[发明专利]一种基于端口与内容混杂检测的协议识别方法

权利要求书

1.一种基于端口与内容混杂检测的协议识别方法，其特征在于：所述的方法主要包括以下步骤：

(1)、将端口表载入内存：将与各个协议对应的TCP协议端口和UDP协议端口载入进内存中；

(2)、将内容匹配规则载入内存：将所有的内容匹配规则载入进内存中，并且把规则分为三类，分别是头部匹配规则、尾部匹配规则和任意匹配规则；

(3)、捕获网卡数据报：从网卡驱动中不停的捕获原始的TCP协议和UDP协议数据报；

(4)、提取数据报的源端口与目的端口：把从网卡中捕获到的原始数据报进行分解，将TCP协议或UDP协议头部的源端口与目的端口提取出来；

(5)从端口表中查找匹配端口：以提取到的源端口和目的端口为标准，在端口表中查找与之相同的端口项；如果存在相同的端口项，则进一步进行与端口绑定的内容识别；如果没有找到相同的端口项，则进行内容识别，至(7)；

(6)、进行与端口绑定的内容识别：

(6.1)、检索每个与端口对应的内容匹配规则：在内存中遍历每个与端口绑定的内容匹配规则；对数据报负载中的特征数据进行比对，如果比对成功则表示该规则成功匹配；

(6.2)、在数据报中匹配该规则：把数据报中的负载数据提取出来，将与该端口绑定的内容识别规则进行匹配，如果匹配成功，则识别该协议成功，回复至(3)。

(7)、检索数据报头部匹配规则：将数据报负载的头部数据提取出来，与规则库中头部匹配规则一一比对，如果匹配成功，则协议识别成功，回复至(3)；

(8)、检索数据报尾部匹配规则：将数据报负载的尾部数据提取出来，与规则库中尾部匹配规则一一比对，如果匹配成功，则协议识别成功，回复至(3)；

(9)、检索数据报任意匹配规则：将规则库中的任意匹配规则在数据报负载的任意位置进行比对，如果存在匹配成功的规则，则协议识别成功，回复至(3)；

(10)识别失败：如果无论是端口识别过程、内容识别过程，还是端口与内容混杂识别过程都不能识别该协议，则判定该协议目前还不能进行自动识别，需要进行人工分析，添加相应的识别规则；在相关日志中记录该数据报，回复至(3)。

2.如权利要求1所述的一种基于端口与内容混杂检测的协议识别方法，其特征在于：在所述的(4)中，源端口与目的端口的数据存储是网络存储格式的十六位无符号整形，将其前后两个字节交换位置来转换成本地格式的十六位无符号整形。