[发明专利]一种通过网络数据获取设备操作系统信息的方法

权利要求书

1.一种通过网络数据获取设备操作系统信息的方法，其特征在于：通过被动监听网络中产生的数据包，并提取数据包内的特征数据，与特征数据库中预置的相应特征数据进行对比，从而推断出向网络发送数据包的主机操作系统信息；

所述数据包包括IP数据包、TCP SYN数据包、DHCP数据包；

所述通过网络数据获取设备操作系统信息的方法的具体步骤包括：

1）数据监听模块从网络中提取需要关注的主机所发出的IP数据包、TCP SYN数据包和DHCP数据包，然后将IP数据包、TCP SYN数据包和DHCP数据包内的特征数据提取出来，并送入数据分析模块；

2）经步骤1）后，在数据分析模块内，从IP数据包、TCP SYN数据包和DHCP数据包内所提取的特征数据与特征数据库预置的相应特征数据进行单一或综合对比，根据相应特征由快到慢由粗到细地推断出向网络发送IP数据包、TCP SYN数据包和DHCP数据包的主机的操作系统信息；

所述步骤2）包括综合使用的具体步骤：

2-1）从IP数据包内获取默认TTL特征值，通过判断获取的默认TTL特征值与预置的相应特征数据进行对比，从而判断发送该IP数据包的主机的操作系统信息；

2-2）从TCP SYN数据包内获取起始TCP窗口值，通过判断获取的起始TCP窗口值与预置的相应特征数据进行对比，从而进一步的判断发送该TCP SYN数据包的主机的操作系统信息；

2-3）从DHCP数据包获取DHCP参数排列组合信息，并通过所获取的DHCP参数排列组合信息与预置的相应特征数据进行对比，从而判断发送该DHCP数据包的主机的操作系统信息。

2.根据权利要求1所述的一种通过网络数据获取设备操作系统信息的方法，其特征在于：所述预置的相应特征数据包括IP数据包的默认TTL特征值及该默认TTL特征值所对应的操作系统信息；

所述预置的相应特征数据还包括TCP SYN数据包的起始TCP窗口值及该起始TCP窗口值所对应的操作系统信息；

所述预置的相应特征数据还包括DHCP数据包的DHCP Option 55及该DHCP Option 55所对应的操作系统信息。