CN112688924A - 网络协议分析系统 - Google Patents

Abstract

本申请公开了一种网络协议分析系统。所述网络协议分析系统包括：网卡侦听模块，所述网卡侦听模块用于对网卡进行侦听；逐层递归解析模块，所述逐层递归解析模块用于对侦听的网卡的数据包进行抓取，并通过逐层递归解析方法解析抓取的数据包的每层的每个字段。

Description

网络协议分析系统

技术领域

本发明涉及网络协议分析技术领域，具体涉及一种网络协议分析系统。

背景技术

随着计算机和网络技术的发展，计算机网络已经成为人们数据通信的主要方式，网络相关技术的快速进步极大地提高了人们通信的效率，并带动各行各业也开始蓬勃发展。计算机网络通信都是通过同轴电缆、光纤等媒介，利用交换机和路由器转发来进行数据传输，这些数据都要先封装在相同的协议内，然后在媒介上传输。在数据传输的过程中，只要捕获媒介上传输的各种协议数据包，再按照协议格式解析后，即可获得封装在内的数据信息，进而可以监听和截获本局域网内的通信数据。

网络技术的迅猛发展和网络的广泛普及使得网络安全的深层研究也日益受到人们的重视。与此同时，产生了大量的与网络分析和截获相关的软件，致使网络安全问题越来越迫切。国外的相关软件虽然很多，但是功能都比较单一。国内使用的相关软件，虽然功能强大，但是一般可视化的界面比较繁杂，需要大量记忆相关命令，来达到熟练运用的目的。另外，目前市场上的相关软件还要购买相应的大型设备和相关的辅助软件，资金投入要求高，相应的维护费用也有所增加。

