22毕业论文：网络入侵取证分布式系统的设计与实现

以下仅分析程序的监听可根据以上示例帧中的前同步字符和效验字段。

根据数据包的封装格式定义头部的相应数据类型太帧的头部数据类型注意网络接口卡驱动程序会负责计算效验和，并取走目的地址，协议类型等信息。

解析的过程是将数据帧中的数据按不同协议进行分析提取。

首先，要按照不同协议数据组织格式定义效应数据类型，下面根据以太网网数据帧的格式及协议栈定义相关数据类型。

定义以通过函数来设置内核缓存，通常情况，要取得较好的性能应设置较大的内核缓存。

数据帧的协议解析捕获后的数据帧经过解析才能得到我们想要的信息，如作为网络监听所需要的数据帧的源地址，。

调整函数中的读操作等待时间值。

通常出于效率可将该值设置的比较大但当对响应时间要求比较高时，应将该值改小。

设置严格的过虑条件。

在基于平台，中还可以别在于在读取超时时不会返回。

监听程序性能的调整在需提高监听程序性能时可做以下相应调整。

调整用户级缓存。

通过修改函数的源代码并重新编译后来调整用户级缓存内核过滤器的设置生效。

执行捕获循环每捕获个数据包后就调用用户的回调函数对数据包进行处理，以上功能可通过调用以下两个函数实现它们的功能基本相同，唯的差表示捕获主机收发的数据帧，表示捕获协议类型为的数据帧，表示捕获目的或源端口是的数据帧等等，很多过滤字符串还能进行组合。

由函数进行用失败时返回信息字符串。

设置过滤条件编辑过滤字符串，设置过滤器，制定要捕获的主机协议等，可以有效的捕获指定类型的数据。

通过函数将过滤字符串编译为二进制。

常用的过滤字符串有其中为上步中所提到的网络适配器的字符串，定义监听程序所捕获的最大字节数，定义是否将网络适配器设置为混杂模式。

定义读操作的时间。

函数调话通过函数建立监听会话。

络设置检测部分主控程序及版本部分数据包捕获程序流程获取本地设备信息。

通过函数寻找系统中可用的网络接口设备，返回个表示网络适配器的字符串。

打开设备开始监听会，提高程序的健壮性。

基于的结构由二十多个程序文件组成，按功能大致分为以下几个部分打开，读取设备，设置过滤部分编译优化调试过滤部分脱机方式监听部分本地网帮助程序员实现了应用程序与操作系统内核的接口。

提供了组强大而高效的函数来实现数据包的捕获，同时提供了用户数据缓存用于存储来自与内核的数据包，有效防止应用程序进入系统内核管理的存储区域，帮助程序员实现了应用程序与操作系统内核的接口。

提供了组强大而高效的函数来实现数据包的捕获，同时提供了用户数据缓存用于存储来自与内核的数据包，有效防止应用程序进入系统内核管理的存储区域，提高程序的健壮性。

基于的结构由二十多个程序文件组成，按功能大致分为以下几个部分打开，读取设备，设置过滤部分编译优化调试过滤部分脱机方式监听部分本地网络设置检测部分主控程序及版本部分数据包捕获程序流程获取本地设备信息。

通过函数寻找系统中可用的网络接口设备，返回个表示网络适配器的字符串。

打开设备开始监听会话通过函数建立监听会话。

其中为上步中所提到的网络适配器的字符串，定义监听程序所捕获的最大字节数，定义是否将网络适配器设置为混杂模式。

定义读操作的时间。

函数调用失败时返回信息字符串。

设置过滤条件编辑过滤字符串，设置过滤器，制定要捕获的主机协议等，可以有效的捕获指定类型的数据。

通过函数将过滤字符串编译为二进制。

常用的过滤字符串有表示捕获主机收发的数据帧，表示捕获协议类型为的数据帧，表示捕获目的或源端口是的数据帧等等，很多过滤字符串还能进行组合。

由函数进行内核过滤器的设置生效。

执行捕获循环每捕获个数据包后就调用用户的回调函数对数据包进行处理，以上功能可通过调用以下两个函数实现它们的功能基本相同，唯的差别在于在读取超时时不会返回。

监听程序性能的调整在需提高监听程序性能时可做以下相应调整。

调整用户级缓存。

通过修改函数的源代码并重新编译后来调整用户级缓存。

调整函数中的读操作等待时间值。

通常出于效率可将该值设置的比较大但当对响应时间要求比较高时，应将该值改小。

设置严格的过虑条件。

在基于平台，中还可以通过函数来设置内核缓存，通常情况，要取得较好的性能应设置较大的内核缓存。

数据帧的协议解析捕获后的数据帧经过解析才能得到我们想要的信息，如作为网络监听所需要的数据帧的源地址，目的地址，协议类型等信息。

解析的过程是将数据帧中的数据按不同协议进行分析提取。

首先，要按照不同协议数据组织格式定义效应数据类型，下面根据以太网网数据帧的格式及协议栈定义相关数据类型。

定义以太帧的头部数据类型注意网络接口卡驱动程序会负责计算效验和，并取走帧中的前同步字符和效验字段。

根据数据包的封装格式定义头部的相应数据类型可根据以上示例定其他协议的相应数据结构。

网络监听程序实例以下将通过作者利用及开发的网络入侵取证系统的网络数据包捕获部分，来进步阐述利用开发网络监听程序的方法。

以下仅分析程序的监听部分。

数据类型定义为了实现捕获数据的解析定义了相关数据类型在文件中定义定义协议类型名称，信息采集器进程列表文件，用于保存被取证机上信息采集器进程的状态，客户端在安装了服务代理后，信息采集程序便可以通过使用智慧指针来调用和访问远程组件服务，以下是调用远程组件服务的程序片断初始化组件服务声明智慧指针调用远程服务发回表示采集器仍在运行的特定信息监测采集器进程状态被取证机上信息采集器进程如果发生意外中断，或被入侵者恶意中断，就失去了监测能力，因此这种情况旦发生因能及时的予以发现，并作相应记录。

解决方案如下方案采集器定时向取证机发送特定信息，当在定时间段内，如果没用接收到来自被取证机的信息，则说明该取证机上的采集器进程已停止运行或是通讯中断，取证机将立即记录该情况。

取证机将通过自动学习，生成网络中运行采集器进程的被取证机的列表，并随时记录其变化情况。

具体实现已包含在前面给出的代码片段中。

但此，实现方案需占用定的网络资源，在保存和分析截获的网络数据包时，应注意将取证机与信息采集器之间通讯的正常数据包过滤掉。

方案二客户机上采用两个进程，互相监视对方进程是否在系统的进程列表中，其中个为信息采集器进程，如果其中方发现对方进程消失，则向取证机发出警告。

此方案只有在有个进程终结时采与取证机通讯，故占用网络资源较少，不会对储存分析造成影响。

但此方案较之方案，要占用较多的客户端资源。

方案的实现采用，定时对系统进程拍摄快照来实现。

取得的进程列表核心代码如下平台用于保存取得的进程列表