[发明专利]一种P2P网络中基于块的病毒检测方法

摘要

本发明涉及网络病毒检测技术领域，公开了一种P2P网络中基于块的病毒检测方法，该方法包括以下步骤：步骤(1)，在本地通过网卡进行网络p2p数据抓包，依据协议Winpcap(windows packet capture)进行初步过滤；步骤(2)：对步骤(1)中从网卡抓取得到的P2P网络数据包信息进行预处理，使数据包信息能够被用于病毒检测；步骤3：检测经过处理后的数据信息是否含有病毒，对经过步骤(2)处理后得到的应用层p2p数据包信息，根据病毒库中的病毒特征码检测到该数据信息中是否含有病毒。与现有技术相比，本发明避免了现有检测软件因为忽视P2P特点和P2P传输文件机制而造成的漏检情况。

主权项

一种P2P网络中基于块的病毒检测方法，其特征在于，该方法包括以下步骤：步骤(1)：在本地通过网卡进行网络p2p数据抓包，依据协议Winpcap进行初步过滤；步骤(2)：对步骤(1)中从网卡抓取得到的P2P网络数据包信息进行预处理，该步骤具体包括以下步骤：去除数据帧头部，对IP网络层数据包碎片重组，IP碎片重组过程具体包括：读入数据包分片，根据分片标志位检查是否允许分片，若允许分片，检查分片偏移是否为0，若为0读入下一个数据分片，否则根据数据报分片的源地址查找原数据报的链表，将分片插入链表中，循环判断所有的数据报链表，若已到齐，组装为完整数据报送由TCP流重组模块；解析过程：TCP传输层协议包解析IP碎片重组后的数据包，具体包括：取得TCP起始地址，对TCP数据进行校验，如果不通过则舍弃，通过则对TCP流进行重组，重组后的得到应用层需要的数据包；重组过程：应用层p2p数据包解析TCP层重组后的数据包，具体包括：将接受的数据包根据源地址和目的地址组织成链表，当数据流到来时检查源地址和目的地址，若存在插入链表中缓存，否则新建一个链表表示新的链接，将组装后的数据送入应用层头部剔除，得到应用层数据；分离过程：根据应用层协议字段进一步分离P2P数据流，减少不必要的数据处理，具体包括：以基于应用层特征字符匹配的方法检验数据中的应用层协议字段，进一步过滤P2P流量，分离的对象应用层数据和结果分离后的P2P数据，不必要的数据处理是应用层数据中的非P2P数据，它是通过分离P2P数据流来实现的；通过上述预处理，使数据包信息能够被用于病毒检测；步骤(3)：检测经过处理后的数据信息是否含有病毒，对经过步骤(2)处理后得到的应用层p2p数据包信息，根据病毒库中的病毒特征码检测到该数据信息中是否含有病毒。