CN112751833B

CN112751833B - Rtp报文识别方法、装置、电子设备及可读存储介质

Info

Publication number: CN112751833B
Application number: CN202011543502.0A
Authority: CN
Inventors: 孔令琪
Original assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Current assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Priority date: 2020-12-23
Filing date: 2020-12-23
Publication date: 2023-01-10
Anticipated expiration: 2040-12-23
Also published as: CN112751833A

Abstract

本申请提供一种RTP报文识别方法、装置、电子设备及可读存储介质，涉及通信技术领域。该方法根据报文的报文信息判断报文是否为疑似RTP报文，然后根据已记录的RTP报文的统计信息来进一步识别疑似RTP报文，从而可确保在对多路媒体码流数据进行传输时，能准确识别出通道中传输的RTP报文，进而可对RTP报文进行有效管控。

Description

RTP报文识别方法、装置、电子设备及可读存储介质

技术领域

本申请涉及通信技术领域，具体而言，涉及一种RTP报文识别方法、装置、电子设备及可读存储介质。

背景技术

随着网络环境的飞速发展，视频监控和电话会议等实时音视频传输的应用广泛存在于人们的生活与工作场景中。实时音视频传输过程中的视频、音频数据大多是基于实时传输协议(Real-Time Transport Protocol，RTP)传输的，其可以提供时间信息和实现流同步，主要提供负载类型标识、顺序编号、时间定位和传输监控等服务。

为了能够对网络中传输的媒体流信息进行有效的管理和控制，需要对网络中传输的媒体流信息进行识别，即识别出网络中传输的RTP报文。现有识别RTP报文识别的方法是通过识别报文中的同步信源标识符(Synchronization Source，SSRC)是否与历史接收到的RTP报文中的SSRC相同，若相同则确定该报文是RTP报文，但是这种方式只能对同一路媒体流信息进行识别，而无法对多路传输的媒体流信息进行识别，从而无法准确判断出网络中传输的RTP报文。

发明内容

本申请实施例的目的在于提供一种RTP报文识别方法、装置、电子设备及可读存储介质，用以改善现有技术中的识别方式无法对多路媒体流信息中的RTP报文进行准确识别的问题。

第一方面，本申请实施例提供了一种RTP报文识别方法，所述方法包括：

接收RTP通道传输的待识别报文，其中，所述RTP通道用于传输多路媒体码流数据；

对所述待识别报文进行解析，获取所述待识别报文的报文信息；

基于所述报文信息判断所述待识别报文是否为疑似RTP报文；

若是，则根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文；其中，所述记录信息包括对已接收的RTP报文的统计信息。

在上述实现过程中，先根据报文的报文信息判断报文是否为疑似RTP报文，然后根据已记录的RTP报文的统计信息来进一步识别疑似RTP报文，从而可确保在对多路媒体码流数据进行传输时，能准确识别出通道中传输的RTP报文，进而可对RTP报文进行有效管控。

可选地，所述统计信息包括针对每路媒体码流数据的RTP报文的统计记录，所述报文信息包括同步信源标识SSRC，所述根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文，包括：

在多条统计记录中查找是否有与所述SSRC相同的目标SSRC，其中，目标统计记录中包括所述目标SSRC；

若是，则根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文。

在上述实现过程中，先基于SSRC判断疑似报文是否为RTP报文，在有相同的SSRC报文时，再根据其他报文信息继续判断，从而可进一步提高RTP报文的识别精度。

可选地，所述其他的报文信息包括有效载荷类型，所述根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文，包括：

判断所述有效载荷类型是否与所述目标统计记录中的目标有效载荷类型相同；

若否，则确定所述疑似RTP报文不是RTP报文。

在上述实现过程中，通过结合有效载荷类型来进一步对疑似RTP报文进行识别，可进一步准确识别出RTP报文。

可选地，所述其他的报文信息包括有效载荷类型、序列号和时间戳，所述根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文，还包括：

若是，则判断所述序列号与所述时间戳是否均大于或小于所述目标统计记录中的目标序列号和目标时间戳；

若所述序列号与所述时间戳均未大于或小于所述目标序列号和所述目标时间戳，则确定所述疑似RTP报文不是RTP报文。

在上述实现过程中，考虑到网络不稳定等因素导致报文乱序的问题，联合序列号与时间戳对疑似RTP报文进行进一步识别，可进一步提高识别RTP报文准确性。

可选地，所述判断所述序列号与所述时间戳是否均大于或小于所述目标统计记录中的目标序列号和目标时间戳之后，还包括：

若判断所述序列号与所述时间戳均大于或小于所述目标统计记录中的目标序列号和目标时间戳，则将所述目标统计记录中的目标序列号更新为所述序列号以及将所述目标时间戳更新为所述时间戳；

