录了端口连接信息；

若判断出对访问所述目标端口的指定进程进行记录，则将所述指定进程的标识信息记录在所述内核的日志信息中。

另一方面，提供了一种端口访问的监测装置，所述装置包括：

确定模块，用于确定当前主机访问的至少一个目标端口；

判断模块，用于根据在内核中设置的控制字段，判断是否对访问所述目标端口的指定进程进行记录，所述控制字段记录了端口连接信息；

记录模块，用于若判断出对访问所述目标端口的指定进程进行记录，则将所述指定进程的标识信息记录在所述内核的日志信息中。

本发明实施例提供的技术方案带来的有益效果是：

在确定当前主机访问的至少一个目标端口后，根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录，若需要对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中，由于在内核中增加了控制字段，所以实现了通过修改Linux内核来记录进程对端口的访问情况，降低了对终端设备的要求，监测方式简便和快捷。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种端口访问的监测方法流程图；

图2是本发明实施例提供的一种端口访问的监测方法流程图；

图3是本发明实施例提供的一种端口数据传输的示意图；

图4是本发明实施例提供的一种端口访问的监测装置的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

图1是本发明实施例提供的一种端口访问的监测方法流程图。参见图1，本发明实施例提供的方法流程包括：

101、确定当前主机访问的至少一个目标端口。

102、根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录；若判断出对访问目标端口的指定进程进行记录，则执行下述步骤103。

其中，控制字段记录了端口连接信息。

103、若判断出对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中。

本发明实施例提供的方法，在确定当前主机访问的至少一个目标端口后，根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录，若需要对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中，由于在内核中增加了控制字段，所以实现了通过修改Linux内核来记录进程对端口的访问情况，降低了对终端设备的要求，监测方式简便和快捷。

可选地，根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录，包括：

若控制字段指示的连接端口号为最小端口号，则对访问至少一个目标端口的每一个指定进程均不进行记录。

可选地，根据在内核中设置的控制字段，判断是否对访问至少一个目标端口的指定进程进行记录，包括：

若控制字段指示的连接端口号介于最小端口号和最大端口号之间，且指示的端口号与至少一个目标端口中一个指定目标端口的端口号一致，则对访问指定目标端口的指定进程进行记录。

可选地，根据在内核中设置的控制字段，判断是否对访问至少一个目标端口的指定进程进行记录，包括：

若控制字段指示的连接端口号为最大端口号，则对访问至少一个目标端口的每一个指定进程均进行记录。

可选地，将指定进程的标识信息记录在内核的日志信息中，包括：

获取指定进程的进程名称和进程标识符；

将进程名称、进程标识符与目标端口信息之间的对应关系记录在日志信息中；

其中，目标端口信息为指定进程访问的目标端口的信息。

可选地，确定当前主机访问的至少一个目标端口之前，该方法还包括：

在内核中设置控制字段。

可选地，将指定进程的标识信息记录在内核的日志信息中之后，该方法还包括：

调用启动信息获取程序，获取日志信息中存储的对端口进行访问的进程信息。

上述所有可选技术方案，可以采用任意结合形成本发明的可选实施例，在此不再一一赘述。

图2是本发明实施例提供的一种端口访问的监测方法流程图。参见图2，本发明实施例提供的方法流程包括：

201、在内核中设置控制字段。

在本发明实施例中，内核特指GNU/Linux内核。控制字段形如/proc/sys/net/ipv4/udp_port_connection。其中，在Linux的发行版本中，都存在一个/proc/目录，也称之为Proc文件系统。/proc/sys/目录是/proc/目录的子目录，/proc/sys/net/目录是/proc/sys/目录的子目录，而/proc/sys/net/ipv4目录是/proc/sys/net/目录下的子目录。其中，/proc/sys/net/ipv4目录中的内容用来添加网络设置，该目录中的许多内容可以用来阻止对系统的攻击，或用来设置系统的路由功能。在/proc/sys/net/ipv4/目录下，包含的是和TCP/IP协议相关的各种参数。

其中，udp_port_connection参数的取值范围是[0，65535]。之所以取值范围位于[0，65535]之间，是因为Linux socket使用16bit无符号整型表示端口号，端口号个数总共为2¹⁶个，端口号最小到0，最大到65535。

202、确定当前主机访问的至少一个目标端口。

在本发明实施例中，参见图3，主机上可能运行了多个进程，如图3中位于应用层的进程有n个。某一进程可能会在很短的时间内(几毫秒到几百毫秒)使用某一端口，并立即释放该端口。一个端口可被多个进程访问，即不同进程发送的数据可通过同一端口发送出去。当任一端口接收到任一进程发送的数据后，确定该进程对该端口发起了访问，每一个目标端口可对应至少一个进程。对于一个指定进程来说，通过系统调用与某一端口建立连接(binding，绑定)后，该指定进程发送给传输层的数据都从该端口输出，进而通过网络层发送至其他主机；相应地，传输层传送给该端口的数据都被该指定进程所接收。

