[发明专利]一种数据包分析方法及装置

说明书

本发明公开了一种数据包分析方法及装置，用以解决现有技术中不能针对未知结构的数据包进行分析的问题，该方法包括：针对获取到的每个同类数据包，进行以下步骤：A、从该数据包的包尾开始依次分析每个字节，当第一字节中包含的信息为第一数值对应的字节中包含的数据长度信息时，将该第一数值对应的权重值增加设定数值，其中所述第一数值为所述数据包的包尾与所述第一字节间包含的字节数量；B、将与第一字节相邻且位于第一字节之前的第二字节更新为该数据包的包尾，返回步骤A；根据确定的每个第一数值对应的权重值，确定所述同类数据包的结构。

技术领域

本发明涉及网络技术领域，尤其涉及一种数据包分析方法及装置。

背景技术

一般的网络安全分析，是针对公开的协议进行的，对于网络安全分析工程师而言，最难分析的是自定义网络协议，在这些协议中，一般都不公开协议的细节，比如传输的数据包的结构，这样无法得知数据的格式和内容，无法进行深入的网络安全分析。因此，如何能够对未知结构的数据包进行分析是一个亟待解决的问题。

发明内容

本发明实施例提供了一种数据包分析方法及装置，用以解决现有技术中不能针对未知结构的数据包进行分析的问题。

本发明实施例提供了一种数据包分析方法，所述方法包括：

针对获取到的每个同类数据包，进行以下步骤：

A、从该数据包的包尾开始依次分析每个字节，当第一字节中包含的信息为第一数值对应的字节中包含的数据长度信息时，将该第一数值对应的权重值增加设定数值，其中所述第一数值为所述数据包的包尾与所述第一字节间包含的字节数量；

B、将与第一字节相邻且位于第一字节之前的第二字节更新为该数据包的包尾，返回步骤A；

根据确定的每个第一数值对应的权重值，确定所述同类数据包的结构。

进一步地，所述同类数据包为网络通信协议中握手时处于同一操作步骤的数据包。

进一步地，确定所述第一字节中包含的信息为第一数值对应的字节包含的数据长度信息之前，所述方法还包括：

判断该第一数值的字节中包含的数据长度信息是否能够用一个字节表示；

如果是，进行后续步骤。

进一步地，如果第一数值的字节中包含的数据长度信息不能够用一个字节表示，所述方法还包括：

确定表示该数据长度的字节的数量；

以所述第一字节为起始字节，获取第一字节之前的包含所述第一字节的所述数量的字节；

判断所述数量的字节中包含的信息是否为第一数值的字节中包含的数据长度信息。

进一步地，所述根据确定的每个第一数值对应的权重值，确定所述同类数据包的结构包括：

获取权重值大于设定阈值的每个目标第一数值；

根据每个目标第一数值，确定所述同类数据包的结构。

本发明实施例提供了一种数据包分析装置，所述装置包括：

分析模块，用于针对获取到的每个同类数据包，进行以下步骤：从该数据包的包尾开始依次分析每个字节，当第一字节中包含的信息为第一数值对应的字节中包含的数据长度信息时，将该第一数值对应的权重值增加设定数值，其中所述第一数值为所述数据包的包尾与所述第一字节间包含的字节数量；

更新模块，用于将与第一字节相邻且位于第一字节之前的第二字节更新为该数据包的包尾，触发分析模块；

确定模块，用于根据确定的每个第一数值对应的权重值，确定所述同类数据包的结构。