網絡流量監控及分析工具的設計與實現畢業論文(編輯修改稿)

　

【文章內容簡介】 實踐內容展開。具體內容安排如下：第一章是引言，簡要介紹開發背景、設計任務和論文結構安排；第二章介紹網絡基礎理論研究、數據包捕獲與流量檢測的技術原理；第三章介紹如何使用原始套接字實現數據捕獲；第四章重點介紹網絡流量監測工具的設計與實現過程，并且詳細闡述了從系統功能總體設計、詳細設計、具體實現的全部過程；第五章介紹了軟件測試情況。2 相關的概念與技術 OSI 參考模型與 TCP/IP 體系結構 OSI 參考模型開放系統互聯參考模型 OSI 是由國際標準化組織 ISO 制定的標準化開放式的計算機網絡層次結構模型,其結構如圖 1 所示。可以看出，該結構共有七層，各層主要實現如下功能：（1）物理層，利用傳輸介質實現相鄰節點間的物理連接，主要對機械、電氣、功能和規程四個方面及信號傳輸速率方面進行規定；（2）數據鏈路層，完成管理數據的傳輸，提供差錯檢測和恢復，并且提供流量控制，最終實現向上一層提供無差錯、高可靠性的傳輸鏈路；（3）網絡層，執行路由算法和流量控制算法，完成數據分組傳輸，它是通信子網的最高層；（4）傳輸層，提供端到端的無差錯傳輸，同時，它也提供屬于局通信網絡接口，比如 SOCKET；（5）會話層，完成用戶之間會話的組織、協調、分配用戶名等；（6）表示層，解決數據格式問題，規定編碼方式；（7）應用層，OSI 的最高層，利用應用進程提供網絡訪問手段。圖 1 OSI 參考模型第 6 頁 共 22 頁 TCP/IP 體系結構由于 TCP/IP 比其之前的 OSI 模型更具體實現，隨著互聯網的不斷發展，遵循 TCP/IP 結構的網絡不斷普及，因此現在通常采用 TCP/IP 代表 Inter 體系結構。TCP/IP 的目的是在網絡標準不同的情況下解決互聯問題，可以說，網絡互聯是 TCP/IP 的核心。TCP/IP 的體系結構如圖 2 所示。TCP/IP 在設計時重點并沒有放在具體通信的實現上，所以對最后兩層沒有做出具體規定，同時表明它允許不同類型的通信網絡參與通信。它的四個層次功能如下。（1）應用層，提供常用的應用程序及自定義的應用程序，數據傳輸時用TCP/IP 協議來進行；（2）傳輸層，提供端到端的應用程序之間的通信，可以使用傳輸控制協議TCP（Transmission Control Protocol）或用戶數據報協議 UDP（User Datagram Protocol）協議，前者提供可靠傳輸，傳送單位是報文段，后者提供不可靠服務，傳輸單位是數據報，即分組。此外，傳輸層另外一個功能就是區別應用程序；（3）網際層，負責計算機之間的通信，采用的協議是 IP 協議，數據傳送單位是分組，向上提供不可靠的傳輸服務；（4）網絡接口層，負責接收數據報，并實現發送，或者接收幀，提取 IP數據報，交給互聯網層。圖 2 OSI 參考模型與 TCP/IP 結構第 7 頁 共 22 頁 OSI 模型與 TCP/IP 體系結構的區別從前面的分析可以看出 OSI 模型和 TCP/IP 體系有許多不同之處，主要體現在問題的處理上面，例如：（1）TCP/IP 一開始就考慮的是異構網絡的互聯問題，并將 IP 看作是整個體系的重要組成部分，而 ISO 并沒有認識到網際協議 IP 的重要性，導致最后只能單獨劃分一個子層來完成 IP 的作用；（2）OSI 最開始只注意到了面向連接的服務，而 TCP/IP 一開始就注意了面向連接和無連接的并重。相比起來，TCP/IP 更注重了數據傳輸的效率，而OSI 則注重了傳輸的可靠性；（4）TCP/IP 雖然分層，但是調用關系并不像 OSI 那樣嚴格，減少了不必要的開銷，提高了傳輸效率。 