基于socket hook的主機流量測量分析研究.pdf

1、現(xiàn)如今，很多基于網(wǎng)絡(luò)的新型應(yīng)用體現(xiàn)出行為特征復(fù)雜、占用過多流量等特點，這些新型應(yīng)用的出現(xiàn)會堵塞網(wǎng)絡(luò)，搶占資源，侵占其他網(wǎng)絡(luò)用戶的合法權(quán)益。因此，提供高水平網(wǎng)絡(luò)服務(wù)質(zhì)量，更好的管理網(wǎng)絡(luò)已成為人們越來越關(guān)注的問題。網(wǎng)絡(luò)流量能夠記錄并反映網(wǎng)絡(luò)用戶的使用情況，同時主機上采集得流量能夠得到應(yīng)用程序和流量的對應(yīng)關(guān)系（流量可由IP地址、端口號確定）。通俗的講就是可以知道主機上發(fā)出的一條流量是哪一個應(yīng)用程序產(chǎn)生，得到的這個對應(yīng)關(guān)系可為流量標(biāo)記奠定基礎(chǔ)，

2、從而為流量分類技術(shù)的研究提供了準(zhǔn)確的帶有應(yīng)用類型標(biāo)簽的基礎(chǔ)流量數(shù)據(jù)集。將網(wǎng)絡(luò)流量進(jìn)行分類，便可間接知道網(wǎng)絡(luò)的使用情況，進(jìn)而管理網(wǎng)絡(luò)。
　　 本課題意在解決上述現(xiàn)象最根本的問題一應(yīng)用程序和IP地址、端口號的對應(yīng)關(guān)系，設(shè)計了一個基于Socket技術(shù)和Hook技術(shù)的主機流量采集分析系統(tǒng)。該系統(tǒng)通過Hook技術(shù)將自己編寫的動態(tài)鏈接庫映射到目標(biāo)進(jìn)程的虛擬地址空間，截獲目標(biāo)進(jìn)程發(fā)送、接收數(shù)據(jù)時使用的send、recv等函數(shù)，并用自己編寫的d

3、etour_send、detour_recv函數(shù)替換這些發(fā)送接收函數(shù)。對send、recv等函數(shù)做相應(yīng)的業(yè)務(wù)邏輯處理，將IP地址、端口號和應(yīng)用程序的對應(yīng)關(guān)系提取出來。同時自己編寫的動態(tài)連接庫中的detour_send、detour_recv等函數(shù)會返回發(fā)送接收的字節(jié)數(shù)，便于我們統(tǒng)計流量，計算出每個進(jìn)程的流量速度和總流量。本課題有很高的工程應(yīng)用意義和研究價值。
　　 本文論述了基于SocketHook的主機流量測量分析系統(tǒng)的設(shè)計原