将所述目标统计记录对应的计数器加1。

在上述实现过程中，通过对序列号以及时间戳、计数器进行更新，可便于后续对接收到的报文进行准确的识别。

可选地，在多条统计记录中查找是否有与所述SSRC相同的目标SSRC之后，还包括：

在所述多条统计记录中没有与所述SSRC相同的目标SSRC，则判断所述多条统计记录的记录条数是否达到预设数量，所述预设数量为所述多路媒体码流数据的码流路数；

若是，则确定所述疑似RTP报文不是RTP报文。

在上述实现过程中，在没有与SSRC相同的统计记录时，这样可在根据SSRC无法识别出RTP报文时结合记录条数来进一步识别。

可选地，所述判断所述多条统计记录的记录条数是否达到预设数量之后，还包括：

若所述多条统计记录的记录条数未达到预设数量，则将所述多条统计记录中添加新的统计记录，所述新的统计记录中包括所述报文信息中的SSRC。

在上述实现过程中，添加新的统计记录，以便于可以对统计记录进行更新，使得可以对后续接收到的报文进行有效识别。

可选地，所述根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文，包括：

在所述报文信息与多条统计记录中的目标统计记录中的记录信息匹配时，获取所述目标统计记录对应的计数器的值，所述计数器用于对匹配上所述目标统计记录的RTP报文进行计数；

在所述计数器的值大于预设阈值时，确定所述疑似RTP报文是RTP报文；

在所述计数器的值小于或等于所述预设阈值时，确定所述疑似RTP报文不是RTP报文。

在上述实现过程中，结合计数器可提高对RTP报文识别的准确度。

可选地，所述报文信息包括报文载荷长度、源端口号和目的端口号，所述基于所述报文信息判断所述待识别报文是否为疑似RTP报文，包括：

在所述报文信息满足预设条件时，确定所述待识别报文为疑似RTP报文；

其中，所述预设条件包括：所述报文载荷长度小于预设长度、所述源端口号或目的端口号小于预设值；或者所述预设条件包括：所述报文载荷长度小于预设长度，所述源端口号或目的端口号与发起媒体码流数据对应的端口号相同。

可选地，所述报文信息还包括版本号，所述预设条件还包括所述版本号为预设值。

在上述实现过程中，通过预先基于报文信息对待识别报文进行初步识别，从而可以在确定待识别报文不是RTP报文时，无需再进行后续的判断，以减少不必要的判断流程。

第二方面，本申请实施例提供了一种RTP报文识别装置，所述装置包括：

报文接收模块，用于接收RTP通道传输的待识别报文，其中，所述RTP通道用于传输多路媒体码流数据；

报文解析模块，用于对所述待识别报文进行解析，获取所述待识别报文的报文信息；

初步判断模块，用于基于所述报文信息判断所述待识别报文是否为疑似RTP报文；

再次判断模块，用于若待识别报文为疑似RTP报文，则根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文；其中，所述记录信息包括对已接收的RTP报文的统计信息。

可选地，所述统计信息包括针对每路媒体码流数据的RTP报文的统计记录，所述报文信息包括同步信源标识SSRC，所述再次判断模块，用于在多条统计记录中查找是否有与所述SSRC相同的目标SSRC，其中，目标统计记录中包括所述目标SSRC；若是，则根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文。

可选地，所述其他的报文信息包括有效载荷类型，所述再次判断模块，用于判断所述有效载荷类型是否与所述目标统计记录中的目标有效载荷类型相同；若否，则确定所述疑似RTP报文不是RTP报文。

可选地，所述其他的报文信息包括有效载荷类型、序列号和时间戳，所述再次判断模块，用于判断所述有效载荷类型是否与所述目标统计记录中的目标有效载荷类型相同；若是，则判断所述序列号与所述时间戳是否均大于或小于所述目标统计记录中的目标序列号和目标时间戳；若所述序列号与所述时间戳均未大于或小于所述目标序列号和所述目标时间戳，则确定所述疑似RTP报文不是RTP报文。

可选地，所述再次判断模块，用于若判断所述序列号与所述时间戳均大于或小于所述目标统计记录中的目标序列号和目标时间戳，则将所述目标统计记录中的目标序列号更新为所述序列号以及将所述目标时间戳更新为所述时间戳；将所述目标统计记录对应的计数器加1。

可选地，所述再次判断模块，用于在所述多条统计记录中没有与所述SSRC相同的目标SSRC，则判断所述多条统计记录的记录条数是否达到预设数量，所述预设数量为所述多路媒体码流数据的码流路数；若是，则确定所述疑似RTP报文不是RTP报文。

可选地，所述再次判断模块，用于若所述多条统计记录的记录条数未达到预设数量，则将所述多条统计记录中添加新的统计记录，所述新的统计记录中包括所述报文信息中的SSRC。

可选地，所述再次判断模块，用于在所述报文信息与多条统计记录中的目标统计记录中的记录信息匹配时，获取所述目标统计记录对应的计数器的值，所述计数器用于对匹配上所述目标统计记录的RTP报文进行计数；在所述计数器的值大于预设阈值时，确定所述疑似RTP报文是RTP报文；在所述计数器的值小于或等于所述预设阈值时，确定所述疑似RTP报文不是RTP报文。