傳輸層的編程接口—Windows 套接字編程技術 Windows 套接字的概念Windows 套接字—SOCKET，是為 Windows 系統開發的一套標準通用支持網絡協議數據通信的 API，它是網絡通信的基礎，即 TCP/IP 的網絡編程接口，1994年被定為網絡編程標準后，主要經歷了 和 兩種版本，它產生最終目的是可以適應應用程序開發者、網絡服務商的需求，進程通過套接字的通信域來完成通信。需要指出的是，套接字主要負責控制數據的輸入與輸出，主要在傳輸層和網絡層，屏蔽了數據鏈路層和物理層 [2]。 套接字類型根據通信性質把套接字主要分為流式套接字和數據報套接字兩種。它們的區別在于流式套接字提供雙向、有序、無重復的數據流服務，但相對于數據報套接字來說系統開銷較大。數據報套接字也支持雙向數據流，但并不注重傳輸可靠性、無重復性和有序性，但它保留了記錄邊界，由于數據報傳輸效率較高，所以還是得到了比較廣泛的應用。 涉及的幾個基本概念（1）字節順序，不同的計算機采用不同的自己順序存儲數據，所以在這些數據進行通信時需要進行字節順序的轉換，所有傳送給網絡上套接字函數的 IP地址和端口號均按照網絡順序安排，主要由 sockaddr_in 這個結構規范。特別要注意的是，應用程序建立地址結構之前，用戶輸入需要將主機序列轉換為網絡序列（使用 htons 函數，反之使用 ntohs 函數） 。（2）阻塞與非阻塞，套接字有同步阻塞和異步非阻塞兩種方法，阻塞模式第 8 頁 共 22 頁時，套接字需要等待操作全部完成才結束，而當套接字處于非阻塞模式時，套接字以是否有新數據到達作為阻塞的標志。阻塞方式套接字簡單、方便，但是效率比較低，而非阻塞模式使用復雜點，但效率很高。但是仍需強調一點，Winsock 提供了幾種 I/O 模型來解決異步問題，如“選擇” 、 “重疊” 、 “事件選擇” 、 “異步選擇”等 [3]。 原始套接字從用戶的角度來看，標準的流式套接字和數據報套接字這兩類套接字似乎涵蓋了 TCP/IP 應用的全部，因為基于 TCP/IP 的應用，從協議棧的層次（如圖3 所示）上講，在傳輸層的確只可能建立于 TCP 或 UDP 協議之上，而流式套接字和數據報套接字又分別對應于 TCP 和 UDP，所以幾乎所有的應用都可以用這兩類套接字實現。但是，當需要自定義數據包發送時或者需要分析所有經過網絡的數據包的時候，就必須面臨一種不同于前兩者的方式—Raw Socket，即原始套接字，程序員可以用它來發送和接收 IP 層以上的原始數據包, 如 ICMP，TCP， UDP 等，不僅這樣，它還可以實現如偽裝本地 IP、發送 ICMP 包等功能。Raw Socket 廣泛應用于高級網絡編程，也是一種廣泛的黑客手段。著名的網絡 sniffer、拒絕服務攻擊（DOS） 、IP 欺騙等都可以以 Raw Socket 實現。Raw Socket 與標準套接字（SOCK_STREAM、SOCK_DGRAM）的區別在于前者直接置根于操作系統網絡核心（Network Core） ，而 SOCK_STREAM、SOCK_DGRAM 則“懸浮”于 TCP 和 UDP 協議的外圍，如圖 4 所示。圖 4 標準套接與原始套接字的關系圖 3 協議棧層次第 9 頁 共 22 頁3 網絡數據的采集技術分析 Windows 下原始數據包捕獲的實現網絡上的數據包捕獲機制主要依賴于所使用的操作系統，不同的操作系統下有不同的實現途徑。在 Windows 環境下，可通過網絡驅動程序接口規范（NDIS） ，WinSock 的 SOCK_RAW 或虛擬設備驅動技術（VxD）等技術實現網絡數據包的捕獲功能。前面已經介紹到了，使用原始套接字可以繞過 Socket 提供的功能，對底層的協議進行使用與開發，可以根據自己的需要生成想要的數據報文等，下面開始介紹使用原始套接字對數據包捕獲進行開發的相關技術知識。