网络数据包截获方法

２００８．１
26网络安全技术与应用网络数据包截获方法
安志强 刘峰 张春
北京交通大学计算机与信息技术学院 北京 １０００４４
摘要：本文在分析ｌｉｂｐｃａｐ基础上，引入一种新的网络监测方法，它可以动态的监测网络通信量，适用于不同的网络环境中。

关键词：网络安全；数据包；截获；动态网络监视接口
０ 引言
网络数据包截获机制是网络管理系统的基础组件之一。

数据包截获机制是网络性能分析工具和网络安全工具的实现基础。

一方面，网络数据截取要能保证捕获到所有网络上的数据包，尤其是检测到被分片的数据包；另一方面，网络截取数据包的效率也是很重要的，它直接影响整个入侵检测系统的运行速度。

１ 数据流截获方法
１．１ 利用广播截取网络数据流
数据包的截取技术是依赖网卡的，而网卡可以通过广播监听到以太网络上的数据包，这就是数据包截取技术的基础。

要想截获不是给自己数据流，就必须绕开系统正常工作的机制，直接通过设置网卡的的工作模式为混杂模式，使之可以接受目标地址不是自己的ＭＡＣ地址的数据包，直接访问数据链路层，获取数据。

１．２ 各系统截取数据包机制
Ｌｉｎｕｘ系统为用户提供一种在理论上是数据链路层的，基于网卡驱动程序的，可以不用操作系统自身协议栈的接口——ＳｏｃｋＰａｃｋｅｔ。

这种套接字可以从数据链路层上直接截取所有链路层数据包。

而Ｕｎｉｘ系统则是通过ｌｉｂｐｃａｐ库直接与内核交互，实现网络截取，如ｌｉｂｐｃａｐ、ｔｃｐｄｕｍｐ等。

ＢＳＤ　Ｐａｃｋｅｔ　Ｆｉｌｔｅｒ（ＢＰＦ）机制来截取数据包。

ＢＰＦ可以说是各系统中较好的截获方式。

Ｗｉｎｄｏｗｓ系统也有类似情况，如：Ｗｉｎ系列上有＊．ｖｘｄ和网卡．ｓｙｓ来驱动网卡截取数据包。

２ 基于ｌｉｂｐｃａｐ库的通用数据截获技术
ｌｉｂｐｃａｐ是用户态的数据包截获ＡＰＩ函数接口，有独立和可移植性。

最初，ｌｉｂｐｃａｐ是为了强大、健壮ｔｃｐｄｕｍｐ而编写的。

它支持ＢＰＦ过滤机制。

Ｓｎｏｒｔ就是依赖于ｌｉｂｐｃａｐ库进行数据包截取的程序之一。

它的优点是可以从任何Ｕｎｉｘ内核平台上截取数据包，而不考虑什么芯片类型的网卡和驱动程序。

更重要的是，它可以使开发人员编写自己的解码、显示、记录等程序。

３ Ｓｎｏｒｔ调用Ｌｉｂｐｃａｐ
在Ｓｎｏｒｔ运行启动时，Ｓｎｏｒｔ调用ｌｉｂｐｃａｐ库。

当调用ｌｉｂｐｃａｐ函数并初始化接口时，进入截取数据的循环模块——ｐｃａｐ循环。

在这个主循环——ｐｃａｐｌｏｏｐ（），当网卡从网络介质上接收数据开始，ｐｃａｐ＿ｌｏｏｐ便对采集来的每个数据包都ＰｒｏｃｅｓｓＰａｃ－ｋｅｔ（）函数处理，如果出错或达到指定的处理包数就退出。

即ｐｃａｐ＿ｌｏｏｐ（）最后根据数据链路类型来选择数据包，然后由ＰｒｏｃｅｓｓＰａｃｋｅｔ（）来进行协议分析，实施信息流的匹配。

４ 网络通信量动态监视的设计
网络监视是指捕获穿越ＩＰ网的数据包，打开并进行分析。

该操作是个被动行为，不对数据包作任何修改，数据包仍会继续在网络上向目的地传输。

随着网络链接速度的增快，现有的网络监视体系已不能满足网络管理中对监视的需求，特别是对一些新的网络应用原有的监视工具不能进行监视，或者监视起来系统开销太大，比如要确定点对点的文件共享（ＦＴＰ）、多媒体会议等动态分配端口的网络应用对网络的使用情况，就不太可能。

另外，对于一些安全应用程序，如入侵检测系统，传统的监视应用程序提供的信息往往是不够用的。

为了解决上述问题，传统的做法是获取通信中的全部数据包，这样会使网络管理员去处理海量的数据。

这样做还有一个局限性，便是不具备通用性，不能在不同的硬件平台上使用。

故引入一种新的动态网络监视接口，它可根据用户的需要捕获相关数据包，也允许用户去触发自定义的处理例程。

４．１ 网络通信量动态监视的详细设计
在动态网络监视接口中，无需详细了解底层硬件的构成，网络流定义为满足给定条件的一组数据包序列。

对于数据包的协议分析和审查而言，给定的条件是不受限制的。

而原有的网络流定义为在一个给定的时间段内有相同源、目的ＩＰ地
作者简介：安志强（１９８０－），男，北京交通大学计算机学院２００５级硕士研究生，研究方向：网络管
理。