可选地，所述报文信息包括报文载荷长度、源端口号和目的端口号，所述初步判断模块，用于在所述报文信息满足预设条件时，确定所述待识别报文为疑似RTP报文；

第三方面，本申请实施例提供一种电子设备，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如上述第一方面提供的所述方法中的步骤。

第四方面，本申请实施例提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时运行如上述第一方面提供的所述方法中的步骤。

本申请的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种用于执行RTP报文识别方法的电子设备的结构示意图；

图2为本申请实施例提供的一种RTP报文识别方法的流程图；

图3为本申请实施例提供的一种RTP报文的报文格式示意图；

图4为本申请实施例提供的另一种RTP报文识别方法的流程图；

图5为本申请实施例提供的一种RTP报文识别装置的结构框图。

具体实施方式

下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述。

本申请实施例提供一种RTP报文识别方法，其通过对用于传输多路媒体码流数据的RTP通道传输的报文进行识别，并先根据报文的报文信息判断报文是否为疑似RTP报文，然后根据已记录的RTP报文的统计信息来进一步识别疑似RTP报文，从而可确保在RTP通道中混入攻击报文时能准确识别出通道中传输的RTP报文，进而可对RTP报文进行有效管控。

请参照图1，图1为本申请实施例提供的一种用于执行RTP报文识别方法的电子设备的结构示意图，所述电子设备可以包括：至少一个处理器110，例如CPU，至少一个通信接口120，至少一个存储器130和至少一个通信总线140。其中，通信总线140用于实现这些组件直接的连接通信。其中，本申请实施例中设备的通信接口120用于与其他节点设备进行信令或数据的通信。存储器130可以是高速RAM存储器，也可以是非易失性的存储器(non-volatile memory)，例如至少一个磁盘存储器。存储器130可选的还可以是至少一个位于远离前述处理器的存储装置。存储器130中存储有计算机可读取指令，当所述计算机可读取指令由所述处理器110执行时，电子设备执行下述图2所示方法过程，例如，存储器130可用于存储对已接收的RTP报文的统计信息，处理器110可用于对每个接收到的报文进行识别。

可以理解，图1所示的结构仅为示意，所述电子设备还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。图1中所示的各组件可以采用硬件、软件或其组合实现。

请参照图2，图2为本申请实施例提供的一种RTP报文识别方法的流程图，该方法包括如下步骤：

步骤S110：接收RTP通道传输的待识别报文。

本申请适用于多路复用的应用场景，当然也适用于只有一路媒体码流数据传输的场景。本申请实施例中，RTP通道用于传输多路媒体码流数据，多路媒体码流数据是指包括至少两路媒体码流数据。该媒体码流数据是指音频码流数据或视频码流数据等，其媒体码流数据之间的连接通常为RTP连接，例如，在视频监控或电话会议中，将实时的音频码流和视频码流数据通过同一个网络连接，即同一条RTP通道进行传输，这种情况下即实现了多路复用。

上述的电子设备可以是指网关设备、防火墙等，为了避免不法人员通过攻击报文对网络连接进行攻击，为了确保网络连接的安全，电子设备需要对该网络连接中传输的报文进行识别，即识别其报文是RTP报文还是攻击报文。对于接收到的报文是RTP报文时，电子设备可将其RTP报文顺利转发出去，但是在接收到的报文不是RTP报文时，则其可能是攻击报文，则电子设备可将该报文提交给后台终端进行进一步攻击报文的识别，或者电子设备直接将该报文丢弃，从而可避免攻击报文对网络连接产生攻击，确保了网络安全。

当然，在其他应用场景下，电子设备也可以对识别出的RTP报文进行其他管控处理，如对RTP报文进行计数，以判断终端设备发出的RTP报文是否与电子设备统计的RTP报文的数量相同，若不相同时，则可对网络传输过程进行故障排查，以排查是否是网络传输出现了故障等情况。可以理解地，在其他应用场景下，其对RTP报文进行识别还有其他的应用，在此不一一举例说明。

上述待识别报文可以是指电子设备接收到的待处理报文，其可以理解为是电子设备接收到的其中一个报文，电子设备对于接收到的每个报文的识别方法均相同，本申请实施例中以其中一个报文为例进行说明。电子设备为了对报文进行安全转发，需要先对待识别报文进行识别。

步骤S120：对所述待识别报文进行解析，获得所述待识别报文的报文信息。

电子设备接收到的待识别报文可能是经过封装后的报文，电子设备在接收到待识别报文后，若待识别报文为封装报文，则可先对待识别报文进行解封装，解封装后可获得该报文所携带的外层报文信息，然后再对报文进行解析，获得该待识别报文所携带的内层报文信息，总之对报文进行解析可获得待识别报文的报文信息。

