MPMA模式匹配算法

（） ＭＡ 坏 字 符移动 ２ＭＰ
当模 式 树 串 Ｍ 的某 一 模 式 Ｍ 的某 一 字 符 Ｍ ’
的 字 符 Ｍ ’１、Ｍ （） （） ２、Ｍ （） ３……Ｍ ’ｊ ） 与 （—１ 都
输 入 串 １（＋１、１ ｉ ） ７ ｉ ３… …ｎ（＋ｊ ） ３ ｉ ） ＂ ＋２、１ ＋ ） １ （ １ （ ｉ ～１ 配 。令 Ｃ －Ｉｉ ｊ，ａ －Ｉ ＋ ） ＝Ｍ ’ｊ ，然 后将 １（＋１ 之前 （ （） ＂ｉ ） １
则 移 动模 式 树 相 应距 离 ，使 Ｂ 与模 式 树 中某模 式
树 最 小 模式 右端 与输 入 串对 齐 ，字 符 比较 从左 向右
进行 … 。具 体 如下 ： （） １ 匹配 起始 位 置 ＭＰ ＭＡ 算法 使模 式树 的 最小模 式 的右 边与 输入 串的 最右 边对 齐 ，匹配 从左 向字符 串 ｎｉ ） （ ２、 （ ） （ 、ｎｉ ） ＋１ ＋ ｎ（＋ ） …１（＋ｊ ） 起 构 成 启 发 函数 字 符 串杯 ｉ ３… ３ ｉ 一１ 一
２ ０ ２ ，１ １ ０
圆ｌ配翻 ＝ ＝
Ｗ ｖ＇ ｎ５ ｏｒ ｃ ｌ ｖ Ｗ Ｃ ｇ ｉ
Ｍ Ｐ Ｍ Ａ （ Ｕｌ ｉ Ｐ ａｔ ｅｒＹ Ｍ Ｃｈｉ ｇ Ｍ ｔ — ｔ ａｔ ｎ
树 的偏 移量 子 ，那 么 移动 输入 串指针 寻找 输 入 串字
符 ｎｉ ） （＋１ 的前 一 字符 ｄ （） ＝ｎ ｉ，在 整个模 式树 巾第 ｊ
位 以后 的 串 中 查找 与 Ｂ’ 匹 配 的 字符 串。若 找 不 相 到与 Ｂ 。 匹配 的字 符 串 ，则 移动 模 式 树将 模 式树 相 最 小 模式 右 端 与该 字符 ｄ的前 一 字符 ｅ ７ ｉ 一 ） ＝１（＋ｊ ２ １
～
ｍｏｅ ｉｈ ｒ ｅ ｅｔｏ ｒ ｔ ａ ｄ ｆ ｉｅｔ． ｒ ｈｇ ｅ ｄ ｔｃ ｉ ａ ｅ ｎ ｅ ｆｃ ｎ ｎ ｉ
Ｋｅ ｗ ｏ ｄ ｙ ｒ ｓ： Ｐ ｔ ｅｎ ａ ｔ ｒ Ｍａ ｃｉｇ； ｅ ｅｔｏ Ｐ ｔｅｎ ｔｈｎ Ｄ ｔｃ ｉ ｎ； ａ ｔ ｒ Ｔｒｅ ｅ
１ ＭＰ ＭＡ算法
常用的模 式鹰配方 法的基础 上，提 出了改进 的 多模 式匹配算法 （ Ｍ ） ＭＰ Ａ ，并详细给 出 了算法的设计过程。通过实验 对比 Ａ — Ｍ Ｃ Ｂ 算 法 的检测效 果 ， 证明该算 法具有较 高的检 测率、检测效率和可 用性 。
关键 词 ： 式匹配；检测 ；模 式树 模
Ａｂ ｔａ ｔ Ｐ ｔｅｎ ｍ ｃｉ ｓｒ ｃ ： ａ ｔｒ— ｈ昭 ｔｃ ｎｌｇ ｉ ｎ ｅｄ ｄ ｏ ｉｔｕｉｎ ｔ ｋｎｗｎ ｉ ａ ｕｅ ｉ ｄ ｔｃｅ ｉ ｉｒ ｔ ｎ ｂ ｆｒｔｙ ｈ ｂｈ ｖｏ ｏ ａ ｐ ｅｈ ｏ ｙ ｓ ｔｎ ｅ ｆ ｒ ｎｒｓｏ ｗｉｈ ｏ ｉ ｏ ｓ ｔ ｒｓ， ｅ ｅｔ ｄ ｎ ｌ ａ ｉ ｓ ｙ ｉ ｌ ｔ ｅ ｅ ａ ｉｒ ｒ ｐ ｇｎ ｔ ｆｔ ｏ ｓ
３ ０
Ｉ《 ｔ ｌ
Ｔ
灞隔
Ｍ Ｐ ＭＡ抉 式匹配算法
李 光
（ 内蒙 古科 技 大学 外 国语学 院 ， 内蒙 占 包头 ０４ １） １００
