[發明專利]一種基于端口與內容混雜檢測的協議識別方法

無效

• 申請號: 200710160250.1
• 申請日: 2007-12-14
• 公開（公告）號: CN101184089A
• 公開（公告）日: 2008-05-21
• 發明（設計）人: 王萬良;蔣一波;趙燕偉;陳勝勇;任敏;趙澄;鄭建煒
• 申請（專利權）人: 浙江工業大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 杭州天正專利事務所有限公司
• 代理人: 王兵;王利強

1.一種基于端口與內容混雜檢測的協議識別方法，其特征在于：所述的方法主要包括以下步驟：

(1)、將端口表載入內存：將與各個協議對應的TCP協議端口和UDP協議端口載入進內存中；

(2)、將內容匹配規則載入內存：將所有的內容匹配規則載入進內存中，并且把規則分為三類，分別是頭部匹配規則、尾部匹配規則和任意匹配規則；

(3)、捕獲網卡數據報：從網卡驅動中不停的捕獲原始的TCP協議和UDP協議數據報；

(4)、提取數據報的源端口與目的端口：把從網卡中捕獲到的原始數據報進行分解，將TCP協議或UDP協議頭部的源端口與目的端口提取出來；

(5)從端口表中查找匹配端口：以提取到的源端口和目的端口為標準，在端口表中查找與之相同的端口項；如果存在相同的端口項，則進一步進行與端口綁定的內容識別；如果沒有找到相同的端口項，則進行內容識別，至(7)；

(6)、進行與端口綁定的內容識別：

(6.1)、檢索每個與端口對應的內容匹配規則：在內存中遍歷每個與端口綁定的內容匹配規則；對數據報負載中的特征數據進行比對，如果比對成功則表示該規則成功匹配；

(6.2)、在數據報中匹配該規則：把數據報中的負載數據提取出來，將與該端口綁定的內容識別規則進行匹配，如果匹配成功，則識別該協議成功，回復至(3)。

(7)、檢索數據報頭部匹配規則：將數據報負載的頭部數據提取出來，與規則庫中頭部匹配規則一一比對，如果匹配成功，則協議識別成功，回復至(3)；

(8)、檢索數據報尾部匹配規則：將數據報負載的尾部數據提取出來，與規則庫中尾部匹配規則一一比對，如果匹配成功，則協議識別成功，回復至(3)；

(9)、檢索數據報任意匹配規則：將規則庫中的任意匹配規則在數據報負載的任意位置進行比對，如果存在匹配成功的規則，則協議識別成功，回復至(3)；

(10)識別失敗：如果無論是端口識別過程、內容識別過程，還是端口與內容混雜識別過程都不能識別該協議，則判定該協議目前還不能進行自動識別，需要進行人工分析，添加相應的識別規則；在相關日志中記錄該數據報，回復至(3)。

2.如權利要求1所述的一種基于端口與內容混雜檢測的協議識別方法，其特征在于：在所述的(4)中，源端口與目的端口的數據存儲是網絡存儲格式的十六位無符號整形，將其前后兩個字節交換位置來轉換成本地格式的十六位無符號整形。