由于在Internet上，各主机间通过TCP/IP协议发送和接收数据包，各个数据包根据其目的主机的网络地址来进行互联网络中的路由选择。因此可将数据包顺利地传送到目的主机。然而，大多数操作系统都支持多进程同时运行，那么当接收到目的主机返回的数据包时，操作系统并不知道将接收到的数据包传送给众多同时运行的进程中的哪一个，而通过本发明实施例提供的方法，在获取端口访问情况后便可以解决这一问题。即，在抓取到进程对端口的访问情况后，通过哪一个端口向目的主机发送数据包，再根据抓取到的进程的标识信息，通过哪一个端口将目的主机返回的数据包发送给对应的进程。

203、根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录；若判断出需要对访问目标端口的指定进程进行记录，则执行下述步骤204。

在本发明实施例中，由于控制字段中参数udp_port_connection的参数值在[0，65535]之间可变，所以依据参数udp_port_connection的取值不同，对端口访问情况的监测方式也不同，详细过程如下：

第一种情形、若控制字段指示的连接端口号为最小端口号(0)，则对访问至少一个目标端口的每一个指定进程均不进行记录。

其中，最小端口号指代0。即，当参数udp_port_connection的取值为0时，通知内核对访问至少一个目标端口的每一个指定进程均不进行记录。直接将至少一个目标端口接收到的待发送数据发送至传输层，由传输层将待发送数据发送至目的主机，且对访问至少一个目标端口的每一个指定进程均不进行记录。比如，假设当前进程一访问端口a，进程二访问端口b，进程三访问端口c，由于内核增加的控制字段中udp_port_connection参数的参数值为0，所以进程一对端口a的访问、进程二对端口b的访问、进程三对端口c的访问均不进行记录。

第二种情形、若控制字段指示的连接端口号介于最小端口号和最大端口号之间，且指示的端口号与至少一个目标端口中一个指定目标端口的端口号一致，则对访问指定目标端口的指定进程进行记录。

其中，最大端口号指代65535。即，当参数udp_port_connection的取值介于0至65535时，通知内核对访问指定目标端口的指定进程进行记录，其余不作处理。若此时一个指定进程访问的目标端口的端口号与该参数的取值相等，则将至少一个目标端口接收到的待发送数据发送至传输层，由传输层将待发送数据发送至目的主机，且对访问该指定目标端口的指定进程进行记录，其余不作处理。比如，假设当前进程一访问端口a，进程二访问端口b，进程三访问端口c，若内核增加的控制字段中udp_port_connection参数的参数值为8080，端口a为8080端口，则将进程一对端口a的访问进行记录，进程二对端口b的访问、进程三对端口c的访问不进行记录。

第三种情形、若控制字段指示的连接端口号为最大端口号，则对访问至少一个目标端口的每一个指定进程均进行记录。

当参数udp_port_connection的取值为65535时，通知内核对访问至少一个目标端口的每一个指定进程均进行记录。直接将至少一个目标端口接收到的待发送数据发送至传输层，由传输层将待发送数据发送至目的主机，对访问至少一个目标端口的每一个指定进程均进行记录。比如，当前进程一访问端口a，进程二访问端口b，进程三访问端口c，由于内核增加的控制字段中udp_port_connection参数的参数值为65535，所以将进程一对端口a的访问、进程二对端口b的访问、进程三对端口c的访问均进行记录。

204、若判断出需要对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中。

在本发明实施例中，在将指定进程的标识信息记录在内核的日志信息中时，可采取下述方式实现：

获取指定进程的进程名称和进程标识符；将进程名称、进程标识符与目标端口信息之间的对应关系记录在日志信息中。

其中，目标端口信息为指定进程访问的目标端口的信息。继续以进程一访问端口a，进程二访问端口b，进程三访问端口c为例，则在将进程名称、进程标识符与目标端口信息之间的对应关系记录在日志信息中时，可采取下述表1所示的方式，本发明实施例对此不进行具体限定。

表1

进程名称	进程标识符	访问端口
			进程一	标识符1	端口a
进程二	标识符2	端口b
			进程三	标识符3	端口c

205、调用启动信息获取程序，获取日志信息中存储的对端口进行访问的进程信息。

其中，启动信息获取程序通常为dmesg程序。dmesg程序一般用于显示开机启动信息，内核会将开机启动信息存储在ring buffer中。若开机时来不及查看启动信息，则可利用dmesg程序来查看。开机启动信息保存在/var/log目录中，名称为dmesg的文件里。由于将进程对端口的访问情况都记录在了内核的日志信息中，所以通过调用dmesg程序便可以从内核中获取日志信息，从而得到访问特定端口的进程名称和进程标识符。在得到上述端口访问情况后，可根据该端口访问情况进行数据的收发，明确待发送消息是哪一个进程发起的或接收到的数据是发送给哪一个进程的；终止某一进程对某一端口的占用；进行端口入侵检测等等，本发明实施例对此不进行具体限定。

本发明实施例提供的方法，在确定当前主机访问的至少一个目标端口后，根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录，若需要对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中，由于在内核中增加了控制字段，所以实现了通过修改Linux内核来记录进程对端口的访问情况，降低了对终端设备的要求，监测方式简便和快捷。