发明内容

本申请的目的在于提供一种网络协议分析系统来克服或至少减轻现有技术的至少一个上述缺陷。

为实现上述目的，本申请提供一种网络协议分析系统，用于分析网络协议，所述络协议分析系统包括：

网卡侦听模块，所述网卡侦听模块用于对网卡进行侦听；

逐层递归解析模块，所述逐层递归解析模块用于对侦听的网卡的数据包进行抓取，并通过逐层递归解析方法解析抓取的数据包的每层的每个字段。

可选地，所述网络协议分析系统进一步包括：

系统应用信息获取模块，所述系统应用信息获取模块用于获取进程信息并根据进程信息抓取数据包；

流量监测模块，所述流量监测模块用于检测系统应用信息获取模块所述抓取的数据包的流量。

可选地，所述网络协议分析系统进一步包括：

数据包统计模块，所述数据包统计模块用于获取所述逐层递归解析模块抓取的数据包，并统计所获取的数据包的数据包类型。

可选地，所述网络协议分析系统进一步包括：

伪装数据包构造模块，所述伪装数据包构造模块用于构造伪装数据包；

发送模块，所述发送模块用于发送伪装数据包。

可选地，所述网卡侦听模块包括：

网卡识别模块，所述网卡识别模块用于识别主机可用网卡名称与物理地址；

网卡选择模块，所述网卡选择模块用于通过网卡名称选择特定网卡或全部网卡；

侦听模块，所述侦听模块用于对选择的网卡进行侦听。

可选地，所述逐层递归解析模块包括：

抓取模块，所述抓取模块用于抓取流经网卡的数据包；

递归解析模块，所述递归解析模块用于从物理层开始，由数据链路层、网络层、传输层至应用层，逐层递归解析数据包载荷内容，直至载荷为空。

可选地，所述系统应用信息获取模块包括：

进程获取模块，所述进程获取模块用于获取有网络连接的进程信息，包括进程名字和进程对应的连接信息；

应用数据包获取模块，所述应用数据包获取模块用于根据进程信息抓取数据包。

可选地，所述流量监测模块包括：

监测进程选择模块，所述监测进程选择模块用于选择所需监测进程，查看进程建立连接情况与网络传输速率。

可选地，所述数据包统计模块包括：

报文类型统计模块，所述报文类型统计模块用于按照报文类型特征对数据包分类统计；

IP协议类型分类模块，所述IP协议类型分类模块用于按照IP协议类型特征对数据包分类统计。

可选地，所述伪装数据包构造模块包括：

报文构造模块，所述报文构造模块用于构造ARP、ICMP、IP、TCP、UDP报文；

报文发送方式选择模块，所述报文发送方式选择模块用于选择send()、sendp()、sr()、srl()、srloop()五种方式中的一种方式发送报文。

本申请的网络协议分析系统通过逐层递归解析的方式进行解析，从而优化解析协议内容的代码结构设计，减少解析协议内容所需代码量，并且解析过程中由于递归的特性，不易遗漏某层协议内容。

附图说明

图1为本发明第一实施例的网络协议分析系统的系统示意图。

图2是本发明第一实施例的网络协议分析方法的流程示意图。

附图标记：

1、网卡侦听模块；2、逐层递归解析模块；3、系统应用信息获取模块；4、流量监测模块；5、数据包统计模块；6、伪装数据包构造模块；7、发送模块。

具体实施方式

为使本申请实施的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行更加详细的描述。在附图中，自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。所描述的实施例是本申请一部分实施例，而不是全部的实施例。下面通过参考附图描述的实施例是示例性的，旨在用于解释本申请，而不能理解为对本申请的限制。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。下面结合附图对本申请的实施例进行详细说明。

图1为本发明第一实施例的网络协议分析系统的系统示意图。

如图1所示的网络协议分析系统，用于分析网络协议，所述网络协议分析系统包括网卡侦听模块1以及逐层递归解析模块2，网卡侦听模块1用于对网卡进行侦听；逐层递归解析模块2用于对侦听的网卡的数据包进行抓取，并通过逐层递归解析方法解析抓取的数据包的每层的每个字段。

优点是：

在本实施例中，网络协议分析系统进一步包括系统应用信息获取模块3以及流量监测模块，系统应用信息获取模块用于获取进程信息并根据进程信息抓取数据包；流量监测模块4用于检测系统应用信息获取模块所述抓取的数据包的流量。

采用这种方式，可以在进行网络分析的同时进行流量监测。

在本实施例中，网络协议分析系统进一步包括数据包统计模块5，数据包统计模块用于获取逐层递归解析模块抓取的数据包，并统计所获取的数据包的数据包类型。

采用这种方式，可以通过本申请的系统进行数据包类型的统计。

在本实施例中，所述网络协议分析系统进一步包括伪装数据包构造模块6以及发送模块7，伪装数据包构造模块6用于构造伪装数据包；发送模块7用于发送伪装数据包。

采用这种方式，可以同时进行伪造数据包的构造与发送。

在本实施例中，网卡侦听模块包括网卡识别模块、侦听模块以及网卡选择模块，网卡识别模块用于识别主机可用网卡名称与物理地址；网卡选择模块用于通过网卡名称选择特定网卡或全部网卡；侦听模块用于对选择的网卡进行侦听。

在本实施例中，逐层递归解析模块包括抓取模块以及递归解析模块，抓取模块用于抓取流经网卡的数据包；递归解析模块用于从物理层开始，由数据链路层、网络层、传输层至应用层，逐层递归解析数据包载荷内容，直至载荷为空。

在本实施例中，所述系统应用信息获取模块包括进程获取模块以及应用数据包获取模块，进程获取模块用于获取有网络连接的进程信息，包括进程名字和进程对应的连接信息；应用数据包获取模块用于根据进程信息抓取数据包。

在本实施例中，流量监测模块包括监测进程选择模块，监测进程选择模块用于选择所需监测进程，查看进程建立连接情况与网络传输速率。

在本实施例中，数据包统计模块包括报文类型统计模块以及IP协议类型分类模块，报文类型统计模块用于按照报文类型特征对数据包分类统计；IP协议类型分类模块用于按照IP协议类型特征对数据包分类统计。

