电子测量技术 第３３卷第６期 ２０１０年６月 ＥＬＥＣＴＲＯＮＩＣ ＭＥＡＳＵＲＥＭＥＮＴ ＴＥＣＨＮ０ＬＯＧＹ 基于网络数据包的即时通信协议 信息还原技术的研究 余 飞 吴 鑫 （上海大学通信与信息工程学院 上海２０００７２） 摘要：随着计算机技术的发展和互联网应用的普及，即时通信软件被广为使用。为了解决目前即时通信软件在使 用过程中易受病毒攻击的问题，研究了微软公司的ＭＳＮ通信协议。在实验中通过对捕获的网络数据包分析和处理， 实现了基于网络数据包的即时通信协议信息的还原，即网络数据包的捕获、ＭＳＮ协议解析、消息还原等主要过程。在 真实环境下，利用大量实验数据进行了测试，结果表明，系统能够实现对ＭＳＮ即时文本消息的解析和还原。为今后 对病毒特征码的提取，提供了条件。 关键词：网络数据包；即时通信；协议分析；信息还原；ＵＴＦ－８解码 中图分类号：ＴＰ３９３．０７ 文献标识码：Ａ Ｒｅｓｅａｒｃｈ ｏｎ ｔｈｅ ｒｅｖｅｒｔ ｔｅｃｈｎｏｌｏｇｙ ｏｆ ｉｎｓｔａｎｔ ｍｅｓｓｅｎｇｅｒ ｐｒｏｔｏｃｏｌ ｂａｓｅｄ ｏｎ ｎｅｔｗｏｒｋ ｐａｃｋａｇｅｓ ＹＵ Ｆｅｉ Ｗｕ Ｘｉｎ （Ｃｏｍｍｕｎｉｃａｔｉｏｎ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ Ｓｃｈｏｏｌ。Ｓｈａｎｇｈａｉ Ｕｎｉｖｅｒｓｉｔｙ．Ｓｈａｎｇｈａｉ ２０００７２） Ａｂｓｔｒａｃｔ：Ｗｉｔｈ ｔｈｅ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｃｏｍｐｕｔｅｒ ｔｅｃｈｎｏｌｏｇｙ ａｎｄ ｔｈｅ ｐｏｐｕｌａｒｉｚａｔｉｏｎ ｏｆ ｉｎｔｅｒｎｅｔ ａｐｐｌｉｃａｔｉｏｎｓ，ｔｈｅ ｉｎｓｔａｎｔ ｍｅｓｓｅｎｇｅｒ ｓｏｆｔｗａｒｅ ｉｓ ｗｉｄｅｌｙ ｕｓｅｄ．Ｉｎ ｏｒｄｅｒ ｔＯ ｒｅｓｏｌｖｅ ｔｈｅ ｐｒｏｂｌｅｍ ｔｈａｔ ｔｈｅ ｉｎｓｔａｎｔ ｍｅｓｓｅｎｇｅｒ ｓｏｆｔｗａｒｅ ｉｓ ｖｕｌｎｅｒａｂｌｅ ｔＯ ｖｉｒｕｓ ａｔｔａｃｋｓ ｗｈｅｎ ｉｔ’Ｓ ｉｎ ｕｓｅ，ｗｅ ｈａｖｅ ａ ｒｅｓｅａｒｃｈ ｏｎ ｍｉｃｒｏｓｏｆｔ ｃｏｍｐａｎｙ’Ｓ ＭＳＮ ｐｒｏｔｏｃｏ１．Ｉｎ ｔｈｅ ｅｘｐｅｒｉｍｅｎｔ，ｔｈｒｏｕｇｈ ａｎａｌｙｓｉｓ ａｎｄ ｐｒｏｃｅｓｓｉｎｇ ｏｎ ｔｈｅ ｉｎｔｅｒｃｅｐｔｅｄ ｎｅｔｗｏｒｋ ｐａｃｋｅｔｓ，ｗｅ ｒｅａｌｉｚｅ ｔｈｅ ｒｅｓｔｏｒａｔｉｏｎ ｏｆ ｉｎｆｏｒｍａｔｉｏｎ ｏｆ ｔｈｅ ｉｎｓｔａｎｔ ｍｅｓｓｅｎｇｅｒ ｐｒｏｔｏｃｏｌ ｂａｓｅｄ ｏｎ ｎｅｔｗｏｒｋ ｐａｃｋａｇｅｓ，ｗｈｉｃｈ ｉｓ ｔｈｅ ｍａｉｎ ｐｒｏｃｅｓｓ ｏｆ ｗｈｉｃｈ ｉｎｃｌｕｄｉｎｇ ｉｎｔｅｒｃｅｐｔｉｎｇ ｎｅｔｗｏｒｋ ｐａｃｋｅｔｓ，ｒｅｓｏｌｖｅ ｏｎ ｔｈｅ ＭＳＮ ｐｒｏｔｏｃｏｌ ａｎｄ ｒｅｓｔｏｒａｔｉｏｎ ｏｆ ｉｎｆｏｒｍａｔｉｏｎ．Ｕｎｄｅｒ ｒｅａｌ ｅｎｖｉｒｏｎｍｅｎｔ，ａ ｌａｒｇｅ ｎｕｍｂｅｒ ｏｆ ｅｘｐｅｒｉｍｅｎｔａｌ ｄａｔａ ｓｈｏｗｓ ｔｈａｔ ＭＳＮ ｔｅｘｔ ｍｅｓｓａｇｅ ｃａｎ ｂｅ ｃｏｒｒｅｃｔｌｙ ｒｅｓｏｌｖｅｄ ａｎｄ ｒｅｓｔｏｒｅｄ．Ｉｔ ｐｒｏｖｉｄｅｓ ｔｈｅ ｃｏｎｄｉｔｉｏｎｓ ｆｏｒ ｔｈｅ ｅｘｔｒａｃｔｉｏｎ ｏｆ ｔｈｅ ｖｉｒｕｓ ｓｉｇｎａｔｕｒｅｓ ｉｎ ｔｈｅ ｆｕｔｕｒｅ． