[发明专利]一种木马网络通信检测与取证方法和系统有效
| 申请号： | 201310633815.9 | 申请日： | 2013-11-29 |
| 公开（公告）号： | CN103618720A | 公开（公告）日： | 2014-03-05 |
| 发明（设计）人： | 覃中平;王翎霁 | 申请（专利权）人： | 华中科技大学 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06 |
| 代理公司： | 华中科技大学专利中心 42201 | 代理人： | 朱仁玲 |
| 地址： | 430074 湖北*** | 国省代码： | 湖北;42 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明公开了一种木马网络通信检测与取证方法，包括：接收用户提交的取证指令，并接受用户的输入，输入为需要被监测的木马进程ID号，根据该取证指令实时的从网卡层捕获计算机网络通信时的网络数据包，以生成计算机网络数据包文件，同时从传输-网络层捕获用户被监测木马进程ID下的网络链接信息，以生成被监测木马进程的网络通信链接信息文件，将计算机网络数据包文件在被监测木马进程的网络通信链接信息的控制下过滤出仅与被监测木马进程相关联的被监测木马进程网络数据包文件。本发明能够解决现有网络通信取证技术无法将木马与该木马传出或接收的数据包确切关联起来，或无法将木马传入或传出数据包以应用层的完整文件形式呈现的技术问题。 | ||
| 搜索关键词： | 一种 木马 网络 通信 检测 取证 方法 系统 | ||
【主权项】：
一种木马网络通信检测与取证方法，其特征在于，包括以下步骤：（1）接收用户提交的取证指令，并接受用户的输入，输入为需要被监测的木马进程ID号，根据该取证指令实时的从本机的网卡层捕获计算机网络通信时的网络数据包，以生成计算机网络数据包文件，同时从传输‑网络层捕获用户被监测木马进程ID下的网络链接信息，以生成被监测木马进程的网络通信链接信息文件；（2）将计算机网络数据包文件在被监测木马进程的网络通信链接信息的控制下过滤出仅与被监测木马进程相关联的被监测木马进程网络数据包文件；（3）对被监测木马进程的网络通信包文件进行还原和重组处理，以生成被监测木马进程传出或接收的应用层文件，或与外界交互的有序信息交互序列；（4）对步骤（1）得到的被监测木马进程的网络链接信息文件，步骤（2）得到的监测木马进程网络数据包文件与步骤（3）得到的被监测木马相关联应用层文件或有序信息交互序列进行整理归纳，以生成木马网络通信的三级有序证据链。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于华中科技大学，未经华中科技大学许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201310633815.9/，转载请声明来源钻瓜专利网。
