[發明專利]一種針對IP多媒體子系統的RTP威脅的檢測方法和系統

有效

• 申請號: 201110080704.0
• 申請日: 2011-03-31
• 公開（公告）號: CN102739458A
• 公開（公告）日: 2012-10-17
• 發明（設計）人: 蘇森;王玉龍;楊放春;徐鵬;雙鍇;于曉燕;沈佳坤;童綏
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京派特恩知識產權代理事務所(普通合伙) 11270
• 代理人: 王黎延;遲姍

1.一種針對IP多媒體子系統實時傳輸協議威脅的檢測方法，其特征在于，所述方法包括：

監聽IP多媒體子系統IMS中的數據流，過濾出實時傳輸協議RTP數據包，對過濾出的RTP數據包進行解析，提取所述RTP數據包的通話參數；

利用通話參數，根據檢測策略構造偽造RTP數據包，并發送至通話用戶，實現威脅檢測。

2.根據權利要求1所述的方法，其特征在于，所述過濾出RTP數據包，為：

獲取通話用戶雙方建立通話時的SIP信令；

對SIP信令進行解析，獲得通話用戶雙方的IP地址及RTP使用的用戶數據包協議UDP端口號；

通話雙方建立通話后，根據IP地址及RTP使用的UDP端口號過濾出通話用戶雙方的RTP數據包。

3.根據權利要求1所述的方法，其特征在于，所述過濾出RTP數據包，為：

檢測當前所接收數據流是否與RTP數據流特征匹配，匹配時將所接收數據流作為RTP數據流；所述RTP數據流特征包括以下特征的至少一項：

UDP載荷頭部的兩個比特是0x10，指示其協議版本號為V＝2；

RTP數據流的數據包載荷類型不變，且位于數據包的第9到15比特；

RTP數據流中相鄰數據包的序列號SN隨傳輸數據包的數量遞增，增量為1，且位于第16到31比特；

RTP數據流中數據包的時間戳值隨傳輸時間遞增，且位于數據包的第32到63比特；

RTP數據流的數據包的同步源標識SSRC值不變，且位于數據包的第64到95比特。

4.根據權利要求1所述的方法，其特征在于，所述對過濾出的RTP數據包進行解析，為：

獲取RTP數據包的完整IP包，對所述完整IP包進行IP、UDP、RTP的逐層解析，根據RTP協議棧中各通話參數所處的位置，提取出通話參數；所述通話參數主要包括：RTP數據包的序列號SN、RTP數據包的時間戳Timestamp、數據包的SSRC。

5.根據權利要求1所述的方法，其特征在于，所述威脅檢測包括以下威脅檢測的至少一種：

會話中斷威脅檢測、合法用戶被踢出會話威脅檢測和流插入威脅檢測；

所述檢測策略對應包括以下策略的至少一種：

檢測會話中斷威脅的策略、檢測合法用戶被踢出會話威脅的策略和檢測流插入威脅策略；

其中，實現會話中斷威脅檢測為：

根據檢測會話中斷威脅的策略構造并發送RTP數據包，檢測是否能使正常通話中的RTP數據流發送者中斷自己的RTP會話，并向RTP數據流接收者發送RTP控制協議RTCP終止標識BYE包，并改變RTP數據流發送者的SSRC值；所述檢測會話中斷威脅的策略為：當用戶A位于通話中，且作為發送者正在給其他用戶發送RTP數據包時，監聽獲取用戶A發送的RTP數據包的SSRC值x；偽造RTP數據包，偽造的RTP數據包中SSRC值為x；并將偽造后的RTP數據包發給用戶A；

實現合法用戶被踢出會話威脅檢測為：根據檢測合法用戶被踢出會話威脅的策略構造并發送RTP數據包，檢測是否能使正常通話中的RTP數據流接收者放棄原始發送者發送的數據包，轉而接收威脅者發來的偽造的RTP數據包；所述檢測合法用戶被踢出會話威脅的策略為：當用戶A位于通話中，且作為接收者正在其他用戶發送的RTP數據包，監聽獲取用戶A接收的RTP數據包的SSRC值x；偽造RTP數據包，偽造的RTP數據包中SSRC值為x；并將偽造后的RTP數據包發給用戶A；

實現流插入威脅檢測為：根據檢測流插入威脅策略構造并發送RTP數據包，檢測是否能使正常通話中的RTP數據流接收者同時接收來自用戶A和威脅者發來的RTP數據包；所述檢測流插入威脅策略為：用戶A和用戶B正在通話，且A作為RTP數據包發送者正在給用戶B發送RTP數據包，監聽獲取用戶A的IP地址、發送RTP數據包使用的端口號、發送的RTP數據包的SSRC值x、序列號y和時間戳的值z；偽造RTP數據包，偽造的RTP數據包的SSRC值為x、序列號為y和時間戳的值為z；將偽造后的RTP數據包發給用戶B，且使用的IP地址和端口號與用戶A的相同。

在上述RTP威脅的檢測方法中，所述偽造RTP數據包的構造方法為：偽造模塊從監聽模塊接收RTP參數；同時可接收用戶從外部輸入的指令，指定要進行何種威脅。偽造模塊根據參數和指令，調用開源的RTP庫，構造符合標準的RTP數據包。