專利名稱：一種代理檢測(cè)系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)安全中的代理檢測(cè)技術(shù)，更具體的說(shuō)，是一種檢測(cè)計(jì)算機(jī)是否存在代理的代理檢測(cè)系統(tǒng)和方法。
背景技術(shù)：
在當(dāng)今的網(wǎng)絡(luò)管理中，用戶使用代理一直是網(wǎng)絡(luò)服務(wù)提供商(ISP)非常頭疼的問題。網(wǎng)絡(luò)用戶只申請(qǐng)一個(gè)用戶帳號(hào)，但通過(guò)配置一臺(tái)代理服務(wù)器，可以保證多人共用帳號(hào)上網(wǎng)，這種情況對(duì)管理者進(jìn)行網(wǎng)絡(luò)服務(wù)收費(fèi)造成很大的困擾。而校園網(wǎng)的情況尤其嚴(yán)重，如一個(gè)學(xué)生宿舍申請(qǐng)了一個(gè)帳號(hào)或IP地址，通過(guò)把一臺(tái)雙網(wǎng)卡的機(jī)器設(shè)置為代理服務(wù)器或在一臺(tái)單網(wǎng)卡的機(jī)器上安裝代理軟件作為代理服務(wù)器，同宿舍的多臺(tái)機(jī)器甚至其他宿舍的機(jī)器都可以通過(guò)這臺(tái)機(jī)器使用網(wǎng)絡(luò)資源，達(dá)到逃避計(jì)費(fèi)的目的，從而對(duì)使用計(jì)時(shí)或包月收費(fèi)的網(wǎng)絡(luò)管理者造成困擾。
目前，代理檢測(cè)技術(shù)一般采用端口掃描技術(shù)，對(duì)某些知名端口進(jìn)行掃描，但端口掃描有幾個(gè)主要缺點(diǎn)(1)由于只對(duì)知名進(jìn)程監(jiān)視和知名端口掃描，所以容易遺漏代理檢測(cè)；(2)增加網(wǎng)絡(luò)負(fù)載，耗費(fèi)高；代理服務(wù)器端運(yùn)行掃描軟件，需要發(fā)送大量的試探報(bào)文，增加網(wǎng)絡(luò)負(fù)擔(dān)，并對(duì)代理服務(wù)器的資源消耗也很大。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種代理檢測(cè)系統(tǒng)和方法，能夠防范和檢測(cè)用戶使用共享上網(wǎng)技術(shù)。
本發(fā)明具體是這樣實(shí)現(xiàn)的一種代理檢測(cè)系統(tǒng)，包括網(wǎng)卡抓包引擎，用以抓取本機(jī)網(wǎng)卡的網(wǎng)絡(luò)進(jìn)出的所有特定數(shù)據(jù)包；數(shù)據(jù)包分析模塊，用以分析抓取的特定數(shù)據(jù)包并獲取特征數(shù)據(jù)；數(shù)據(jù)包隊(duì)列模塊，用以存儲(chǔ)分析并獲取的特征數(shù)據(jù)；
代理檢測(cè)模塊，用以根據(jù)預(yù)先設(shè)定的代理檢測(cè)規(guī)則，檢測(cè)本機(jī)是否存在代理服務(wù)；所述網(wǎng)卡抓包引擎與數(shù)據(jù)包分析模塊連接；所述數(shù)據(jù)包分析模塊與數(shù)據(jù)包隊(duì)列模塊連接；所述數(shù)據(jù)包隊(duì)列模塊與代理檢測(cè)模塊連接。
所述網(wǎng)卡抓包引擎，通過(guò)監(jiān)聽復(fù)制獲取特定數(shù)據(jù)包。
所述特定數(shù)據(jù)包，包括外部網(wǎng)絡(luò)傳送給網(wǎng)卡，或者應(yīng)用系統(tǒng)通過(guò)網(wǎng)卡向外部網(wǎng)絡(luò)發(fā)送的數(shù)據(jù)包。
所述數(shù)據(jù)包分析模塊，根據(jù)數(shù)據(jù)包頭部和部分?jǐn)?shù)據(jù)，提取數(shù)據(jù)包的特征數(shù)據(jù)，將其存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊。
所述代理檢測(cè)模塊對(duì)獲取的特征數(shù)據(jù)，根據(jù)數(shù)據(jù)包包頭特征、數(shù)據(jù)包數(shù)據(jù)特征進(jìn)行分析比較，完全匹配，則返回存在代理，并按照預(yù)定響應(yīng)策略進(jìn)行響應(yīng)；若不完全匹配，則繼續(xù)進(jìn)行代理檢測(cè)。
