[发明专利]一种流量解析场景下快速拆分HTTP请求与响应的方法

权利要求书

1.一种流量解析场景下快速拆分HTTP请求与响应的方法，其特征在于，具体步骤如下：

TCP流量预处理：处理TCP层数据重组并提取HTTP内容，针对HTTP协议版本和特征形成指纹库，接收到TCP流量后先进行指纹比对；

HTTP流量预处理：对同TCP会话下HTTP请求和响应的类型快速识别，并与TCP的方向进行关联 ，根据不同HTTP协议版本进行不同流处理；

HTTP请求与响应快速处理：对HTTP包内容中HTTP协议请求行或响应行预处理，针对HTTP长连接仅将使用探针获取到的TCP包快速查找请求行或响应行，利用不同请求拆分不同TCP包内容的特性 ，快速将多个HTTP请求和HTTP响应拆分；

所述HTTP流量预处理，还包括：HTTP短连接无需进行HTTP请求和响应拆分，HTTP长连接才需要进行拆分，对TCP会话下的多个HTTP请求和响应进行HTTP会话重组和保存；

HTTP请求方法特征预处理 ，包括：

在该TCP会话上对于TCP三次握手的发起者sip=10.0.0.1、sport=8888，检测其TCP负荷中是否以HTTP请求方法GET/HEAD/POST/OPTIONS/PUT/DELETE/TRACE/CONNECT开头；

如果不是该TCP会话的HTTP会话不进行解析；

如果符合HTTP请求的特征则进行生成HTTP会话；

所述生成HTTP会话，包括：

通过sip=10.0.0.1、sport=8888、dip=10.0.0.2、dport=80以及该TCP会话上的HTTP会话计数器count=1进行哈希，得到该HTTP会话sessionid=sid1；并且关联HTTP会话的请求和响应相关元信息 ，并将当前TCP负荷设置成HTTP负荷并进行HTTP 0.9请求方法特征预处理；

所述HTTP 0.9请求方法特征预处理，包括：

判断该HTTP负荷中HTTP请求的方法是否为GET，如果不是则设置该HTTP会话为长连接，如果是GET则进行下一步；

判断该HTTP负荷中HTTP请求第一个请求行标志\r\n，是否\r\n就是HTTP请求的结尾，且\r\n前无HTTP版本信息，判断结果为是，则该HTTP会话为短连接，否则设置该HTTP会话为长连接；

设置该HTTP会话为长连接后，进行等待HTTP负荷，判断HTTP会话是否长连接；

所述等待HTTP负荷，判断HTTP会话是否长连接，包括：

该HTTP会话为短连接：通过HTTP会话sessionid=sid1查找到对应的存储位置 ，并通过HTTP会话的方向确定目前的HTTP包是请求还是响应分别进行存储，存储完毕后进行判断当前TCP会话是否已经结束；

该HTTP会话为长连接：对当前HTTP负荷进行请求行或响应行标志\r\n查找，用于判断当前HTTP负荷是否为下一个HTTP会话的请求行或者响应行，不对HTTP请求或响应进行全量解析，仅部分字符串查找，如果查找到请求行或响应行标志\r\n，表明前一个HTTP负荷已经是上一个HTTP会话的最后一个TCP包，上一个HTTP会话处理完毕，根据HTTP请求/响应类型存储到对应会话 ，在HTTP会话哈希表删除当前HTTP会话sessionid=sid1相关信息，并生成新的会话sessionid=sid2，当前HTTP负荷为新会话的第一个TCP包，进行判断当前TCP会话是否已经结束；如果未查找到则根据HTTP请求/响应类型将当前HTTP负荷追加到当前HTTP会话数据存储中，然后进行判断当前TCP会话是否已经结束。

2.根据权利要求1所述的一种流量解析场景下快速拆分HTTP请求与响应的方法，其特征在于，所述处理TCP层数据重组并提取HTTP内容，针对HTTP协议版本和特征形成指纹库，接收到TCP流量后先进行指纹比对，包括：

进行TCP流量的捕获；

进行TCP包的重组和TCP负荷提取。