[发明专利]一种基于网络数据包提取文件的方法

权利要求书

1.一种基于网络数据包提取文件的方法，其特征在于，包括以下步骤：

S1：分析接收的网络数据包，提取数据包的TCP四元组，若同一TCP会话已经存在于会话表HTS中，直接转到步骤S6，若同一TCP会话不存在于会话表HTS中，转到步骤S2；

S2：从会话表HTS中读取网络数据包进行HTTP头解析，如果是HTTP请求，且方法是GET，则将该数据包暂存到临时会话表HTL中；如果是HTTP应答，且同一TCP会话已经存在临时会话表HTL中,则将该数据包暂存到临时会话表HTL中；

S3：通过握手请求与应答，模拟出虚拟HTTP客户端与接收HTTP服务器的TCP会话，得到会话表HTT；

S4：从临时会话表HTL提取HTTP请求包和应答包，将HTTP应答包的TCP四元组、SEQ及ACK存入会话表HTS，与会话表HTT中的TCP四元组、SEQ及ACK，建立映射规则；

S5：将HTTP应答包转换为HTTP请求包，其请求方法为PUT，其URL为HTTP请求包中的URL；

S6：依据映射规则，将HTTP请求包中TCP报文的数据进行替换，转换为虚拟HTTP客户端会话，将重构后的数据包发送给HTTP服务器，并更新会话表HTT；

S7：接收HTTP服务器的TCP报文，结束终止报文时，依据网络协议规范结束该会话，清除会话表HTT及HTS记录。

2.根据权利要求1所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S1中的TCP四元组分别为源IP地址、源端口、目的IP地址和目的端口。

3.根据权利要求2所述的一种基于网络数据包提取文件的方法，其特征在于，所述HTTP应答的应答码是200或206。

4.根据权利要求3所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S3模拟出虚拟HTTP客户端与接收HTTP服务器的TCP会话步骤为：

S31：构建TCP的握手请求报文，目标地址是HTTP服务器的IP地址，目标端口是HTTP服务器的监听端口；

S32：将TCP的握手请求报文发送给HTTP服务器；

S33：收到HTTP服务器的TCP握手应答；

S34：构建TCP的握手请求报文，发送给HTTP服务器；

S35：将TCP四元组、SEQ及ACK存入会话表HTT，得到会话表HTT。

5.根据权利要求4所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S31的TCP标志为SYN。

6.根据权利要求5所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S33的TCP标志为SYN+ACK。

7.根据权利要求6所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S34的TCP标志为ACK。

8.根据权利要求7所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S4中的HTTP应答包的TCP四元组和会话表HTT中的TCP四元组不同，需要将远端资源服务TCP会话中的SEQ转换为虚拟HTTP客户端TCP会话的SEQ。

9.根据权利要求8所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S6中的映射规则为：

seqa2-seqa1＝seqr2-seqr1

Seqa3-seqa2＝seqr3-seqr2

Seqa1、seqa2、seqa3依次为网络数据包TCP会话的SEQ

Seqr1、seqr2、seqr3依次为虚拟HTTP客户端TCP会话的SEQ。

10.根据权利要求9所述的一种基于网络数据包提取文件的方法，其特征在于，步骤S6中，依据映射规则，利用会话表HTT对应关系将网络数据包其TCP报文的IP地址、端口号、SEQ、ACK替换为虚拟HTTP客户端TCP报文，从而转换为HTTP客户端会话，将重构后的数据包发送给HTTP服务器，并更新映射表HTT中的SEQ及ACK。