刘峰（１９６１－），男，北京交通大学计算机学院副院长、教授，硕士生导师。

张春（１９６６－），女，北
京交通大学计算机学院网管研究中心高级工程师。

２００８．１
27
网络安全技术与应用址及端口的一组数据包。

所以，动态网络监视接口定义的网络流可以是数据包、管道、文件等实体，可以创建和删除（关闭）网络流，读取、采样或计数一个流的数据包，在网络流上应用某些函数。

（１）创建和终止网络流
①　ｆｄ＝ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（ｃｈａｒ　＊ｄｅｖ，　ｃｏｎｄ　＊ｃ，　ｍｏｄｅ　ｍ）创建一个网络流ｆｄ。

第三个参数ｍ允许监视系统在网络流上执行一些预处理操作，可重新编配数据包，删除数据包，对数据包重新排序等。

例如，当ｍ置成ＣＯＯＫＥＤ时，单个的数据包按照网络协议（ＴＣＰ　或ＵＤＰ）进行预处理然后串成一个数据流。

如：ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（“／ｄｅｖ／ｄａｇ０”，　“ｄｓｔ　ｐｏｒｔ　８０”，ＲＡＷ）　创建了一个网络流，它的所有数据包是指通过网络接口／ｄｅｖ／ｄａｇ０去往８０号端口的包。

②　ｆｄ＝ｍａｐｉ＿ｃｌｏｓｅ＿ｆｌｏｗ（ｆｌｏｗ＿ｄｅｓｃ　ｆｄ）关闭不再需要监视的网络流。

（２）从网络流中读出数据包①　ｐａｃｋｅｔ　＊　ｍａｐｉ＿ｇｅｔ＿ｎｅｘｔ＿ｐａｃｋｅｔ（ｆｄ）
读取属于网络流ｆｄ的下一个数据包（一次读取一个数据包）。

②　ｍａｐｉ＿ｌｏｏｐ（ｆｌｏｗ＿ｄｅｓｃ　ｆｄ　，　ｉｎｔ　ｃｎｔ　，　ｍａｐｉ＿ｈａｎｄｌｅｒ　ｃａｌｌｂａｃｋ）为网络流ｆｄ的下一个数据包ｃｎｔ调用处理程序ｃａｌｌｂａｃｋ。

（３）网络流的应用函数
动态网络监视接口允许用不同的函数去处理不同网络流中的数据包。

ｍａｐｉ＿ａｐｐｌｙ＿ｆｕｎｃｔｉａｎ（ｆｌｏｗ＿ｄｅｓｔ　ｆｄ，　ｆｕｎｃｔｉｏｎ　ｆ　，……）函数　ｆ　可以作用于网络流ｆｄ的每一个数据包。

ＭＡＰＩ提供了一些预定义函数：ＰＡＣＫＥＴ＿ＣＯＵＮＴ函数－计算网络流中数据包的个数，ＳＡＭＰＬＥ＿ＰＡＣＫＥＴＳ　函数－对数据包进行采样。

（４）动态生成网络流
ｆｄ＝ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（＂ｄａｇ０＂，　＂ｐｏｒｔ　８０＂　，　ＨＩＥＲＡＲＣＨＩＣＡＬ）创建了ｈｉｅｒａｒｃｈｉｃａｌ模式的网络流ｆｄ，ｆｄ由去往８０号端口的所有数据包组成。

