基于socket hook的主機流量測量分析研究.pdf

1、現(xiàn)如今，很多基于網(wǎng)絡的新型應用體現(xiàn)出行為特征復雜、占用過多流量等特點，這些新型應用的出現(xiàn)會堵塞網(wǎng)絡，搶占資源，侵占其他網(wǎng)絡用戶的合法權(quán)益。因此，提供高水平網(wǎng)絡服務質(zhì)量，更好的管理網(wǎng)絡已成為人們越來越關(guān)注的問題。網(wǎng)絡流量能夠記錄并反映網(wǎng)絡用戶的使用情況，同時主機上采集得流量能夠得到應用程序和流量的對應關(guān)系（流量可由IP地址、端口號確定）。通俗的講就是可以知道主機上發(fā)出的一條流量是哪一個應用程序產(chǎn)生，得到的這個對應關(guān)系可為流量標記奠定基礎，

2、從而為流量分類技術(shù)的研究提供了準確的帶有應用類型標簽的基礎流量數(shù)據(jù)集。將網(wǎng)絡流量進行分類，便可間接知道網(wǎng)絡的使用情況，進而管理網(wǎng)絡。
　　 本課題意在解決上述現(xiàn)象最根本的問題一應用程序和IP地址、端口號的對應關(guān)系，設計了一個基于Socket技術(shù)和Hook技術(shù)的主機流量采集分析系統(tǒng)。該系統(tǒng)通過Hook技術(shù)將自己編寫的動態(tài)鏈接庫映射到目標進程的虛擬地址空間，截獲目標進程發(fā)送、接收數(shù)據(jù)時使用的send、recv等函數(shù)，并用自己編寫的d

3、etour_send、detour_recv函數(shù)替換這些發(fā)送接收函數(shù)。對send、recv等函數(shù)做相應的業(yè)務邏輯處理，將IP地址、端口號和應用程序的對應關(guān)系提取出來。同時自己編寫的動態(tài)連接庫中的detour_send、detour_recv等函數(shù)會返回發(fā)送接收的字節(jié)數(shù)，便于我們統(tǒng)計流量，計算出每個進程的流量速度和總流量。本課題有很高的工程應用意義和研究價值。
　　 本文論述了基于SocketHook的主機流量測量分析系統(tǒng)的設計原