CN113708990A

CN113708990A - 一种用于数据包的抓包及解包的方法及设备

Info

Publication number: CN113708990A
Application number: CN202110902961.1A
Authority: CN
Inventors: 刘琦; 杜军红; 葛振纲
Original assignee: Shanghai Longcheer Technology Co Ltd
Current assignee: Shanghai Longcheer Technology Co Ltd
Priority date: 2021-08-06
Filing date: 2021-08-06
Publication date: 2021-11-26
Anticipated expiration: 2041-08-06
Also published as: CN113708990B

Abstract

本申请的目的是提供一种用于数据包的抓解包的方法及设备，本申请通过确定待嗅探的设备以及所述待嗅探的设备上的网络接口；使用文件句柄传入所述待嗅探的设备，创建抓解包程序会话；对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。从而可以为后续网络应用层添加相关接口，在设备端开发抓包以及解包软件提供底层基础。

Description

一种用于数据包的抓包及解包的方法及设备

技术领域

本申请涉及计算机领域，尤其涉及一种用于数据包的抓解包的方法及设备。

背景技术

随着技术的快速发展，用户不仅可以通过移动终端浏览网页，还可以通过移动终端与其他用户之间进行网络通信，因此，移动终端不可避免地会通过网络来传输数据包。而在数据包传输过程中，很可能会出现诸如网页无法打开、信息发送失败等网络问题，为解决这些网络问题，需要对网络传输的数据包进行抓取。抓取数据包是将网络传输发送与接收的数据包进行截获、重发、编辑、转存等操作。在网络数据传输过程中，用户需要过滤出自己所需要的网络数据包，需要一种方案来进行网络数据包的过滤，以及如何准确抓取数据包并解析数据包影响网络协议层的相关接口的添加以及影响后续开发软件工作。

发明内容

本申请的一个目的是提供一种用于数据包的抓解包的方法及设备，解决现有技术中抓解包方案不便添加网络相关协议层的相关接口以及扩展开发软件的问题。

根据本申请的一个方面，提供了一种用于数据包的抓解包的方法，该方法包括：

确定待嗅探的设备以及所述待嗅探的设备上的网络接口；

使用文件句柄传入所述待嗅探的设备，创建抓解包程序会话；

对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；

根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。

可选地，使用文件句柄传入所述待嗅探的设备之前，包括：

初始化数据包抓取库。

可选地，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理之前，包括：

在数据链路层设置旁路处理，在所述旁路处理中设置过滤规则集合，并对所述过滤规则集合进行编译，其中，所述网络接口接收所述数据链路层所发送的网络数据包。

可选地，所述旁路处理中设置过滤规则集合，并对所述过滤规则集合进行编译，包括：

在所述旁路处理中将过滤规则集合设置于目标字符串内，并将含有过滤规则集合的字符串进行转换，转换为网络数据包的目标格式；

调用抓解包程序内部的函数对在所述目标字符串内的过滤规则集合进行编译。

可选地，所述方法包括：

通知所述数据包抓取库使用编译后的过滤规则集合。

可选地，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理，包括：

使用所述数据包抓取库对发送至所述网络接口的每一个网络数据包调用包解析函数，使用所述包解析函数对接收到的网络数据包进行包解析；

对包解析出的数据使用编译后的过滤规则集合进行过滤处理，得到目标数据。

可选地，使用所述包解析函数对接收到的网络数据包进行包解析，包括：

使用所述包解析函数解析接收到的网络数据包的上层协议信息，并打印出解析结果；

将所述解析结果保存为结果文件。

根据本申请另一个方面，还提供了一种用于数据包的抓解包的设备，该设备包括：

嗅探装置，用于确定待嗅探的设备以及所述待嗅探的设备上的网络接口；

创建装置，用于使用文件句柄传入所述待嗅探的设备，创建抓解包程序会话；

抓解包处理装置，用于对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；

确定装置，用于根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。

根据本申请又一个方面，还提供了一种用于数据包的抓解包的设备，所述设备包括：

一个或多个处理器；以及

存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如前述所述方法的操作。

根据本申请再一个方面，还提供了一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现如前述所述的方法。

与现有技术相比，本申请通过确定待嗅探的设备以及所述待嗅探的设备上的网络接口；使用文件句柄传入所述待嗅探的设备，创建抓解包程序会话；对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。从而可以为后续网络应用层添加相关接口，在设备端开发抓包以及解包软件提供底层基础。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1示出根据本申请的一个方面提供的一种用于数据包的抓解包的方法流程示意图；

图2示出本申请一实施例中包捕获机制的示意图；

图3示出根据本申请另一个方面提供的一种用于数据包的抓解包的设备的结构示意图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本申请作进一步详细描述。