摘 要 ：模 式匹配技 术经 常是 针对有特征 的入侵行 为，首先根据攻击者在进行攻 击时所执行 的某些行 为或程序 的特征 ，同时抽 取特 征或表达 然后 ，使 用匹配算 法检 测所 代表的攻 击意 图的行 为特征 来判断是否 属于攻击行为 。在深 入研 究入侵检测 系统
（） ｊ 与输 入 串 １的某 一 字 符 你 ｎ ｉ ｊ不 匹 配 ，ｍ ’ ） ３ ． （＋ ） （ ｊ ≠ ｎｉ ｊ，令 ｂ （＋ ） ２ （ ｊ ） （＋ ） １ ｉ ｊ，ｂ ＝ｎ ＝ｎｉ —１ ＋ ，将本次 ｂ及 ． ｂ＝ｎｉ ｊ ） （＋一１两个 字符 作 为一个 子 串来 Ｂ’ 定模 式 决
第一 次 含 有该 字 符 串的位 置对 齐 。在 移 动过程 中最
大移 动距 离不 能超 过最 小模 式 的长度 。 。
（） ＭＡ 好字 符移 动 ３ＭＰ
如 果 模 式 树 的 某 一 模 式 某 一 字 符 Ｍ ’ｊ 与 输 （） 入 串 ｎ的某 一 字符 １（＋ｊ 不 匹配 ， Ｍ （） 前 ７ｉ ） １ 且 ｊ之
Ｐ ｔｅｎ ａ ｔ ｒ Ｍａ ｃ ｉ Ａｌｏｉｈ Ｔ ｅ ｍｐｏ ｅ ＭＰ ａ ｄ ｔ ｉ ｌｍｅｔ ｅ ｅ ｔｈｎ ｇ ｇ ｒ ｍ． ｈ ｉ ｒ ｖ ｄ ｔ ＭＡ ｎ ｉ ｍｐ ｓ ｅ ｎ ｗ ｒ
ｓ ａ ｕｅ ｗｈ ｈ ｔａ ｋ ｒ ｅ ｅ ｕｅ ａ ｄ ｈ ｎ ｉ ｔｒｓ ｇｎ ｉ ａ ｔ ｃ ｅ ｓ ｘ ｃｔ ｄ ｎ ｔｅ ｍａ ｃ ｔｅ ｗｉｈ ｃ ｔｈ ｈｍ ｔ Ｍｕｔ ｌｉ －
对齐。 若在 模 式树 中找到 了与该 Ｂ。 匹配 的字符 串 ， 相
Ａｌ ｏ ｉｍｈ ｇ ｒｔ ）算法 的设 计 思 想是 同时 应用 Ｂ 算 法 Ｍ
的启发 函数 产 生 跳跃 和 Ａ Ｃ算法 的 有限 状 态模 式 匹
配 自动 机 可 同时 进 行 多模 式 匹配 ，并 在 此基 础上 获 得 字符 的最 大前 进步 长来 确定 下一 步 的跳跃 。 在 匹 配 过 程 中 ，先 要 根 据模 式 构 造 模 式树 ，然 后 Ｍ Ｐ Ａ 的模 式树 从数 据 的右边 向左移 动 。模 式 Ｍ
Ｍｕ ｔ － Ｐａ ｔ ｒ Ｍａ ｃ ｉ ｇ Ａｌ ｏ ｉｈ ｌｉ ｔｅ ｎ ｔ ｈ ｎ ｇ ｒｔ ｍ
Ｌ Ｇｕ ｎ Ｉ ａｇ ｄｎｒＡ ｎｏ Ｏ ｖ ￣ｙ ｏ ｃｎ ｎ ｅ ｎｌ． Ｂｏｏ．伪ｅ Ａ ｎｏ ０ ４ １ ．ｈａ ｉ ｅ ４ ｇ＠ ｎ ｅ ｌ ｆｓ￡ ｅａｄｔ ｈｏＹ ，￣ｔ ｎ ｏ ｌ ｒＴ ｆｃ ｃ ｏｖ ｕ ｎ ｄ ￣ｌ １ ００ Ｃｉ） ｒ ｏ ｉ ａ ｎ
ｇｖ ｎ ｎ ｈｓ ａ ｅ ｂ ｓｄ ｎ ｈ ｒｓａ ｃ ｏ ｆｅ ｕ ｎＩ—ｕ ｅ Ｐ ｔ ｅｎ ｉｅ ｉ ｔｉ ｐ ｐｒ ａ ｅ ｏ ｔｅ ｅｅ ｒｈ ｆ ｒｑ ｅ ｔｙ ｓｄ ａ ｔｒ Ｍａ ｃ ｉ Ａｇ ｒ ｈ ｉ Ｉ Ｃ ｍｐ ｒｄ ｔ Ａ ＢＭ ａｇ ｒ ｈ ｉ ａ ｍｕ ｈ ｔｈｎ ｇ ｌｏｉ ｍ ｎ ＤＳ． ｏ ａｅ ｗｉ ｔ ｈ Ｃ ｌｏｉ ｍ， ｈ ｓ ｔ ｔ ｃ