[发明专利]一种基于镜像流的SSL/TLS协议明文数据采集方法

权利要求书

1.一种基于镜像流的SSL/TLS协议明文数据采集方法，所述方法包括：

步骤1)接收镜像的SSL/TLS数据包，对数据包中的记录进行提取，生成若干个完整记录，放入记录队列；

步骤2)从记录队列里的记录中提取若干个完整消息，放入消息队列；

步骤3)对消息队列中的消息进行解析，获取明文数据；

所述步骤1)具体包括：

步骤101)接收镜像的SSL/TLS数据包；

步骤102)从数据包中提取出第一条记录，查看记录缓存区是否有缓存记录，若不存在缓存记录，则直接计算接收的第一条记录的长度；若记录缓存区中存在缓存记录，则将数据包拼接至缓存记录后，计算出当前缓存的第一条记录的长度；

步骤103)将第一条记录的长度和数据包长度进行比较，若第一条记录的长度加记录头长度等于数据包长度，转入步骤104)；若第一条记录的长度加记录头长度小于数据包长度，转入步骤105)；若第一条记录的长度加记录头长度大于数据包长度，转入步骤106)；

步骤104)将该记录放入记录队列；

步骤105)对数据包进行拆分，循环提取单条完整的记录放入记录队列，并将最后不完整的记录放入记录缓存区；

步骤106)将该记录放入记录缓存区；转入步骤101)；

放入记录缓存区的不完整记录等待后续的数据包进行拼接，然后再生成完整记录。

2.根据权利要求1所述的基于镜像流的SSL/TLS协议明文数据采集方法，其特征在于，所述步骤2)具体包括：

步骤201)从记录队列里取出一个记录作为当前记录，

步骤202)查看当前记录的类型，若当前记录类型为应用数据协议、改变密码规范协议或告警消息，转入步骤203)；若当前记录类型为握手协议，转入步骤204)；

步骤203)当前记录为单条完整的消息，放入消息队列；

步骤204)查看消息缓存区是否有缓存消息，若不存在缓存消息，则直接计算当前记录中第一条消息的长度；若缓存中存在缓存消息，则将当前记录拼接至缓存消息后，计算出当前缓存的第一条消息的长度；

步骤205)将计算的第一条消息的长度和当前记录长度进行比较，若第一条消息的长度加消息头长度等于当前记录长度，转入步骤206)；若第一条消息的长度加消息头长度小于当前记录长度，转入步骤207)；若第一条消息的长度加消息头长度大于当前记录长度，转入步骤208)；

步骤206)当前记录为单条完整消息，放入消息队列；

步骤207)当前记录内含有多条消息，则对该记录进行拆分，循环提取若干条完整的消息放入消息队列；并将最后不完整的消息放入消息缓存区；

步骤208)当前记录为一条不完整的消息，放入消息缓存区，转入步骤201)；

放入消息缓存区的不完整消息等待后续的记录进行拼接，然后再生成完整消息。

3.根据权利要求1或2所述的基于镜像流的SSL/TLS协议明文数据采集方法，其特征在于，所述步骤3)的具体实现过程为：

从消息队列中取出一条消息，若消息类型为握手协议，则提取密码规范和秘钥信息；若消息类型为改变密码协议规范，则接下来的记录都会用新协商的密码规范和秘钥来保护；若消息类型为告警消息，则分析消息的严重性与告警描述；若消息类型为应用数据协议，则利用提取的密码规范和秘钥对传输数据进行解密，获取明文数据。