[发明专利]一种高速网络的内容还原方法

权利要求书

1.一种高速网络的内容还原方法，其特征在于，包括以下步骤：

步骤1：将捕获的数据包放入预先分配好的环形缓冲；

步骤2：从环形缓冲中读取数据包并进行解析，获得TCP连接会话的IP多元组，再通过散列函数计算得到散列值；

步骤3：判断所述散列值是否是新的，若是，执行步骤4，若否，执行步骤5；

步骤4：存储报文并记录该报文的序列号或应答号，然后返回步骤1；

步骤5：使用IP多元组在解决冲突的拉链中查找对应的TCP连接会话，若没有找到对应的TCP连接会话，解决散列值冲突后返回步骤4，否则执行步骤6；

步骤6：根据TCP协议以及步骤4中记录的序列号或应答号进行数据包内容的连接，将连接成功的放入排好序的链表中，将连接失败的放入失序的链表等待下一次的重组，然后返回步骤1，其中，下一次的重组在下一次连接成功后被触发；

同时，多个线程分别将各自分段处理的已经完成的重组内容写入硬盘，并保留排好序的最后一个数据包；当该TCP连接会话全部重组完毕，将保留的最后一个数据包写入硬盘。

2.根据权利要求1所述的内容还原方法，其特征在于，所述IP多元组中包括：源IP、源端口、目的IP和目的端口。

3.根据权利要求1所述的内容还原方法，其特征在于，所述步骤5中解决散列值冲突的方法使用拉链法。

4.根据权利要求1所述的内容还原方法，其特征在于，所述步骤4中从服务器端握手阶段发出的SYN/ACK数据报文开始存储。

5.根据权利要求1所述的内容还原方法，其特征在于，所述TCP连接会话全部重组完毕的判断条件具体为：

条件1：查看该TCP连接会话的应用数据是否全部接收完毕，如是，则该TCP连接会话的应用数据已全部接收并重组完毕；

或者，条件2：为该TCP连接会话设定T1定时器和会话权重，若在T1时间内有新的数据包到达则会话权重加w2，若在T1时间内没有新的数据包到达则会话权重减w1，且w2≥w1，当会话权重减小到小于设定的会话权重时，则该TCP连接会话全部接收并重组完毕；

6.根据权利要求5所述的内容还原方法，其特征在于，在所述条件2中增加T2定时器且T2≥T1，所述T2定时器在有新的数据包重组后复位，当等待时间T2到达时，则该TCP连接会话全部接收并重组完毕。

7.根据权利要求1所述的内容还原方法，其特征在于，在所述步骤6中将已经完成的重组内容写入硬盘之前，根据应用层协议，预先处理重组的TCP连接会话。

8.根据权利要求7所述的内容还原方法，其特征在于，所述预先处理包括：提取TCP连接会话中包含的包括文本、图像、音频、和视频的应用数据文件以及包含URL、IP地址、端口、时间戳用户的网络访问行为信息。

9.根据权利要求8所述的内容还原方法，其特征在于，设置两种目录存储所述应用数据文件，其中第一目录用于临时存储部分重组的TCP连接会话的应用数据文件，第二目录用于最终存储完整重组的TCP连接会话的应用数据文件以及对应的网络访问信息。

10.根据权利要求8所述的内容还原方法，其特征在于，当该TCP连接会话全部重组完毕时，将所述第一目录中临时存储的部分应用数据文件转移到所述第二目录，并将保留的最后一个数据包中的应用数据文件写入所述第二目录。