例如，对于RTP报文来说，其所携带的报文信息包括IP报头、UDP报头，UDP的负载部分包括RTP分组，UDP的用户数据部分包括UDP报头和UDP数据区部分。UDP报头由四个16位长字段组成，分别表示该报文的源端口、目的端口、报文长度以及校验值。

其中，RTP报文由两部分组成，报头和RTP有效载荷，RTP报头具有固定报文格式，为12字节，其报文格式如图3所示，其各字段含义如下：

V(Version)：RTP版本号，占2位，当前协议版本号为2；

P(Padding)：填充标志，占1位。RTP报文的长度是字节的整数倍，如果在生成报文时长度不是字节的整数倍，则在报文结尾填充位以补齐为整数倍。当此位置P＝1时，表示报文结尾有字节补齐，否则表示没有；

X(Extend)：扩展标志，占1位，如果X＝1，则在RTP报头后跟有一个扩展报头，否则只含有固定头；

CC(CSRC Count)：CSRC计数器，占4位，指示CSRC标识符的个数，取值为0到15；

M(Marker)：标记位，占1位，不同的有效载荷有不同的含义，对于视频，标记一帧的结束；对于音频，标记会话的开始；

PT(Payload Type)：有效载荷类型，占7位，用于说明RTP报文中有效载荷的类型；

SN(Sequence Number)：序列号，占16位，用于标识发送者所发送的RTP报文的序列号，每发送一个报文，序列号增1；

Timestamp：时间戳：占32位，时间戳反映了该RTP报文的第一个八位组的采样时刻；

SSRC：同步信源标识符，占32位，用于标识同步信源。该标识符是随机选择的，参加同一视频会议的两个同步信源不能有相同的SSRC；

CSRC(Contributing Source)：特约信源标识符，每个CSRC标识符占32位，可以有0～15个。

若待识别报文为真实的RTP报文时，则可以从待识别报文中识别出上述报文信息。当然，若待识别报文为其他报文时，其识别的报文信息可能不包含上述的信息，所以可以基于报文信息来初步判断待识别报文是否为RTP报文。

步骤S130：基于所述报文信息判断所述待识别报文是否为疑似RTP报文。

在一些实施方式中，在获得待识别报文的报文信息后，可基于报文信息对待识别报文进行识别，如可先判断待识别报文的报文信息是否为RTP报文的标准报文信息，即待识别报文的报文信息是否包含上述所示的RTP报文的报文信息，若是的话，可初步识别该待识别报文为疑似RTP报文，反之，则认为该待识别报文不是RTP报文。在确定待识别报文不是RTP报文时，可将待识别报文提交给后台终端进行攻击报文的识别等，或者直接将待识别报文丢弃。而若待识别报文为疑似RTP报文时，则可将疑似RTP报文继续进行识别，以进一步识别RTP报文是否为真正的RTP报文。

步骤S140：根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文，其中，所述记录信息包括对已接收的RTP报文的统计信息。

若上述判断待识别报文为疑似RTP报文后，则可继续根据报文信息来识别疑似RTP报文是否为真正的RTP报文。

其中，为了准确识别RTP报文，电子设备可将已接收的并且已识别出的RTP报文的统计信息进行记录，其统计信息可以是指针对每路媒体码流数据中的RTP报文的统计信息。这样可将待识别报文的报文信息与统计信息进行匹配，从而可在媒体码流数据的多路复用场景下进一步对疑似RTP报文进行准确识别。

在一些实施方式中，统计信息可以包括针对每路媒体码流数据的RTP报文的统计记录，待识别报文的报文信息包括上述的同步信源标识SSRC，则在对疑似RTP报文进行进一步识别时，可以在多条统计记录中查找是否有与报文信息中的SSRC相同的目标SSRC，目标统计记录中包括该目标SSRC，若是，则可根据其他的报文信息与目标统计记录中的其他记录信息识别来识别疑似RTP报文是否为RTP报文。

其中，统计信息中包括多条统计记录，每条统计记录中均包括SSRC，比如第一条统计记录中包括SSRC₁，第二条统计记录中包括SSRC₂，第三条统计记录中包括SSRC₃，若此时统计信息包括三条统计记录，在进行查找时，可以将报文信息中的SSRC分别与SSRC₁、SSRC₂、SSRC₃进行比对，若经过比对，SSRC与SSRC₂相同时，则SSRC₂即为上述的目标SSRC，第二条统计记录即为上述的目标统计记录。

电子设备在进行存储统计信息时，可以是将统计记录按照表格的格式进行存储的，每一行表示一条统计记录，每一列表示一个统计元素，在进行查找时，电子设备可对表格从上到下或从下到上进行遍历，以依次查找每条统计记录中的SSRC与报文信息中的SSRC进行比对，在比对一致时，则无需继续查找剩余的统计记录，相比于提取全部统计记录中的SSRC后再进行依次比对的方式，该方式可以减少信息查询的查询量。

