[发明专利]数据包的重组方法及装置、计算机设备及可读介质

说明书

本发明提供一种数据包的重组方法及装置、计算机设备及可读介质。其方法包括：从网络的路由节点中获取预设时间周期内的所有TCP数据包；根据各TCP数据包的四元组信息，获取各TCP流中的多个TCP数据包；该四元组信息包括源端口标识、目的端口标识、源IP地址和目的IP地址；根据各TCP流中的各TCP数据包的四元组信息以及各TCP数据包的属性信息，将各TCP流中的多个TCP数据包按照发送顺序重组；将各TCP流的重组后的多个TCP数据包按照HTTP流进行重组。本本发明的技术方案可以对于任意形式的TCP流中的数据包进行重组，使用方式非常灵活，能够适用于非常多的场景中，实用性非常强。

【技术领域】

本发明涉及计算机应用技术领域，尤其涉及一种数据包的重组方法及装置、计算机设备及可读介质。

【背景技术】

超文本传输协议(HyperText Transfer Protocol；HTTP)是一种基于传输控制协议(Transmission Control Protocol；TCP)TCP/网际协议(Internet protocol；IP)的应用层协议，已经广泛的应用于互联网领域。

在互联网广泛普及和信息爆炸的时代，信息安全成了重要课题。通过分析数据流，重组HTTP协议数据包，将网络中传输的数据包还原成完整的应用层数据，可以帮助人们实现安全行为分析。例如，现有的HTTP流重组技术主要应用于安全审计领域，包括挖掘恶意非法用户行为(黄赌毒，刷流量)，用户网站漏洞和后门挖掘，肉鸡和攻击主控的发现，网络攻击行为的检测等。但是现有技术中缺乏有效的HTTP流重组技术，例如现有技术提供的一种基于HTTP的网络数据包还原方法在TCP会话数据流重组算法的基础上，对HTTP协议中post方法提交的数据，添加通过Content-Length的值判断数据是否发送完。在接受重组的过程中，累计记录数据包的有效数据长度，其中有效数据长度即不包含TCP/IP协议头的长度，当累计的数据包的长度等于协议头部中指定的长度时，即post提交的数据已经完成；这时不用再继续等到携带tcp连接断开标志位FIN为1的报文到达，即可以分析提交的报文数据。

但是，上述现有的网络数据包还原方法处理的数据单一，只能分析和重组POST数据，无法处理GET/HEAD等请求方法，也无法处理transfer-encoding等不含content-length字段的数据包。因此，现有的HTTP流重组技术非常死板，仅能够处理较为单一的数据，实用性较差。

【发明内容】

本发明提供了一种数据包的重组方法及装置、计算机设备及可读介质，用于提高数据包的重组方案的灵活性和实用性。

本发明提供一种数据包的重组方法，所述方法包括：

从网络的路由节点中获取预设时间周期内的所有TCP数据包；

根据各所述TCP数据包的四元组信息，获取各TCP流中的多个所述TCP数据包；所述四元组信息包括源端口标识、目的端口标识、源IP地址和目的IP地址；

根据各所述TCP流中的各所述TCP数据包的所述四元组信息以及各所述TCP数据包的属性信息，将各所述TCP流中的多个所述TCP数据包按照发送顺序重组；

将各所述TCP流的重组后的多个所述TCP数据包按照HTTP流进行重组。

进一步可选地，如上所述的方法中，根据各所述TCP数据包的四元组信息，获取各TCP流中的多个所述TCP数据包，具体包括：

根据各所述TCP数据包的四元组信息，计算对应的所述TCP数据包的哈希值，使得所述四元组信息相同的所述TCP数据包具有相同的所述哈希值；

将所述所有TCP数据包中所述哈希值相同的所述TCP数据包归为同一所述TCP流的所述TCP数据包，得到各TCP流中的多个所述TCP数据包。