在本申请一个典型的配置中，终端、服务网络的设备和可信方均包括一个或多个处理器(例如中央处理器(Central Processing Unit，CPU))、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RandomAccess Memory，RAM)和/或非易失性内存等形式，如只读存储器(Read Only Memory，ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(Phase-Change RAM，PRAM)、静态随机存取存储器(Static Random Access Memory，SRAM)、动态随机存取存储器(Dynamic RandomAccess Memory，DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、数字多功能光盘(Digital Versatile Disk，DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。

图1示出根据本申请的一个方面提供的一种用于数据包的抓解包的方法流程示意图，该方法包括：步骤S11～S14，其中，步骤S11，确定待嗅探的设备以及所述待嗅探的设备上的网络接口；步骤S12，使用文件句柄传入所述待嗅探的设备，创建抓解包程序会话；步骤S13，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；步骤S14，根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。从而可以为后续网络应用层添加相关接口，在设备端开发抓包以及解包软件提供底层基础。

具体地，步骤S11，确定待嗅探的设备以及所述待嗅探的设备上的网络接口；在此，首先确定需要嗅探的设备，即确定待嗅探的设备，并决定该设备上哪一个网络接口需要进行嗅探，其中，设备可为移动终端，在本申请实施例中，使用安卓(Android)系统的移动终端，确定在Android端的抓解包机制。

具体地，步骤S12，使用文件句柄传入所述待嗅探的设备，创建抓解包程序会话；在此，待嗅探的设备为需要进行网络传输的设备，需要嗅探到网络数据包，确定出该设备后，比如设备A，则使用文件句柄传入到设备A中，从而可以唯一识别打开文件，从该文件中读取数据；将文件句柄传入待嗅探的设备后，待嗅探的设备即成为一个文件句柄；创建当前网络传输的当前会话，即创建抓解包程序会话，在该会话中利用抓解包程序对接收到的网络数据包进行抓包和解包步骤。

具体地，步骤S13，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；在此，网络接口接收网络数据包，对接收到的网络数据包使用编译后的过滤规则集合进行抓解包处理，该编译后的过滤规则集合为用户根据具体应用场景进行自定义的，放置在抓解包程序中，以便对网络接口接收到的网络数据包进行逐一匹配，匹配成功则让网络数据包进行传输，匹配不成功则丢弃。

具体地，步骤S14，根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。在此，抓解包处理是对网络数据包进行抓包和解包，根据抓包和解包后确定所需的数据包，即目标数据包，将该目标数据包进行传输，并关闭当前的抓解包程序会话。

在本申请一实施例中，使用文件句柄传入所待嗅探的设备之前，进行初始化数据包抓取库。在此，进行网络数据包的传输时，需要定义网络数据包所需要的数据格式，如是tcp数据还是udp数据，因此需要先初始化所需格式的网络数据包，在抓解包程序中初始化数据包抓取库，比如初始化pcap，pcap为抓包系统提供了一个高层次的接口，所有网络上的数据包，通过该pacp都可以捕获，也可以将捕获到的数据包保存为本地文件和从本地文件读取信息。

在本申请一实施例中，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理之前，在数据链路层设置旁路处理，在所述旁路处理中设置过滤规则集合，并对所述过滤规则集合进行编译，其中，所述网络接口接收所述数据链路层所发送的网络数据包。在此，在本申请实施例中，可在libpcap的包捕获机制基础上使用本申请所述的抓解包方案，如图2所示，在数据链路层加一个旁路处理，当一个数据包到达网络接口时，libpcap首先利用链路层套接字类型从链路层驱动程序中获得该数据包的拷贝，随后将数据包发送给伯克利包过滤机制(BSD Packet Filter，BPF)过滤器，BPF过滤器根据用户已经定义好的过滤规则对数据包进行逐一匹配，匹配成功则放入内核缓冲区，并传递给用户缓冲区，匹配失败则直接丢弃。本申请是在安卓的本地框架层(native)提供一种自定义抓包以及过滤网络数据包的方案，是在初始化pcap后，使用文件句柄传入需要嗅探的设备，同时可支持多个设备的嗅探；随后进行设置BPF，创建过滤规则集合，编译并且使用该过滤规则集合。需要说明的是，libpcap为数据库捕获函数库，是Unix、Linux平台下的网络数据包捕获函数库，独立于系统的用户层数据包捕获的应用接口，为底层网络监测提供一个可移植的框架。

接上述实施例，在所述旁路处理中将过滤规则集合设置于目标字符串内，并将含有过滤规则集合的字符串进行转换，转换为网络数据包的目标格式；调用抓解包程序内部的函数对在所述目标字符串内的过滤规则集合进行编译。在此，使用图2所述的机制时，在旁路处理中设置本申请设计的过滤规则集合，将过滤规则集合设置于一个字符串内，方便后续使用解析函数对该字符串进行解析，解析出字符串内含有的规则集合。并对含有过滤规则集合的字符串进行转换，转换为pcap可读的格式。编译转换格式后的过滤规则集合，编译该规则时是调用一个不被外部程序使用的函数，该函数在程序内进行编译该规则。

