基于P2P流量檢測的簽名特征匹配研究
加入技術(shù)交流群
2 簽名特征的抓取及實(shí)驗數據分析
簽名技術(shù)需要訪(fǎng)問(wèn)每一個(gè)數據包中的用戶(hù)載荷，每一種P2P應用都具有與協(xié)議相關(guān)的簽名特征，為了對比分析方便，選取目前使用較為廣泛的Sniffer軟件，通過(guò)抓取對應協(xié)議數據包，觀(guān)察關(guān)鍵字、命令、選項等可觀(guān)察的特征內容，找到其已知的特征串。
實(shí)現簽名特征技術(shù)的關(guān)鍵問(wèn)題在于，首先通過(guò)分析P2P流是TCP數據包還是UDP數據包，或者兩者皆有；其次P2P應用層的簽名可以應用到單一的數據包，也可應用到重組的數據包中。
Emule／Edonkey協(xié)議：采用TCP或UDP通信，缺省端口4661-4665，第一字節特征串為0xe3，0xc5。本文引用地址：http://dyxdggzs.com/article/193648.htm
Kazaa協(xié)議：對數據包進(jìn)行加密，很難了解到協(xié)議的具體細節，在Kazaa中，文件通常以偽裝的HTTP形式發(fā)送。
Gnutella協(xié)議：使用TCP建立一個(gè)高度互聯(lián)的拓撲結構，為子節點(diǎn)提供網(wǎng)絡(luò )服務(wù)，當兩個(gè)Gnutella節點(diǎn)建立連接后，需要一個(gè)握手來(lái)交換一下必要的數據信息。
明文檢查UDP包起始數據是否為“GNUTELL”或“GND”
p2p機相關(guān)文章:p2p原理
評論