[发明专利]一种通过网络数据获取设备操作系统信息的方法

摘要

本发明公开了一种通过网络数据获取设备操作系统信息的方法，通过被动监听网络中产生的数据包，提取数据包内的特征数据，与特征数据库中预置的相应特征数据进行对比，从而推断出向网络发送数据包的主机操作系统信息；所述数据包包括IP数据包、TCP SYN数据包及DHCP数据包中的一种或多种；数据监听模块从网络中提取需要关注的主机所发出的IP数据包、TCP SYN数据包或/和DHCP数据包，将IP数据包、TCP SYN数据包或/和DHCP数据包内的特征数据提取出来，送入数据分析模块；通过对现有网络协议数据的创新使用，提供一种准确、高效、适用范围广泛的方法，该方法能够推断出当前网络中各个主机设备的操作系统信息。

主权项

1.一种通过网络数据获取设备操作系统信息的方法，其特征在于：通过被动监听网络中产生的数据包，并提取数据包内的特征数据，与特征数据库中预置的相应特征数据进行对比，从而推断出向网络发送数据包的主机操作系统信息；所述数据包包括IP数据包、TCP SYN数据包、DHCP数据包；所述通过网络数据获取设备操作系统信息的方法的具体步骤包括：1）数据监听模块从网络中提取需要关注的主机所发出的IP数据包、TCP SYN数据包和DHCP数据包，然后将IP数据包、TCP SYN数据包和DHCP数据包内的特征数据提取出来，并送入数据分析模块；2）经步骤1）后，在数据分析模块内，从IP数据包、TCP SYN数据包和DHCP数据包内所提取的特征数据与特征数据库预置的相应特征数据进行单一或综合对比，根据相应特征由快到慢由粗到细地推断出向网络发送IP数据包、TCP SYN数据包和DHCP数据包的主机的操作系统信息；所述步骤2）包括综合使用的具体步骤：2‑1）从IP数据包内获取默认TTL特征值，通过判断获取的默认TTL特征值与预置的相应特征数据进行对比，从而判断发送该IP数据包的主机的操作系统信息；2‑2）从TCP SYN数据包内获取起始TCP窗口值，通过判断获取的起始TCP窗口值与预置的相应特征数据进行对比，从而进一步的判断发送该TCP SYN数据包的主机的操作系统信息；2‑3）从DHCP数据包获取DHCP参数排列组合信息，并通过所获取的DHCP参数排列组合信息与预置的相应特征数据进行对比，从而判断发送该DHCP数据包的主机的操作系统信息。