其中，其统计信息的统计格式如下表所示：

序号1	SSRC<sub>1</sub>	PT<sub>1</sub>	SN<sub>1</sub>	Timestamp<sub>1</sub>	Cnt<sub>1</sub>
						序号2	SSRC<sub>2</sub>	PT<sub>2</sub>	SN<sub>2</sub>	Timestamp<sub>2</sub>	Cnt<sub>2</sub>
……	……	……	……	……	……
						序号n	SSRC<sub>n</sub>	PT<sub>n</sub>	SN<sub>n</sub>	Timestamp<sub>n</sub>	Cnt<sub>n</sub>

其中，每条统计记录中包含的信息可包括有SSRC、PT、SN、Timestamp以及每条统计记录的命中次数Cnt，其目标统计记录中的其他记录信息则包括除目标SSRC之前的其他信息。当然，对于统计信息，在实际应用中，其还可以包括其他更多的信息，上述并未全部列举出。

由于某些攻击报文很容易对SSRC进行更改，则即使SSRC报文相同时，也无法判断该待识别报文是否为真正的RTP报文，所以，还可以结合其他的报文信息进行进一步判断。

在一些实施方式中，其他的报文信息可以包括有效载荷类型，即上述的PT，这样可以进一步判断有效载荷类型是否与目标统计记录中的目标有效载荷类型相同，若否，则确定疑似RTP报文不是RTP报文。

例如，目标统计记录为上述举例中的第二条统计记录，第二条统计记录中的记录信息还包括有目标载荷类型，在报文信息中的SSRC与该统计记录中的目标SSRC相同时，表明该统计记录所记录的RTP报文与待识别报文来自与同一路媒体码流数据，而对于同一路媒体码流数据，其有效载荷类型应该也相同，如均为全球移动通信系统(Global Systemfor Mobile communication，GSM)音频类型，所以，还可以比较报文信息中的有效载荷类型与该目标统计记录中的目标有效载荷类型是否相同，如比较报文信息中的PT与上述第二条统计记录中的PT₂是否相同，若不相同，则可确定疑似RTP报文不是RTP报文。

在一些实施方式中，在报文信息中的有效载荷类型与目标统计记录中的目标有效载荷类型相同时，此时还不能直接确定疑似RTP报文就是RTP报文，为了进一步识别，还可以获取报文信息中的序列号SN和时间戳来进一步进行比对，即若其他的报文信息还包括有序列号和时间戳时，则可判断序列号与时间戳是否均大于或小于目标统计记录中的目标序列号和目标时间戳，若否，则确定疑似RTP报文不是RTP报文。

例如，将报文信息中的SN与上述第二条统计记录中的SN₂进行比较，以及将报文信息中的Timestamp与第二条统计记录中的Timestamp₂进行比较，由于序列号与时间戳是同时递增或同时递减的关系，即在上一时刻发出的报文的序列号要小于下一时刻发出的报文的序列号，所以，若在SN小于SN2且Timestamp大于Timestamp2时，或者SN大于SN2且Timestamp小于Timestamp2时，则确定疑似RTP报文不是RTP报文。

由于每条统计记录中的SN和Timestamp是随着接收的RTP报文中的SN和Timestamp进行更新的，所以，此时在进行比较时，其第二条统计记录中统计的是上一个接收的RTP报文的SN和Timestamp，通过将SN和Timestamp进行比较，则可以识别出伪造的RTP报文。

在一些实施方式中，为了便于后续报文的识别，在判断序列号与时间戳均大于或小于目标统计记录中的目标序列号和目标时间戳，则将目标统计记录中的目标序列号更新为序列号以及将目标时间戳更新为报文信息中的时间戳，并将目标统计记录对应的计数器加1。

例如，在报文信息中的SN大于上述的SN₂且Timestamp大于上述的Timestamp₂，或者SN小于SN₂且Timestamp小于Timestamp₂，则可将第二条统计记录中的SN₂的值更新为报文信息中的SN，Timestamp₂的值更新为报文信息中的Timestamp。如报文信息中的SN为1003，Timestamp为2020.3.5，14:35:36，第二条统计记录中的SN₂为1002，Timestamp₂为2020.3.5，14:34:28，此时则将SN₂更新为1003，Timestamp₂更新为2020.3.5，14:35:36，其计数器Cnt₂原来若为6，此时加1则更新为7。

在更新计数器后，为了进一步对疑似RTP报文进行准确识别，降低误判的概率，还可以结合计数器来进一步对疑似RTP报文进行识别，如在目标统计记录中的计数器的值大于预设阈值时，则可确定疑似RTP报文为RTP报文，否则，则疑似RTP报文不是RTP报文。也就是说只有连续接收到的多个报文都无法排除不是RTP报文的情况下，才确定该报文为RTP报文，从而可以降低RTP报文不能被正确识别的概率。

