[發明專利]一種數據包分析方法及裝置

有效

• 申請號: 201811513540.4
• 申請日: 2018-12-11
• 公開（公告）號: CN111314268B
• 公開（公告）日: 2022-06-07
• 發明（設計）人: 華剛;王申;田心
• 申請（專利權）人: 航天信息股份有限公司
• 主分類號: H04L69/22
• 分類號: H04L69/22;H04L43/18
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

本發明公開了一種數據包分析方法及裝置，用以解決現有技術中不能針對未知結構的數據包進行分析的問題，該方法包括：針對獲取到的每個同類數據包，進行以下步驟：A、從該數據包的包尾開始依次分析每個字節，當第一字節中包含的信息為第一數值對應的字節中包含的數據長度信息時，將該第一數值對應的權重值增加設定數值，其中所述第一數值為所述數據包的包尾與所述第一字節間包含的字節數量；B、將與第一字節相鄰且位于第一字節之前的第二字節更新為該數據包的包尾，返回步驟A；根據確定的每個第一數值對應的權重值，確定所述同類數據包的結構。

技術領域

本發明涉及網絡技術領域，尤其涉及一種數據包分析方法及裝置。

背景技術

一般的網絡安全分析，是針對公開的協議進行的，對于網絡安全分析工程師而言，最難分析的是自定義網絡協議，在這些協議中，一般都不公開協議的細節，比如傳輸的數據包的結構，這樣無法得知數據的格式和內容，無法進行深入的網絡安全分析。因此，如何能夠對未知結構的數據包進行分析是一個亟待解決的問題。

發明內容

本發明實施例提供了一種數據包分析方法及裝置，用以解決現有技術中不能針對未知結構的數據包進行分析的問題。

本發明實施例提供了一種數據包分析方法，所述方法包括：

針對獲取到的每個同類數據包，進行以下步驟：

A、從該數據包的包尾開始依次分析每個字節，當第一字節中包含的信息為第一數值對應的字節中包含的數據長度信息時，將該第一數值對應的權重值增加設定數值，其中所述第一數值為所述數據包的包尾與所述第一字節間包含的字節數量；

B、將與第一字節相鄰且位于第一字節之前的第二字節更新為該數據包的包尾，返回步驟A；

根據確定的每個第一數值對應的權重值，確定所述同類數據包的結構。

進一步地，所述同類數據包為網絡通信協議中握手時處于同一操作步驟的數據包。

進一步地，確定所述第一字節中包含的信息為第一數值對應的字節包含的數據長度信息之前，所述方法還包括：

判斷該第一數值的字節中包含的數據長度信息是否能夠用一個字節表示；

如果是，進行后續步驟。

進一步地，如果第一數值的字節中包含的數據長度信息不能夠用一個字節表示，所述方法還包括：

確定表示該數據長度的字節的數量；

以所述第一字節為起始字節，獲取第一字節之前的包含所述第一字節的所述數量的字節；

判斷所述數量的字節中包含的信息是否為第一數值的字節中包含的數據長度信息。

進一步地，所述根據確定的每個第一數值對應的權重值，確定所述同類數據包的結構包括：

獲取權重值大于設定閾值的每個目標第一數值；

根據每個目標第一數值，確定所述同類數據包的結構。

本發明實施例提供了一種數據包分析裝置，所述裝置包括：

分析模塊，用于針對獲取到的每個同類數據包，進行以下步驟：從該數據包的包尾開始依次分析每個字節，當第一字節中包含的信息為第一數值對應的字節中包含的數據長度信息時，將該第一數值對應的權重值增加設定數值，其中所述第一數值為所述數據包的包尾與所述第一字節間包含的字節數量；

更新模塊，用于將與第一字節相鄰且位于第一字節之前的第二字節更新為該數據包的包尾，觸發分析模塊；

確定模塊，用于根據確定的每個第一數值對應的權重值，確定所述同類數據包的結構。