一種代理檢測(cè)方法，包括以下步驟步驟1、網(wǎng)卡抓包引擎抓取本機(jī)網(wǎng)卡的網(wǎng)絡(luò)進(jìn)出的所有特定數(shù)據(jù)包，并將數(shù)據(jù)包傳送給數(shù)據(jù)分析模塊；步驟2、數(shù)據(jù)分析模塊把收到的數(shù)據(jù)包經(jīng)過(guò)特征分析和提取，將其每個(gè)數(shù)據(jù)包中的特征數(shù)據(jù)存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊；步驟3、當(dāng)數(shù)據(jù)包隊(duì)列模塊中存儲(chǔ)的特征數(shù)據(jù)達(dá)到預(yù)設(shè)數(shù)量后，代理檢測(cè)模塊對(duì)數(shù)據(jù)包的特征數(shù)據(jù)進(jìn)行分析比較，以檢測(cè)代理是否存在；如果檢測(cè)不存在代理，則把數(shù)據(jù)包隊(duì)列模塊中的特征數(shù)據(jù)全部清除，并執(zhí)行步驟1；如果檢測(cè)存在代理，則清除所有數(shù)據(jù)，并返回。
所述步驟2，根據(jù)數(shù)據(jù)包頭部和部分?jǐn)?shù)據(jù)，提取數(shù)據(jù)包的特征數(shù)據(jù)，將其存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊。
所述步驟3中的預(yù)設(shè)數(shù)量，是指存儲(chǔ)的特征數(shù)據(jù)數(shù)量達(dá)到預(yù)設(shè)數(shù)量后，代理檢測(cè)模塊進(jìn)行所有存儲(chǔ)的特征數(shù)據(jù)包之間的分析比較。
所述步驟3，從數(shù)據(jù)包隊(duì)列模塊中提取特征數(shù)據(jù)，根據(jù)數(shù)據(jù)包頭部特征和數(shù)據(jù)部分特征進(jìn)行分析比較，完全匹配，則返回存在代理，并按照預(yù)定響應(yīng)策略進(jìn)行響應(yīng)；若不完全匹配，則繼續(xù)進(jìn)行代理檢測(cè)。
采用本發(fā)明所述的代理檢測(cè)的系統(tǒng)和方法，與現(xiàn)有技術(shù)相比具有以下優(yōu)點(diǎn)(1)從代理的根本屬性出發(fā)，能精確查找代理檢測(cè)的存在與否，不遺漏和不錯(cuò)誤檢測(cè)；(2)本發(fā)明方法不影響數(shù)據(jù)包和網(wǎng)絡(luò)負(fù)擔(dān)，只需要計(jì)算機(jī)很小的CPU和內(nèi)存消耗，不影響其它程序的正常運(yùn)行。


圖1是客戶機(jī)通過(guò)代理服務(wù)器連接外網(wǎng)服務(wù)器的示意圖；圖2是本發(fā)明代理檢測(cè)系統(tǒng)與系統(tǒng)內(nèi)核結(jié)合的示意圖；圖3是本發(fā)明代理檢測(cè)系統(tǒng)的模塊結(jié)構(gòu)圖；圖4是本發(fā)明代理檢測(cè)方法的流程圖。
具體實(shí)施例方式
以下結(jié)合附圖對(duì)本發(fā)明所述代理檢測(cè)系統(tǒng)和方法作進(jìn)一步說(shuō)明如圖1所示，客戶機(jī)通過(guò)代理服務(wù)器連接外網(wǎng)服務(wù)器，代理服務(wù)器的代理方式一般有NAT服務(wù)程序代理，雙網(wǎng)卡代理和單網(wǎng)卡代理等。
單網(wǎng)卡有兩種代理方式，即單網(wǎng)卡NAT代理和單網(wǎng)卡一般代理，但在代理服務(wù)器上它們有共同的數(shù)據(jù)包頭部特征一個(gè)包進(jìn)(出)源(目的)數(shù)據(jù)包的MAC地址與另一個(gè)包出(進(jìn))目的(源)數(shù)據(jù)包的MAC地址相同，但同時(shí)這個(gè)包出(進(jìn))目的(源)MAC地址與另一個(gè)包的進(jìn)(出)源(目的)數(shù)據(jù)包的MAC地址不同。