在一些实施方式中，若上述多条统计记录中没有与报文信息中的SSRC相同的目标SSRC时，此次接收到的待识别报文可能来自于不同于统计记录中的媒体码流数据，由于不同媒体码流数据对应的SSRC不同，所以，其统计记录的数量与RTP通道中的媒体码流数据的路数相关。为了对疑似RTP报文进行进一步识别，还可以判断多条统计记录的记录条数是否达到预设数量，该预设数量为多路媒体码流数据的码流路数，若是，则确定疑似RTP报文不是RTP报文。

举例来说，在多路媒体码流数据的码流路数为3路时，则统计信息中应该最多包括三条统计记录，即预设数量则为3，每条统计记录中的SSRC对应每路媒体码流数据的SSRC。若此时电子设备中存储的统计信息中包括两条统计记录，此时待识别报文的SSRC与这两条统计记录中的SSRC均不相同，而此时记录条数为2，并未达到预设数量，则可先确定该待识别报文来自第三路媒体码流数据，其是RTP报文，然后可将该待识别报文的相关报文信息记录在统计信息中，即在多条统计记录的记录条数未达到预设数量时，可将多条统计记录中添加新的统计记录，新的统计记录可包括待识别报文的报文信息，如SSRC等信息。如可以在上述表中新增一行用于记录新的统计记录。

但是，在记录条数未达到预设数量，且报文信息中的SSRC与已记录的SSRC均不相同时，此时可能无法直接判断疑似RTP报文是否为RTP报文，则还可以结合待识别报文所携带的其他报文信息来判断。或者，在终端设备在发出RTP报文之前，可先将报文中封装相应的标识，该标识用于表征RTP报文，而为了避免该标识被非法人员获取而进行RTP报文的伪造，则对报文标记对应的标识之前，还可以对标识进行加密后再进行封装，如终端设备获得原始标识，然后利用相关的加密算法对原始标识进行加密，然后再对报文封装加密标识，电子设备在接收到报文后可获得加密标识，可将本地存储的表征RTP报文的标识按照同样的加密算法进行加密，获得加密标识，然后将该加密标识与报文中的加密标识进行比对，若比对一致，则确定该待识别报文为RTP报文。

也就是说，在无法直接对疑似RTP报文进行识别时，还可以结合加密标识进一步对疑似RTP报文进行识别，当然，利用加密标识识别的方式可以与本申请实施例中任何一种识别方式进行结合来对疑似RTP报文进行识别，以进一步提高识别准确性。

而若在电子设备所存储的统计记录条数为3时，此时待识别报文中的SSRC与3条统计记录中的SSRC均不相同时，则认为该疑似RTP报文不是RTP报文，其可能是伪造的攻击报文，对于该报文电子设备可作其他处理。

在一些实施方式中，上述识别RTP报文的过程中，还可以结合计数器对疑似RTP报文进行识别，其识别过程为：在报文信息与多条统计记录中的目标统计记录中的记录信息匹配时，则获取目标统计记录对应的计数器的值，该计数器用于对匹配上目标统计记录的RTP报文进行计数，在计数器的值大于预设阈值时，则确定疑似RTP报文是RTP报文。

例如，初始时，每条统计记录对应的计数器的值均为0，接收到命中某条统计记录的报文后，则将统计记录对应的计数器加1，然后再将计数器的值与预设阈值进行比较，计数器的值小于或等于预设阈值，则认为该疑似RTP报文不是RTP报文，在计数器的值大于预设阈值时，则认为该疑似RTP报文是RTP报文，此时将计数器的值重新置为0，然后由重新开始计数。

其中，预设阈值设置得越大其对RTP报文识别的结果则越准确，但是其预设阈值设置得过大时，会增加累计计数次数，所以，可以根据实际需求灵活设置对应的预设阈值。

在上述实施例的基础上，上述先基于报文信息判断待识别报文是否为疑似RTP报文的过程中，可以将报文信息中的报文载荷长度、源端口号和目的端口号，这些信息为RTP报文的基本信息，所以可以先基于这些信息对待识别报文进行一个初始判断，其判断方式为：在报文信息满足预设条件时，确定待识别报文为疑似RTP报文，其中预设条件包括：报文载荷长度小于预设长度、源端口号或目的端口号小于预设值，或是预设条件包括：报文载荷长度小于预设长度，源端口号或目的端口号与发起媒体码流数据对应的端口号相同。

其中，RTP报文是以UDP报文形式进行传输的，所以可以对待识别报文进行解析后，判断待识别报文中的报文载荷长度是否小于12字节(预设长度即为12)，该12字节为UDP报文的最小报文载荷长度，其源端口号或目的端口号是否小于预设值，该预设值可以是指通用端口号1024，或者判断源端口号或目的端口号与发起媒体码流数据对应的端口号是否相同，发起媒体码流数据对应的端口号是指会话初始协议所使用的端口号，如一般为5060。若报文信息满足上述的任意一个预设条件，则可确定待识别报文为疑似RTP报文，反之，则认为待识别报文不是RTP报文。