继续接上述实施例，所述方法包括：通知所述数据包抓取库使用编译后的过滤规则集合。在此，当编译上述过滤规则集合后，通知pcap使用该规则来过滤数据包。

在本申请一实施例中，在步骤S13中，使用所述数据包抓取库对发送至所述网络接口的每一个网络数据包调用包解析函数，使用所述包解析函数对接收到的网络数据包进行包解析；对包解析出的数据使用编译后的过滤规则集合进行过滤处理，得到目标数据。在此，pcap接收到可以使用用户自定义的过滤规则集合后，进入主循环，对外部发送至网络接口的每一个网络数据包进行抓包后解析，每当接收到一个数据包或多个数据包时就调用一个已经定义好的函数，该函数为包解析函数，因抓取到的数据包是原始二进制流，需要使用解析函数进行解析，比如解析出哪些数据是tcp数据哪些是udp数据，得到目标所需的数据。

在本申请一实施例中，使用所述包解析函数解析接收到的网络数据包的上层协议信息，并打印出解析结果；将所述解析结果保存为结果文件。在此，使用包解析函数对网络数据包进行解析时，可以解析数据包的上层协议信息并给用户打印出结果，可以将结果保存为一个文件或者不保存成文件，在嗅探到所需的数据后，关闭抓解包程序会话。通过本申请提供的自定义抓包以及过滤网络数据包的方案，对于后续在安卓java层添加相关接口，为在安卓端开发抓包以及解包软件提供了底层基础。

此外，本申请实施例还提供了一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现前述一种用于数据包的抓解包的方法。

与上文所述的方法相对应的，本申请还提供一种终端，其包括能够执行上述图1或图2或各个实施例所述的方法步骤的模块或单元，这些模块或单元可以通过硬件、软件或软硬结合的方式来实现，本申请并不限定。例如，在本申请一实施例中，还提供了一种用于数据包的抓解包的设备，所述设备包括：

一个或多个处理器；以及

例如，计算机可读指令在被执行时使所述一个或多个处理器：

确定待嗅探的设备以及所述待嗅探的设备上的网络接口；

图3示出根据本申请另一个方面提供的一种用于数据包的抓解包的设备的结构示意图，该设备包括：嗅探装置11、创建装置12、抓解包处理装置13以及确定装置14，其中，嗅探装置11用于确定待嗅探的设备以及所述待嗅探的设备上的网络接口；创建装置12用于使用文件句柄传入所待嗅探的设备，创建抓解包程序会话；抓解包处理装置13用于对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理；确定装置14用于根据抓解包处理的结果确定目标数据包，并关闭所述抓解包程序会话。

需要说明的是，嗅探装置11、创建装置12、抓解包处理装置13以及确定装置14执行的内容分别与上述步骤S11、S12、S13和S14中的内容相同或相应相同，为简明起见，在此不再赘述。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

需要注意的是，本申请可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用目的计算机或任何其他类似硬件设备来实现。在一个实施例中，本申请的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本申请的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本申请的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。

另外，本申请的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本申请的方法和/或技术方案。而调用本申请的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。在此，根据本申请的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本申请的多个实施例的方法和/或技术方案。

对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其他的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本申请内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims

1.一种用于数据包的抓解包的方法，其特征在于，所述方法包括：

确定待嗅探的设备以及所述待嗅探的设备上的网络接口；

2.根据权利要求1所述的方法，其特征在于，使用文件句柄传入所述待嗅探的设备之前，包括：

初始化数据包抓取库。

3.根据权利要求1或2所述的方法，其特征在于，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理之前，包括：

4.根据权利要求3所述的方法，其特征在于，所述旁路处理中设置过滤规则集合，并对所述过滤规则集合进行编译，包括：

5.根据权利要求4所述的方法，其特征在于，所述方法包括：

通知所述数据包抓取库使用编译后的过滤规则集合。

6.根据权利要求5所述的方法，其特征在于，对发送至所述网络接口的网络数据包使用编译后的过滤规则集合进行抓解包处理，包括：

7.根据权利要求6所述的方法，其特征在于，使用所述包解析函数对接收到的网络数据包进行包解析，包括：

将所述解析结果保存为结果文件。

8.一种用于数据包的抓解包的设备，其特征在于，所述设备包括：

9.一种用于数据包的抓解包的设备，其特征在于，所述设备包括：

一个或多个处理器；以及

存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如权利要求1至7中任一项所述方法的操作。

10.一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现如权利要求1至7中任一项所述的方法。