為了避免可能存在代理服務(wù)器在上外網(wǎng)服務(wù)器的同時(shí)，將客戶機(jī)訪問代理服務(wù)器的情況檢測(cè)為代理，則增加對(duì)數(shù)據(jù)包數(shù)據(jù)部分特征內(nèi)容進(jìn)行檢測(cè)。
雙網(wǎng)卡也有兩種代理方式，即雙網(wǎng)卡NAT代理和雙網(wǎng)卡一般代理，但在代理服務(wù)器上它們有共同的數(shù)據(jù)包頭部特征一個(gè)包進(jìn)(出)源(目的)數(shù)據(jù)包的MAC地址與另一個(gè)包出(進(jìn))目的(源)數(shù)據(jù)包的MAC地址不同，但同時(shí)這個(gè)包出(進(jìn))目的(源)MAC地址與另一個(gè)包的進(jìn)(出)源(目的)數(shù)據(jù)包的MAC地址也不同，即兩個(gè)數(shù)據(jù)包的MAC地址兩兩互不相同。
為了避免可能存在代理服務(wù)器在上外網(wǎng)服務(wù)器的同時(shí)，將客戶機(jī)訪問代理服務(wù)器的情況檢測(cè)為代理，則增加對(duì)數(shù)據(jù)包數(shù)據(jù)部分特征內(nèi)容進(jìn)行檢測(cè)。
因此本發(fā)明采用了數(shù)據(jù)包頭部特征和數(shù)據(jù)部分特征相結(jié)合達(dá)到代理檢測(cè)。當(dāng)進(jìn)行代理檢測(cè)時(shí)，代理檢測(cè)系統(tǒng)使用抓包引擎，通過(guò)監(jiān)聽復(fù)制數(shù)據(jù)包的方法，將經(jīng)過(guò)網(wǎng)卡的所有特定包(外部網(wǎng)絡(luò)傳送給網(wǎng)卡或應(yīng)用系統(tǒng)通過(guò)網(wǎng)卡向外部網(wǎng)絡(luò)發(fā)送的包)進(jìn)行復(fù)制獲取，而后代理檢測(cè)系統(tǒng)對(duì)獲取的特定數(shù)據(jù)包按照代理檢測(cè)規(guī)則(數(shù)據(jù)包包頭特征、數(shù)據(jù)包數(shù)據(jù)特征等)進(jìn)行檢測(cè)。
如圖3所示，本發(fā)明代理檢測(cè)系統(tǒng)包括網(wǎng)卡抓包引擎，用以抓取本機(jī)網(wǎng)卡的網(wǎng)絡(luò)進(jìn)出的所有特定數(shù)據(jù)包；數(shù)據(jù)包分析模塊，用以分析抓取的網(wǎng)絡(luò)進(jìn)出的特定數(shù)據(jù)包并獲取特征數(shù)據(jù)；
數(shù)據(jù)包隊(duì)列模塊，用以存儲(chǔ)分析并獲取的特征數(shù)據(jù)；代理檢測(cè)模塊，用以根據(jù)預(yù)先設(shè)定的代理檢測(cè)規(guī)則，檢測(cè)本機(jī)是否存在代理服務(wù)。
其中，網(wǎng)卡抓包引擎與數(shù)據(jù)包分析模塊連接；數(shù)據(jù)包分析模塊與數(shù)據(jù)包隊(duì)列模塊連接；數(shù)據(jù)包隊(duì)列模塊與代理檢測(cè)模塊連接。
如圖2所示，為了不影響計(jì)算機(jī)系統(tǒng)的正常運(yùn)行，本發(fā)明所述代理檢測(cè)系統(tǒng)在計(jì)算機(jī)的應(yīng)用層實(shí)現(xiàn)，即作為一個(gè)程序運(yùn)行于應(yīng)用層。
如圖4所示，本發(fā)明所述方法包括以下步驟步驟A.網(wǎng)卡抓包引擎抓取本機(jī)網(wǎng)卡的網(wǎng)絡(luò)進(jìn)出的所有數(shù)據(jù)包，并將數(shù)據(jù)包傳送給數(shù)據(jù)分析模塊；步驟B.數(shù)據(jù)分析模塊把收到的數(shù)據(jù)包經(jīng)過(guò)特征分析和提取，將其每個(gè)數(shù)據(jù)包中的特征數(shù)據(jù)存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊；步驟C.當(dāng)數(shù)據(jù)包隊(duì)列模塊中存儲(chǔ)的特征數(shù)據(jù)達(dá)到預(yù)設(shè)數(shù)量后，代理檢測(cè)模塊對(duì)數(shù)據(jù)包的特征數(shù)據(jù)進(jìn)行分析比較，以檢測(cè)代理是否存在；步驟D.如果檢測(cè)不存在代理，則把數(shù)據(jù)包隊(duì)列模塊中的特征數(shù)據(jù)全部清除，并執(zhí)行步驟A；步驟E.如果檢測(cè)存在代理，則清除所有數(shù)據(jù)，并返回。