用户如想获得通信量统计数据，则只需了解包头信息，不需要了解数据包的负载。

ｈｉｅｒａｒｃｈｉｃａｌ模式的网络流便可满足用户该项需要。

４．２ 动态网络监视接口应用实例：监视ＦＴＰ的通信
ｐａｃｋｅｔ　＊ｐ；
ｆｌｏｗ＿ｄｅｓｃｒｉｐｔｏｒ　ｆｄ，　ｘｆｅｒｓ［１０２４］；Ｓｔｒｕｃｔ　ｂｙｔｅ＿ｃｏｕｎｔ＿ｒｅｓｕｌｔｓ　ｂｒ；
ｉｎｔ　ｓｒｃ＿ｐｏｒｔ，　ｄｓｔ＿ｐｏｒｔ，　ｃｏｕｎｔ，　ｔｏｔａｌ＿ｆｔ＿ｐｔｒａｆｆｉｃ＝０；ｃｈａｒ　ｎｅｗ＿ｆｌｏｗ［６４］；
／＊　创建一个监视ＦＴＰ２１号控制端口的网络流　＊／１：　ｆｄ　＝　ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（／ｄｅｖ／ｓｃａｍｐｉ，　＂ｔｃｐ　ｐｏｒｔ　２１＂，　ＲＡＷ）；／＊　寻找到指出一个新传输开始的数据包，这样的数据包包含字符串：＂２２７　Ｅｎｔｅｒｉｎｇ　Ｐａｓｓｉｖｅ　Ｍｏｄｅ＂　＊／
２：　ｍａｐｉ＿ａｐｐｌｙ＿ｆｕｎｃｔｉｏｎ（ｆｄ，　ＳＵＢＳＴＲＩＮＧ＿ＳＥＡＲＣＨ，　＂２２７Ｅｎｔｅｒｉｎｇ　Ｐａｓｓｉｖｅ　Ｍｏｄｅ＂）；
／＊　追踪接下来的１００个数据包　＊／３：　ｆｏｒ（ｃｏｕｎｔ＝０；　ｃｏｕｎｔ＜１００；　ｃｏｕｎｔ＋＋）｛４： ｐ＝ｍａｐｉ＿ｇｅｔ＿ｎｅｘｔ＿ｐａｃｋｅｔ（ｆｄ）；
／＊　ｅｘｔｒａｃｔ＿ｐｏｒｔｓ　得到指出新传输开始的那个数据包，并提取出分配的动态数据端口　＊／
５： ｅｘｔｒａｃｔ＿ｐｏｒｔｓ（ｐ，　＆ｓｒｃ＿ｐｏｒｔ，　＆ｄｓｔ＿ｐｏｒｔ）；
／＊　创建一个网络流去追踪按照包含在控制数据包中的信息的即将到来的传输　＊／
６：　ｓｐｒｉｎｔｆ（ｎｅｗ＿ｆｌｏｗ，　＂ｔｃｐ　ｓｒｃ　ｐｏｒｔ　％ｄ　ａｎｄ　ｄｅｓｔ　ｐｏｒｔ　％ｄ＂，ｐｏｒｔ［０］，　ｐｏｒｔ［１］）；
／＊　为该数据传输创建一个新流　＊／
７：　ｘｆｅｒｓ［ｃｏｒｎｔ］　＝　ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（／ｄｅｖ／ｓｃａｍｐｉ，　ｎｅｗ＿ｆｌｏｗ，ＲＡＷ）；
／＊　计算该流中传输的字节数　＊／
８：　ｍａｐｉ＿ａｐｐｌｙ＿ｆｕｎｃｔｉｏｎ（ｘｆｅｒｓ［ｃｏｕｎｔ］，　ＢＹＴＥ＿ＣＯＵＮＴ）；｝／＊　结果＊／
９：　ｆｏｒ（ｃｏｕｎｔ＝０；　ｃｏｕｎｔ＜ｌ００；　ｃｏｕｎｔ＋＋）｛
１０： ｍａｐｉ＿ｒｅａｄ＿ｒｅｓｕｌｔｓ（ｘｆｅｒｓ［ｃｏｕｎｔ］，ＢＹＴＥ＿ＣＯＵＮＴ，＆ｂｒ）；１１： ｔｏｔａｌ＿ｆｔｐ＿ｔｒａｆｆｉｃ　＋＝　ｂｒ．ｂｙｔｅｓ； ｝
５ 小结
网络数据的截取是网络管理及入侵检测系统的基础。

本文介绍了两种网络数据截取机制。

在重点讲述了ｌｉｂｐｃａｐ库的网络数据包截取机制的基础上，引入了一种更为方便有效的网络流监控方法，使网络监控更有目的性。

参考文献
［１］张明武，肖宏年，邹晓．基于ＮＤＩＳ的网络检测与分析．湖北工学院学报．２００１．
［２］Ｍａｒｃｕｓ　Ｊ．Ｒａｎｕｍ，Ｋｅｎｔ　Ｌａｎｄｆｉｅｌｄ，Ｍｉｋｅ　Ｓｔｏｌａｒｃｈｕｋ，ＥｒｉｃＷａｌｌ．Ｉｍｐｌｉｍｅｎｔｉｎｇ　ａ　Ｇｒｅｎｅｒａｌｉｚｅｄ　Ｔｏｏｌ　ｆｏｒ　Ｎｅｔｗｏｒｋ　ＭｏｎｉｔｏｒｉｎｇＩｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　Ｔｅｃｈｎｉｃａｌ　Ｒｅｐｏｒｔ．１９９８．
［３］陈向阳，方汉．Ｌｉｎｕｘ实用大全．北京：科学出版社．１９９９．［４］唐靖飚．ＵＮＩＸ平台下Ｃ语言高级编程指南．北京：北京希望电子出版社．２０００．
［５］鸵鸟工作室．Ｌｉｎｕｘ网络应用大全．北京：机械工业出版社．２００１．。