在本实施例中，伪装数据包构造模块包括报文构造模块以及报文发送方式选择模块，报文构造模块用于构造ARP、ICMP、IP、TCP、UDP报文；报文发送方式选择模块用于选择send()、sendp()、sr()、srl()、srloop()五种方式中的一种方式发送报文。

本申请还提供了一种网络协议分析方法，如图2所示的网络协议分析方法流程示意图，本申请网络协议分析方法包括：

步骤1：选择特定网卡或所有网卡进行侦听；

步骤2：逐层递归解析方法解析抓取的数据包每层的每个字段；

步骤3：监测各应用流量；

步骤4：统计数据包类型；

步骤5：构造、发送数据包。

本发明的网络协议分析方法根据使用需求进行了整合，降低了开销和对底层装置的依赖。

在本实施例中，步骤1：选择特定网卡或所有网卡进行侦听功能包括：

步骤11：获取主机可用网卡名称与物理地址，存储在字典中；

步骤12：进一步获取网卡对应NIC信息；

步骤13：将网卡名称展示在用户界面；

步骤14：通过网卡名称选择特定网卡或全部网卡进行侦听。

步骤2：逐层递归解析方法解析抓取的数据包每层的每个字段功能包括：

步骤21：确定所需侦听网卡，抓取流经网卡的数据包；

步骤22：处理物理层数据信息，包括长度、时间等；

步骤23：递归处理数据包物理层载荷，获取数据链路层信息；

步骤24：递归处理数据包数据链路层载荷，获取网络层信息；

步骤25：递归处理数据包网络层载荷，获取传输层信息；

步骤26：递归处理数据包传输层载荷，获取应用层信息；

步骤27：将获取的数据包信息逐层、逐字段展示在用户界面。

步骤3：监测各应用流量功能包括：

步骤31：获取有网络连接的进程列表；

步骤32：获取进程使用的网络连接；

步骤33：对选定进程进行流量监测；

步骤34：将进程列表及对应连接信息、选定进程流量变化信息展示在用户界面。

步骤4：统计数据包类型功能包括：

步骤41：从步骤2获取各层不同协议数据包数量并进行统计，将统计结构展示在用户界面；

步骤42：从步骤2获取不同IP协议数据包数量并进行统计，将统计结构展示在用户界面；

步骤5：构造、发送伪装数据包功能包括：

步骤51：按需求分层构造ARP、ICMP、IP、TCP、UDP报文；

步骤52：选择send()、sendp()、sr()、srl()、srloop()五种方式发送报文。

本申请虽然以较佳实施例公开如上，但其实并不是用来限定本申请，任何本领域技术人员在不脱离本申请的精神和范围内，都可以做出可能的变动和修改，因此，本申请的保护范围应当以本申请权利要求所界定的范围为准。

本申请还提供了一种电子设备，包括存储器、处理器以及存储在存储器中并能够在处理器上运行的计算机程序，处理器执行计算机程序时实现如上的多维集中式木马检查方法。

举例来说，电子设备包括输入设备、输入接口、中央处理器、存储器、输出接口以及输出设备。其中，输入接口、中央处理器、存储器以及输出接口通过总线相互连接，输入设备和输出设备分别通过输入接口和输出接口与总线连接，进而与计算设备的其他组件连接。具体地，输入设备接收来自外部的输入信息，并通过输入接口将输入信息传送到中央处理器；中央处理器基于存储器中存储的计算机可执行指令对输入信息进行处理以生成输出信息，将输出信息临时或者永久地存储在存储器中，然后通过输出接口将输出信息传送到输出设备；输出设备将输出信息输出到计算设备的外部供用户使用。

本申请还提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，计算机程序被处理器执行时能够实现如上的网络协议分析方法。

本申请虽然以较佳实施例公开如上，但其实并不是用来限定本申请，任何本领域技术人员在不脱离本申请的精神和范围内，都可以做出可能的变动和修改，因此，本申请的保护范围应当以本申请权利要求所界定的范围为准。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动，媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数据多功能光盘(DVD)或其他光学存储、磁盒式磁带、磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