所述步驟C中的預(yù)設(shè)數(shù)量，是指存儲(chǔ)的特征數(shù)據(jù)數(shù)量達(dá)到預(yù)設(shè)數(shù)量后，代理檢測(cè)模塊進(jìn)行所有存儲(chǔ)的特征數(shù)據(jù)包之間的分析比較。
所述預(yù)設(shè)數(shù)量可以根據(jù)實(shí)際的網(wǎng)絡(luò)情況和動(dòng)態(tài)設(shè)定。
以下以檢測(cè)代理的主機(jī)接收和發(fā)送數(shù)據(jù)包的過(guò)程為例，參照?qǐng)D2、圖3、圖4所示，對(duì)本發(fā)明代理檢測(cè)的實(shí)現(xiàn)方法作進(jìn)一步詳細(xì)說(shuō)明。
步驟1，通過(guò)抓包引擎從網(wǎng)卡驅(qū)動(dòng)程序處獲取特定的進(jìn)出數(shù)據(jù)包；步驟2，將抓取的數(shù)據(jù)包進(jìn)行分析，并根據(jù)預(yù)設(shè)的特征規(guī)則的數(shù)據(jù)結(jié)構(gòu)(數(shù)據(jù)包頭部MAC地址，IP地址等；數(shù)據(jù)部分提取部分特征數(shù)據(jù))，提取數(shù)據(jù)包的特征數(shù)據(jù)，然后將其存儲(chǔ)到數(shù)據(jù)包的數(shù)據(jù)結(jié)構(gòu)隊(duì)列中；步驟3，從數(shù)據(jù)結(jié)構(gòu)隊(duì)列中提取數(shù)據(jù)結(jié)構(gòu)元素，根據(jù)特征匹配規(guī)則進(jìn)行數(shù)據(jù)特征匹配，若數(shù)據(jù)特征(數(shù)據(jù)包頭部特征和數(shù)據(jù)部分特征)完全匹配，則返回存在代理，并按照預(yù)定響應(yīng)策略進(jìn)行響應(yīng)。若不完全匹配，則繼續(xù)進(jìn)行代理檢測(cè)。
權(quán)利要求
1.一種代理檢測(cè)系統(tǒng)，其特征在于系統(tǒng)包括網(wǎng)卡抓包引擎，用以抓取本機(jī)網(wǎng)卡的網(wǎng)絡(luò)進(jìn)出的所有特定數(shù)據(jù)包；數(shù)據(jù)包分析模塊，用以分析抓取的特定數(shù)據(jù)包并獲取特征數(shù)據(jù)；數(shù)據(jù)包隊(duì)列模塊，用以存儲(chǔ)分析并獲取的特征數(shù)據(jù)；代理檢測(cè)模塊，用以根據(jù)預(yù)先設(shè)定的代理檢測(cè)規(guī)則，檢測(cè)本機(jī)是否存在代理服務(wù)；所述網(wǎng)卡抓包引擎與數(shù)據(jù)包分析模塊連接；所述數(shù)據(jù)包分析模塊與數(shù)據(jù)包隊(duì)列模塊連接；所述數(shù)據(jù)包隊(duì)列模塊與代理檢測(cè)模塊連接。
2.如權(quán)利要求1所述的代理檢測(cè)系統(tǒng)，其特征在于所述網(wǎng)卡抓包引擎，通過(guò)監(jiān)聽復(fù)制獲取特定數(shù)據(jù)包。
3.如權(quán)利要求1所述的代理檢測(cè)系統(tǒng)，其特征在于所述特定數(shù)據(jù)包，包括外部網(wǎng)絡(luò)傳送給網(wǎng)卡，或者應(yīng)用系統(tǒng)通過(guò)網(wǎng)卡向外部網(wǎng)絡(luò)發(fā)送的數(shù)據(jù)包。
4.如權(quán)利要求1所述的代理檢測(cè)系統(tǒng)，其特征在于所述數(shù)據(jù)包分析模塊，根據(jù)數(shù)據(jù)包頭部和部分?jǐn)?shù)據(jù)，提取數(shù)據(jù)包的特征數(shù)據(jù)，將其存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊。