第一，使用套接字前，需要了解網卡接收數據的工作原理：在正常情況下，網絡接口只響應兩種數據幀，一種是與自己的硬件相匹配的數據幀，另一種四向所有計算機廣播的數據幀。在系統中，數據幀的收發由網卡完成，網卡程序接收從網絡發來的數據包，根據其硬件地址去判斷是否與本機的硬件地址匹配，若匹配就通知 CPU 產生中斷進行響應，然后調用驅動程序設置的網卡中斷程序地址調用驅動程序接收數據，然后放入堆棧進行系統相關處理，若不匹配則直接丟棄該數據包 [3]。對于網絡接口，它一般具有 4 種數據接收模式：廣播、組播、直接和混雜模式，只有當把接口設置為混雜模式時，網絡接口才能接收所有的數據，無論地址是否匹配，所以在做本設計的時候一定要設置為混雜模式才能實現數據的采集。第二，需要了解套接字的工作程序和使用方法：第 10 頁 共 22 頁一般來說，采用套接字開發網絡程序需要經歷以下幾個基本步驟：啟動、創建、綁定、監聽（接受連接） 、連接、發送/接收數據、關閉、卸載等。第三，具體到 Windows 下利用原始套接字捕獲網絡數據可以這樣設計：（1）啟動套接字；（2）創建一個原始套接字；（3）將套接字與本地地址綁定；（4）設置操作參數；（5）設置網絡接口為混雜模式；（6）啟動監聽線程，開始接收數據；（7）退出關閉套接字。 原始數據包捕獲的關鍵函數（1）啟動函數 WSAStartupint PASCAL FAR WSAStartup (DWORD wVersionRequested , LPWSADATA lpWSAData)；每一個套接字應用程序都必須調用該函數進行一系列初始化工作，并且只有調用成功返回后，才能開始使用套接字，其中參數 wVersionRequested 是版本號，高字節是次版本號、低字節是主版本號，參數 lpWSAData 是指向WSADATA 結構的指針。（2）套接字創建函數 socketSOCKET socket (int af , int type , int protocol)。所有的通信在建立之前都必須創建一個套接字，socket 函數的功能就是創建套接字，其中參數 af 指協議地址族（address family） ，當建立的套接字是依賴于 UDP 或 TCP 的話，需要設置 af 為 AF_INET,表示采用 IP 協議。參數 type是指協議的套接字類型，采用流式套接字時用 SOCK_STREAM，采用數據報套接字時用 SOCK_DGRAM，采用原始套接字時用 SOCK_RAW。參數 protocol 是協議字段，默認情況下可直接設置為 0。（3）綁定函數 bindint bind ( SOCKET s , struct sockaddr_in* name , int namelen)。成功創建套接字后的下一步工作就是將本地網絡接口與套接字進行綁定，其中參數 s 是創建的套接字，參數 name 是需要綁定的通信對象的信息結構體指針，namelen 是該結構的長度。需要注意的是 sockaddr_in 結構：struct sockaddr_in{short sin_family。 //地址族，設置為 AF_INET第 11 頁 共 22 頁unsigned short sin_port。 //指定的端口號struct in_addr sin_addr。 //IP 地址char sin_zero[8]。}。由于主機序列與網絡序列的關系，在程序中需要使用 htons 等函數進行轉換工作。（4）設置接口模式函數 WSAIoctlint WSAAPI WSAIoctl(SOCKET s, DWORD dwIoControlCode, LPVOID lpvIn