[发明专利]一种基于信息还原的内网视频文件监控方法

权利要求书

1.一种基于信息还原的内网视频文件监控方法，包括：

监控时间设定步骤，用于进行监控时间的设定，设定对内网实施视频监控的时间段，即监控启动时间和停止时间，到达指定的监控时间时，启动监控系统；

网络探测步骤，向内网中广播ARP请求报文，根据收到的回复报文，得到内网主机的IP列表；

网卡选择步骤，监控主机可能有多个网卡，首先选定进行视频监控所使用的网卡；

端口设定步骤，为每个IP地址设定需要监控的源端口列表，默认设定源端口为80；

报文截取与分流步骤，进行报文截取与分流，截获进入内网的网络原始报文，随后进行报文解析，将报文的链路层、IP层、TCP层的报文头、以及TCP载荷分别解析出来，根据报文IP头指定的目的IP地址，将报文进行分流；

报文处理步骤，在接收到分流过来的报文后，分析TCP层报文头，如果报文的源端口与端口设定步骤设定的端口相同，则创建视频报文缓存文件，其中将每个报文存储为一个记录，记录内容包括该报文的TCP序列号、期望序列号、报文载荷长度、报文载荷内容，并记录该报文的源IP，作为视频源IP，记录该报文的目的端口，作为视频目的端口，并设置视频报文启动标识；当视频报文启动标识启动且后续接收到的报文的源IP与所述视频源IP相同时，将所述后续接收到的报文以预设格式写入当前视频报文缓存文件；如果在设置时间段内没有收到来自视频源IP的报文，视为该视频传输结束，关闭视频报文缓存文件；

视频文件处理步骤，打开视频报文缓存文件，并将文件中的所有记录的载荷内容按照TCP序列号升序的方式，重新写入一个目标文件，完成后得到的文件，即为还原后的视频文件。

2.根据权利要求1的方法，所述报文处理步骤进一步包括源端口判断步骤、视频首报文判断步骤、中间报文处理步骤、视频结束判断步骤、循环监控步骤，其中

源端口判断步骤用于分析接收到分流过来的报文的TCP层报文头，如果报文的源端口与端口设定步骤设定的端口相同，则继续；否则，丢弃该报文，退出报文处理流程；

视频首报文判断步骤，在TCP载荷中搜索flv视频的起始标志字符串，如果找到，则新建一个视频报文缓存文件，其中将每个报文存储为一个记录，记录内容包括该报文的TCP序列号、TCP序列号加报文载荷长度的和、报文载荷长度、报文载荷内容，同时，记录该报文的源IP，作为视频源IP，记录该报文的目的端口，作为视频目的端口，并设置视频报文启动标识；

中间报文处理步骤，判断后续接收的视频报文启动标识，如果没有启动，则丢弃该报文，报文处理流程结束，如果已经启动，则判断该报文的源IP是否与所述视频源IP相同，如果相同，将该后续接收的报文的TCP序列号、期望序列号、报文载荷长度、报文载荷内容作为一个记录写入当前的视频报文缓存文件；如果不同，丢弃该报文；

视频结束判断步骤，如果在设置时间内没有收到来自视频源IP的报文，视为该视频传输结束，关闭视频报文缓存文件；

循环监控步骤，在监控结束时间结束之前，循环往复进行报文的截获、分流和处理流程。

3.根据权利要求1的方法，其中所述视频文件处理步骤进一步包括，

第一记录读取步骤，从视频报文缓存文件中读取第一个记录，设置第一变量值tcpSeqWant的值为期望序列号，将报文载荷内容写入目标文件；

后续记录读取步骤，从视频缓存文件中读取下一个记录，设置第二变量值tcpSeq的值为该记录的TCP序列号；

序列号比较步骤，判断tcpSeq大于、等于还是小于tcpSeqWant；如果tcpSeq＜tcpSeqWant，则判断传输过程出错而出现重复报文，丢弃该报文重新进行后续记录读取步骤；如果tcpSeq＞tcpSeqWant，则转到早到报文处理步骤；如果二者相等，则转到记录载荷写入步骤。

早到报文处理步骤，判断接收到的该记录对应的tcp报文早到，将该记录按TCP序列号升序的方式放入记录缓冲链表；如果记录缓冲链表尚未建立，则建立该链表，并将该记录按TCP序列号升序的方式放入记录缓冲链表，转到后续记录读取步骤，进行下一记录的读取。

记录载荷写入步骤，将tcpSeqWant值更新为后续记录的期望序列号，将该后续记录的载荷写入目标文件；

记录缓冲链表查询步骤，查询记录缓冲链表中是否有记录，使得该记录的TCP序列号＝tcpSeqWant，如果有，则从记录缓冲链表中读取该记录，将tcpSeqWant值设置为该记录的期望序列号，并将记录的载荷内容写入目标文件；然后从链表中删除该项记录，并进行下一轮查询；如果没有，则转到后续记录读取步骤，进行下一记录的读取，直至视频报文缓存文件中所有记录读取完毕，生成最终还原视频文件。