此外，显然“包括”一词不排除其他单元或步骤。装置权利要求中陈述的多个单元、模块或装置也可以由一个单元或总装置通过软件或硬件来实现。第一、第二等词语用来标识名称，而不标识任何特定的顺序。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，模块、程序段、或代码的一部分包括一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地标识的方框实际上可以基本并行地执行，他们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或总流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

在本实施例中所称处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

存储器可用于存储计算机程序和/或模块，处理器通过运行或执行存储在存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现装置/终端设备的各种功能。存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

在本实施例中，装置/终端设备集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，计算机程序包括计算机程序代码，计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。计算机可读介质可以包括：能够携带计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减。

虽然，上文中已经用一般性说明及具体实施方案对本发明作了详尽的描述，但在本发明基础上，可以对之作一些修改或改进，这对本领域技术人员而言是显而易见的。因此，在不偏离本发明精神的基础上所做的这些修改或改进，均属于本发明要求保护的范围。

Claims (10)

1.一种网络协议分析系统，用于分析网络协议，其特征在于，所述网络协议分析系统包括：

网卡侦听模块，所述网卡侦听模块用于对网卡进行侦听；

逐层递归解析模块，所述逐层递归解析模块用于对侦听的网卡的数据包进行抓取，并通过逐层递归解析方法解析抓取的数据包的每层的每个字段。

2.如权利要求1所述的网络协议分析系统，其特征在于，所述网络协议分析系统进一步包括：

系统应用信息获取模块，所述系统应用信息获取模块用于获取进程信息并根据进程信息抓取数据包；

流量监测模块，所述流量监测模块用于检测系统应用信息获取模块所述抓取的数据包的流量。

3.如权利要求2所述的网络协议分析系统，其特征在于，所述网络协议分析系统进一步包括：

数据包统计模块，所述数据包统计模块用于获取所述逐层递归解析模块抓取的数据包，并统计所获取的数据包的数据包类型。

4.如权利要求3所述的网络协议分析系统，其特征在于，所述网络协议分析系统进一步包括：

伪装数据包构造模块，所述伪装数据包构造模块用于构造伪装数据包；

发送模块，所述发送模块用于发送伪装数据包。

5.如权利要求4述的网络协议分析系统，其特征在于，所述网卡侦听模块包括：

网卡识别模块，所述网卡识别模块用于识别主机可用网卡名称与物理地址；

网卡选择模块，所述网卡选择模块用于通过网卡名称选择特定网卡或全部网卡；

侦听模块，所述侦听模块用于对选择的网卡进行侦听。

6.如权利要求5所述的网络协议分析系统，其特征在于，所述逐层递归解析模块包括：

抓取模块，所述抓取模块用于抓取流经网卡的数据包；

递归解析模块，所述递归解析模块用于从物理层开始，由数据链路层、网络层、传输层至应用层，逐层递归解析数据包载荷内容，直至载荷为空。

7.如权利要求6述的网络协议分析系统，其特征在于，所述系统应用信息获取模块包括：

进程获取模块，所述进程获取模块用于获取有网络连接的进程信息，包括进程名字和进程对应的连接信息；

应用数据包获取模块，所述应用数据包获取模块用于根据进程信息抓取数据包。

8.如权利要求7所述的网络协议分析系统，其特征在于，所述流量监测模块包括：

监测进程选择模块，所述监测进程选择模块用于选择所需监测进程，查看进程建立连接情况与网络传输速率。

9.如权利要求8所述的网络协议分析系统，其特征在于，所述数据包统计模块包括：

报文类型统计模块，所述报文类型统计模块用于按照报文类型特征对数据包分类统计；

IP协议类型分类模块，所述IP协议类型分类模块用于按照IP协议类型特征对数据包分类统计。

10.如权利要求9所述的网络协议分析系统，其特征在于，所述伪装数据包构造模块包括：

报文构造模块，所述报文构造模块用于构造ARP、ICMP、IP、TCP、UDP报文；

报文发送方式选择模块，所述报文发送方式选择模块用于选择send()、sendp()、sr()、srl()、srloop()五种方式中的一种方式发送报文。

Images