[发明专利]一种P2P网络中基于块的病毒检测方法

权利要求书

1.一种P2P网络中基于块的病毒检测方法，其特征在于，该方法包括以下步骤：

步骤(1)：在本地通过网卡进行网络p2p数据抓包，依据协议Winpcap进行初步过滤；

步骤(2)：对步骤(1)中从网卡抓取得到的P2P网络数据包信息进行预处理，该步骤具体包括以下步骤：

去除数据帧头部，对IP网络层数据包碎片重组，IP碎片重组过程具体包括：读入数据包分片，根据分片标志位检查是否允许分片，若允许分片，检查分片偏移是否为0，若为0读入下一个数据分片，否则根据数据报分片的源地址查找原数据报的链表，将分片插入链表中，循环判断所有的数据报链表，若已到齐，组装为完整数据报送由TCP流重组模块；

解析过程：TCP传输层协议包解析IP碎片重组后的数据包，具体包括：取得TCP起始地址，对TCP数据进行校验，如果不通过则舍弃，通过则对TCP流进行重组，重组后的得到应用层需要的数据包；

重组过程：应用层p2p数据包解析TCP层重组后的数据包，具体包括：将接受的数据包根据源地址和目的地址组织成链表，当数据流到来时检查源地址和目的地址，若存在插入链表中缓存，否则新建一个链表表示新的链接，将组装后的数据送入应用层头部剔除，得到应用层数据；

分离过程：根据应用层协议字段进一步分离P2P数据流，减少不必要的数据处理，具体包括：以基于应用层特征字符匹配的方法检验数据中的应用层协议字段，进一步过滤P2P流量，分离的对象应用层数据和结果分离后的P2P数据，不必要的数据处理是应用层数据中的非P2P数据，它是通过分离P2P数据流来实现的；

通过上述预处理，使数据包信息能够被用于病毒检测；

步骤(3)：检测经过处理后的数据信息是否含有病毒，对经过步骤(2)处理后得到的应用层p2p数据包信息，根据病毒库中的病毒特征码检测到该数据信息中是否含有病毒。

2.如权利要求1所述的P2P网络中基于块的病毒检测方法，其特征在于，所述步骤(1)的依据协议Winpcap(windows packet capture)进行初步过滤的步骤中，具体是根据Winpcapp提供的p2p数据信息的源地址、目的地址、源端口、目的端口选项进行初步的过滤。

3.如权利要求1所述的P2P网络中基于块的病毒检测方法，其特征在于，所述步骤(3)的检测经过处理后的数据信息是否含有病毒的步骤中，若当前的数据信息中只能检测到部分信息与病毒库中的某个特征码的一部分吻合，先将这部分数据信息进行缓存，与之后得到的数据信息进行组合，重新进入检测部分进行检测是否存在病毒。