图4是本发明实施例提供的一种端口访问的监测装置的结构示意图。参见图4，该装置包括：确定模块401、判断模块402、记录模块403。

其中，确定模块401与判断模块402连接，用于确定当前主机访问的至少一个目标端口；判断模块402与记录模块403连接，用于根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录，控制字段记录了端口连接信息；记录模块403，用于若判断出对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中。

可选地，判断模块，用于当控制字段指示的连接端口号为最小端口号时，对访问至少一个目标端口的每一个指定进程均不进行记录。

可选地，判断模块，用于当控制字段指示的连接端口号介于最小端口号和最大端口号之间，且指示的端口号与至少一个目标端口中一个指定目标端口的端口号一致时，对访问指定目标端口的指定进程进行记录。

可选地，判断模块，用于当控制字段指示的连接端口号为最大端口号时，对访问至少一个目标端口的每一个指定进程均进行记录。

可选地，记录模块，用于获取指定进程的进程名称和进程标识符；将进程名称、进程标识符与目标端口信息之间的对应关系记录在日志信息中；

其中，目标端口信息为指定进程访问的目标端口的信息。

可选地，该装置还包括：

设置模块，用于在内核中设置控制字段。

可选地，该装置还包括：

获取模块，用于调用启动信息获取程序，获取日志信息中存储的对端口进行访问的进程信息。

本发明实施例提供的装置，在确定当前主机访问的至少一个目标端口后，根据在内核中设置的控制字段，判断是否对访问目标端口的指定进程进行记录，若需要对访问目标端口的指定进程进行记录，则将指定进程的标识信息记录在内核的日志信息中，由于在内核中增加了控制字段，所以实现了通过修改Linux内核来记录进程对端口的访问情况，降低了对终端设备的要求，监测方式简便和快捷。

需要说明的是：上述实施例提供的端口访问的监测装置在进行端口访问监测时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的端口访问的监测装置与端口访问的监测方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种端口访问的监测方法，其特征在于，所述方法包括：

确定当前主机访问的至少一个目标端口；

根据在内核中设置的控制字段，判断是否对访问所述目标端口的指定进程进行记录，其中，若所述控制字段指示的连接端口号为最小端口号，则对访问所述至少一个目标端口的每一个指定进程均不进行记录；若所述控制字段指示的连接端口号为最小端口号，则对访问所述至少一个目标端口的每一个指定进程均不进行记录；若所述控制字段指示的连接端口号为最大端口号，则对访问所述至少一个目标端口的每一个指定进程均进行记录；所述控制字段记录了端口连接信息，所述端口连接信息给出了连接端口号，所述连接端口号在端口号取值范围内可变；

若判断出对访问所述目标端口的指定进程进行记录，则将所述指定进程的标识信息记录在所述内核的日志信息中。

2.根据权利要求1所述的方法，其特征在于，所述将所述指定进程的标识信息记录在所述内核的日志信息中，包括：

获取所述指定进程的进程名称和进程标识符；

将所述进程名称、所述进程标识符与目标端口信息之间的对应关系记录在所述日志信息中；

其中，所述目标端口信息为所述指定进程访问的目标端口的信息。

3.根据权利要求1所述的方法，其特征在于，所述确定当前主机访问的至少一个目标端口之前，所述方法还包括：

在所述内核中设置控制字段。

4.根据权利要求3所述的方法，其特征在于，所述将所述指定进程的标识信息记录在所述内核的日志信息中之后，所述方法还包括：

调用启动信息获取程序，获取所述日志信息中存储的对端口进行访问的进程信息。

5.一种端口访问的监测装置，其特征在于，所述装置包括：

确定模块，用于确定当前主机访问的至少一个目标端口；

判断模块，用于根据在内核中设置的控制字段，判断是否对访问所述目标端口的指定进程进行记录，所述控制字段记录了端口连接信息，其中，若所述控制字段指示的连接端口号为最小端口号，则对访问所述至少一个目标端口的每一个指定进程均不进行记录；若所述控制字段指示的连接端口号为最小端口号，则对访问所述至少一个目标端口的每一个指定进程均不进行记录；若所述控制字段指示的连接端口号为最大端口号，则对访问所述至少一个目标端口的每一个指定进程均进行记录；所述端口连接信息给出了连接端口号，所述连接端口号在端口号取值范围内可变；

记录模块，用于若判断出对访问所述目标端口的指定进程进行记录，则将所述指定进程的标识信息记录在所述内核的日志信息中。

6.根据权利要求5所述的装置，其特征在于，所述记录模块，用于获取所述指定进程的进程名称和进程标识符；将所述进程名称、所述进程标识符与目标端口信息之间的对应关系记录在所述日志信息中；

其中，所述目标端口信息为所述指定进程访问的目标端口的信息。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

设置模块，用于在所述内核中设置控制字段。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

获取模块，用于调用启动信息获取程序，获取所述日志信息中存储的对端口进行访问的进程信息。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有程序，所述程序被处理器用来执行权利要求1-4中任一项所述的端口访问的监测方法。

Images