[发明专利]一种多终端系统网络流量采集与标签方法

权利要求书

1.一种多终端系统网络流量采集与标签方法，其特征在于，所述方法包括Windows系统下的网络流量采集与标签方法和Android系统下的网络流量采集与标签方法。

2.根据权利要求1所述的一种多终端系统网络流量采集与标签方法，其特征在于，所述Windows系统下的网络流量采集与标签方法为：

步骤101)：选择目标网络适配器，检索Windows系统下网络适配器(A1,A2,…,An)，其中n表示Windows系统下网络适配器的数目，自动选择带有默认网关的网络适配器作为默认选项，并将自动选择结果回显给用户，经用户确认选择网络适配器，作为目标网络适配器Ai，完成目标网络适配器选择；

步骤102)：采集初始化，包括：生成采集启动时间戳，获取目标网络适配器Ai的IP地址，建立并初始化“端口-进程”映射关系集；首先获取系统当前时间戳，作为本次采集的标识，用作区分多次采集；然后，获取目标网络适配器Ai的所有IP地址列表L，列表内容如下：IP1,IP2,…,IPm，其中m表示目标网络适配器Ai所包含的IP地址个数，最后建立“端口-进程”映射关系集F，初始化为空；其中端口为网络协议栈中传输层的端口，进程为计算机中正在运行的程序实例，所述“端口-进程”映射关系集F，经过两次映射，第一映射关系为网络数据包中的网络端口映射到Windows系统上的进程ID，第二映射关系为进程ID映射到进程名；

步骤103)：开启网络适配器监听，设置临时存储监听到的网络数据包的缓冲区；

步骤104)：判断缓冲区是否为空，若缓冲区内存在捕捉到的数据包，则读取缓冲区内一个数据包，进入步骤105)，否则等待数据包被传送到缓冲区再读取，继续进入步骤105)；

步骤105)：解析当前读取的网络数据包，读取链路层协议头部，根据type字段判断网络层协议，若为IPv4或IPv6协议，则进入步骤106)，否则标记为其他流量，清除该数据包所占缓冲区，返回步骤104)；

步骤106)：解析IPv4或IPv6协议头部，读取源IP地址Dsrc和目的IP地址Ddst，同时，判断IPv4或IPv6协议的上层协议，如果上层协议为TCP或UDP协议，则提取源端口号Psrc和目的端口号Pdst，同时记录协议类型t，进入步骤107)，否则标记为其他流量，清除该数据包所占缓冲区，返回步骤104)；

步骤107)：根据步骤106)获取的源IP地址Dsrc和目的IP地址Ddst，结合IP地址列表L中的元素，确定数据包的传输方向；

步骤108)：在映射关系集F中检索本机识别端口P，若检索到第一映射关系，则必定存在第二映射关系，进而根据第一映射关系，确定本机识别端口P对应的进程ID，进一步通过第二映射关系，确定进程ID对应的进程名，并将当前数据包标记为获取到的进程名以文件形式保存，清除该数据所占缓冲区，返回步骤104)；若检索不到第一映射关系则进入步骤109)；

步骤109)：获取当前Windows系统中运行的进程列表PL和网络端口占用列表NL，其中所述列表PL中包含：进程ID和进程名；所述列表NL中包含：进程ID、TCP端口号和UDP端口号，根据本机识别端口P和传输层协议类型t，检索网络端口占用列表NL中TCP和UDP网络端口使用情况，并构建第一映射关系，将构建完成的第一映射关系添加到映射关系集F中，完成映射关系集F的更新，在映射关系集F中检索与当前所建立的第一映射关系对应的第二映射关系，若检索到该第二映射关系，则获取映射关系中的进程名，将当前数据包标记为获取到的进程名，并以文件形式保存，并将当前数据包进行保存，清除当前数据包所占缓冲区，返回步骤104)；若检索不到第二映射关系则进入步骤110)；

步骤110)：在进程列表PL中检索PID，进行第二映射关系的构建，然后，将当前数据包标记为获取到的进程名，并以文件形式保存；保存当前本机识别端口P与进程名的映射关系，追加上述两次映射关系到“端口-进程”映射关系集F中，完成映射关系集F的更新清除该数据包所占缓冲区，返回步骤104)。