[发明专利]一种从应用层提取TCP指纹的方法

说明书

技术领域

本发明涉及服务器认证领域，具体涉及一种从应用层提取TCP指纹的方法。

背景技术

随着各式各样智能手机、平板电脑以及物联网设备的出现，客户端设备的种类再也不像以前只有台式机、笔记本那样单一。如何识别这些不同种类的设备，并根据不同设备投射不同的内容也变得越来越重要，比如根据手机和电脑屏幕的不同，投射不同的内容，或根据网络状况的不同，投射大小不同的图片，从而减少用户客户端的加载时间，提高效率。

上面所述的设备特征从网络传输的角度看都是在应用层直接提取的，比如浏览器通过javascript提取。

TCP指纹是指将不同操作系统在TCP协议中的差异视为指纹,据此来探测远程操作系统的类型。在网络对抗环境中,对于攻击方而言,了解目标系统的操作系统使其攻击手段更具针对性；对于防守方而言,了解远程主机的操作系统不仅能有助于检测攻击的出现,更为重要的是有利于制定和采取更为有效的反制措施。目前,人们已经提出了不少探测远程操作系统的方法和技术。由于将不同操作系统在TCP中体现出来的差异视为“指纹特征”,这与人们利用指纹来辨识人身份的原理相似。

在实践中，TCP指纹方法通常这样应用：总结各种操作系统网络协议栈的上述细微差异，形成一个指纹数据库。在探测一个系统的时候，通过网络和目标系统进行交互，或者侦听目标系统发往网络的数据包，收集其网络协议栈的行为特点，然后对收集的信息进行分析，从而得出目标系统运行何种OS的结论。

TCP(SYN)同步报文的选项格式如下表1所示：

kind(1字节)Length(1字节)Info(n字节)

表1

常见TCP选项有7种，如下表2所示：

表2

由于每种操作系统都有自己特定的配置，导致每种OS都具有自己特定的TCP同步报文(SYN报文)，例如：

Debian8.5内核3.16.4-amd64的options为：

Options:(12bytes),No-Operation(NOP),No-Operation(NOP),Timestamps

No-Operation(NOP)

No-Operation(NOP)

Timestamps:TSval 5041456,TSecr 3166250107

Centos7内核3.10.0-229的options为：

Options:(20bytes),Maximum segment s ize,SACK permitted,Timestamps,No-Operat ion(NOP),Window scale

Maximum segment s ize:1460 bytes

TCP SACK Permitted Option:True

Timestamps:TSval 5396750,TSecr 0

No-Operat ion(NOP)

Window scale:7(multiply by 128)

TCP报文选项会因内核版本、OS发行版本、配置的不同而不同，故可以据此给与应用层更多的设备识别因子。

正常况下，TCP头部选项是操作系统的协议栈处理的，用于计算往返时延(RTT)，设置窗口大小(win)等，协议栈最终将TCP头部选项删掉，将TCP数据部分重新组装发送到应用层，故应用层是无法从正常途径拿到TCP头部中的options。

针对上述这种情况，本申请发明一种从应用层提取TCP指纹的方法，该方法从TCP报文中提取操作系统的特征码，给服务器的认证系统从设备特征方面做一个补充，为应用层识别设备提供了一个重要的特征因子。

发明内容