另外，报文信息还可以包括版本号，则预设条件还可以包括版本号为预设值，如TP报文的版本号一般为2，若报文信息中的版本号不是2，则认为待识别报文不是RTP报文，若版本号为2，且又满足上述任一预设条件，则认为待识别报文为疑似RTP报文。

下面针对结合多方面的信息来综合对RTP报文进行识别的过程进行介绍，如图4所示，其包括如下步骤：

步骤S210：接收并解析UDP报文。此时的UDP报文可以理解为上述的待识别报文。

步骤S220：判断UDP负载部分的长度是否小于12字节。

步骤S230：判断源端口号或者目的端口号是否小于1024。

步骤S240：判断源端口号或目的端口号与发起媒体码流数据对应的端口号是否相同。

步骤S250：报文的版本号是否为2。

步骤S260：解析获得SSRC和PT。

步骤S270：统计信息中是否有与当前报文中的SSRC一致的记录。

步骤S271：当前报文中的PT值是否与记录中的一致。

步骤S272：报文中的SN和timestamp是否同时大于或者同时小于记录中上一个报文的SN和timestamp。

步骤S273：将当前报文中的SN和timestamp更新到统计信息的对应记录中。

步骤S274：将对应的计数器加1。

步骤S275：判断计数器是否大于预设阈值。

步骤S276：判断是RTP报文。

步骤S280：统计信息中已有记录的记录条数是否达到预设数量。

步骤S281：在统计信息中新增一条统计记录。

步骤S282：将当前报文中SSRC、PT、SN、timestamp记录到新增统计记录中。

步骤S290：判定不是RTP报文。

上述各个步骤的执行顺序可参照图4中所示的流程或者参照前述实施例所描述的具体实现过程，为了描述的简洁在此不再详细描述。

本申请实施例中可以记录并识别同一条网络连接中可能承载的属于不同媒体码流的报文数据，能够在媒体码流“多路复用”时快速准确地识别RTP报文，弥补了现有RTP识别算法只能用于识别“同一条网络连接中只承载SSRC相同的RTP报文”的短板。并且，可结合多方面的信息来综合对RTP报文进行识别，从而可以准确识别出网络中传输的RTP报文，在一些应用场景下，可针对伪造的RTP报文进行识别，以确保网络安全，例如，将本申请中的RTP报文识别方法应用于网络安全设备上时，可以提升安全设备对音视频流量的识别效果，降低对RTP流量的漏报。并且，对于多路复用时的音视频媒体码流，可以精确地控制同一媒体连接中的哪些流量可以正常访问，哪些流量被拦截。

请参照图5，图5为本申请实施例提供的一种RTP报文识别装置200的结构框图，该装置200可以是电子设备上的模块、程序段或代码。应理解，该装置200与上述图2方法实施例对应，能够执行图2方法实施例涉及的各个步骤，该装置200具体的功能可以参见上文中的描述，为避免重复，此处适当省略详细描述。

可选地，所述装置200包括：

报文接收模块210，用于接收RTP通道传输的待识别报文，其中，所述RTP通道用于传输多路媒体码流数据；

报文解析模块220，用于对所述待识别报文进行解析，获取所述待识别报文的报文信息；

初步判断模块230，用于基于所述报文信息判断所述待识别报文是否为疑似RTP报文；

再次判断模块240，用于若待识别报文为疑似RTP报文，则根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文；其中，所述记录信息包括对已接收的RTP报文的统计信息。

可选地，所述统计信息包括针对每路媒体码流数据的RTP报文的统计记录，所述报文信息包括同步信源标识SSRC，所述再次判断模块240，用于在多条统计记录中查找是否有与所述SSRC相同的目标SSRC，其中，目标统计记录中包括所述目标SSRC；若是，则根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文。

可选地，所述其他的报文信息包括有效载荷类型，所述再次判断模块240，用于判断所述有效载荷类型是否与所述目标统计记录中的目标有效载荷类型相同；若否，则确定所述疑似RTP报文不是RTP报文。

可选地，所述其他的报文信息包括有效载荷类型、序列号和时间戳，所述再次判断模块240，用于判断所述有效载荷类型是否与所述目标统计记录中的目标有效载荷类型相同；若是，则判断所述序列号与所述时间戳是否均大于或小于所述目标统计记录中的目标序列号和目标时间戳；若所述序列号与所述时间戳均未大于或小于所述目标序列号和所述目标时间戳，则确定所述疑似RTP报文不是RTP报文。

可选地，所述再次判断模块240，用于若判断所述序列号与所述时间戳均大于或小于所述目标统计记录中的目标序列号和目标时间戳，则将所述目标统计记录中的目标序列号更新为所述序列号以及将所述目标时间戳更新为所述时间戳；将所述目标统计记录对应的计数器加1。