5.如權(quán)利要求1所述的代理檢測(cè)系統(tǒng)，其特征在于所述代理檢測(cè)模塊對(duì)獲取的特征數(shù)據(jù)，根據(jù)數(shù)據(jù)包包頭特征、數(shù)據(jù)包數(shù)據(jù)特征進(jìn)行分析比較，完全匹配，則返回存在代理，并按照預(yù)定響應(yīng)策略進(jìn)行響應(yīng)；若不完全匹配，則繼續(xù)進(jìn)行代理檢測(cè)。
6.一種代理檢測(cè)方法，其特征在于，包括以下步驟步驟1、網(wǎng)卡抓包引擎抓取本機(jī)網(wǎng)卡的網(wǎng)絡(luò)進(jìn)出的所有特定數(shù)據(jù)包，并將數(shù)據(jù)包傳送給數(shù)據(jù)分析模塊；步驟2、數(shù)據(jù)分析模塊把收到的數(shù)據(jù)包經(jīng)過(guò)特征分析和提取，將其每個(gè)數(shù)據(jù)包中的特征數(shù)據(jù)存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊；步驟3、當(dāng)數(shù)據(jù)包隊(duì)列模塊中存儲(chǔ)的特征數(shù)據(jù)達(dá)到預(yù)設(shè)數(shù)量后，代理檢測(cè)模塊對(duì)數(shù)據(jù)包的特征數(shù)據(jù)進(jìn)行分析比較，以檢測(cè)代理是否存在；如果檢測(cè)不存在代理，則把數(shù)據(jù)包隊(duì)列模塊中的特征數(shù)據(jù)全部清除，并執(zhí)行步驟1；如果檢測(cè)存在代理，則清除所有數(shù)據(jù)，并返回。
7.如權(quán)利要求6所述的代理檢測(cè)方法，其特征在于所述步驟2，根據(jù)數(shù)據(jù)包頭部和部分?jǐn)?shù)據(jù)，提取數(shù)據(jù)包的特征數(shù)據(jù)，將其存儲(chǔ)到數(shù)據(jù)包隊(duì)列模塊。
8.如權(quán)利要求6所述的代理檢測(cè)方法，其特征在于所述步驟3中的預(yù)設(shè)數(shù)量，是指存儲(chǔ)的特征數(shù)據(jù)數(shù)量達(dá)到預(yù)設(shè)數(shù)量后，代理檢測(cè)模塊進(jìn)行所有存儲(chǔ)的特征數(shù)據(jù)包之間的分析比較。
9.如權(quán)利要求6所述的代理檢測(cè)方法，其特征在于所述步驟3，從數(shù)據(jù)包隊(duì)列模塊中提取特征數(shù)據(jù)，根據(jù)數(shù)據(jù)包頭部特征和數(shù)據(jù)部分特征進(jìn)行分析比較，完全匹配，則返回存在代理，并按照預(yù)定響應(yīng)策略進(jìn)行響應(yīng)；若不完全匹配，則繼續(xù)進(jìn)行代理檢測(cè)。
全文摘要
本發(fā)明涉及網(wǎng)絡(luò)安全中的代理檢測(cè)技術(shù)，更具體的說(shuō)，是一種檢測(cè)計(jì)算機(jī)是否存在代理的代理檢測(cè)系統(tǒng)和方法。本發(fā)明采用了數(shù)據(jù)包頭部特征和數(shù)據(jù)部分特征相結(jié)合達(dá)到代理檢測(cè)。當(dāng)進(jìn)行代理檢測(cè)時(shí)，代理檢測(cè)系統(tǒng)使用抓包引擎，通過(guò)監(jiān)聽復(fù)制數(shù)據(jù)包的方法，將經(jīng)過(guò)網(wǎng)卡的所有特定包進(jìn)行復(fù)制獲取，而后代理檢測(cè)系統(tǒng)對(duì)獲取的特定數(shù)據(jù)包按照代理檢測(cè)規(guī)則進(jìn)行檢測(cè)。從代理的根本屬性出發(fā)，能精確查找代理檢測(cè)的存在與否，不遺漏和不錯(cuò)誤檢測(cè)；本發(fā)明方法不影響數(shù)據(jù)包和網(wǎng)絡(luò)負(fù)擔(dān)，只需要計(jì)算機(jī)很小的CPU和內(nèi)存消耗，不影響其它程序的正常運(yùn)行。
文檔編號(hào)H04L12/24GK1822549SQ20061006527
公開日2006年8月23日 申請(qǐng)日期2006年3月22日 優(yōu)先權(quán)日2006年3月22日
發(fā)明者黃小華, 盧應(yīng)華, 嚴(yán)峰 申請(qǐng)人:中興通訊股份有限公司