可选地，所述再次判断模块240，用于在所述多条统计记录中没有与所述SSRC相同的目标SSRC，则判断所述多条统计记录的记录条数是否达到预设数量，所述预设数量为所述多路媒体码流数据的码流路数；若是，则确定所述疑似RTP报文不是RTP报文。

可选地，所述再次判断模块240，用于若所述多条统计记录的记录条数未达到预设数量，则将所述多条统计记录中添加新的统计记录，所述新的统计记录中包括所述报文信息中的SSRC。

可选地，所述再次判断模块240，用于在所述报文信息与多条统计记录中的目标统计记录中的记录信息匹配时，获取所述目标统计记录对应的计数器的值，所述计数器用于对匹配上所述目标统计记录的RTP报文进行计数；在所述计数器的值大于预设阈值时，确定所述疑似RTP报文是RTP报文；在所述计数器的值小于或等于所述预设阈值时，确定所述疑似RTP报文不是RTP报文。

可选地，所述报文信息包括报文载荷长度、源端口号和目的端口号，所述初步判断模块230，用于在所述报文信息满足预设条件时，确定所述待识别报文为疑似RTP报文；

需要说明的是，本领域技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再重复描述。

本申请实施例提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时，执行如图2所示方法实施例中电子设备所执行的方法过程。

本实施例公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如，包括：接收RTP通道传输的待识别报文，其中，所述RTP通道用于传输多路媒体码流数据；对所述待识别报文进行解析，获取所述待识别报文的报文信息；基于所述报文信息判断所述待识别报文是否为疑似RTP报文；若是，则根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文；其中，所述记录信息包括对已接收的RTP报文的统计信息。

综上所述，本申请实施例提供一种RTP报文识别方法、装置、电子设备及可读存储介质，该方法根据报文的报文信息判断报文是否为疑似RTP报文，然后根据已记录的RTP报文的统计信息来进一步识别疑似RTP报文，从而可确保在对多路媒体码流数据进行传输时，能准确识别出通道中传输的RTP报文，进而可对RTP报文进行有效管控。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims

1.一种RTP报文识别方法，其特征在于，所述方法包括：

基于所述报文信息判断所述待识别报文是否为疑似RTP报文；

若是，则根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文；其中，所述记录信息包括对已接收的RTP报文的统计信息；

其中，所述统计信息包括针对每路媒体码流数据的RTP报文的统计记录，所述报文信息包括同步信源标识SSRC，所述根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文，包括：

若是，则根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文；

若否，则判断所述多条统计记录的记录条数是否达到预设数量，所述预设数量为所述多路媒体码流数据的码流路数；

若所述多条统计记录的记录条数达到预设数量，则确定所述疑似RTP报文不是RTP报文；

若所述多条统计记录的记录条数未达到预设数量，则获取所述疑似RTP报文中携带的加密标识，所述加密标识用于表征RTP报文；

对本地存储的表征RTP报文的标识按照对所述加密标识同样的加密算法进行加密，获得当前加密标识；

将所述当前加密标识与所述加密标识进行比对，若比对一致，则确定所述疑似RTP报文为RTP报文。

2.根据权利要求1所述的方法，其特征在于，所述其他的报文信息包括有效载荷类型，所述根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文，包括：

若否，则确定所述疑似RTP报文不是RTP报文。

3.根据权利要求1所述的方法，其特征在于，所述其他的报文信息包括有效载荷类型、序列号和时间戳，所述根据其他的报文信息与所述目标统计记录中的其他记录信息识别所述疑似RTP报文是否为RTP报文，还包括：

4.根据权利要求3所述的方法，其特征在于，所述判断所述序列号与所述时间戳是否均大于或小于所述目标统计记录中的目标序列号和目标时间戳之后，还包括：

将所述目标统计记录对应的计数器加1。

5.根据权利要求1所述的方法，其特征在于，所述判断所述多条统计记录的记录条数是否达到预设数量之后，还包括：

6.根据权利要求1所述的方法，其特征在于，所述根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文，包括：

7.根据权利要求1-6任一所述的方法，其特征在于，所述报文信息包括报文载荷长度、源端口号和目的端口号，所述基于所述报文信息判断所述待识别报文是否为疑似RTP报文，包括：

8.根据权利要求7所述的方法，其特征在于，所述报文信息还包括版本号，所述预设条件还包括所述版本号为预设值。

9.一种RTP报文识别装置，其特征在于，所述装置包括：

再次判断模块，用于若待识别报文为疑似RTP报文，则根据所述报文信息与已存储的记录信息识别所述疑似RTP报文是否为RTP报文；其中，所述记录信息包括对已接收的RTP报文的统计信息；

其中，所述统计信息包括针对每路媒体码流数据的RTP报文的统计记录，所述报文信息包括同步信源标识SSRC，所述再次判断模块，用于：

10.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1-8任一所述的方法。

11.一种可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时运行如权利要求1-8任一所述的方法。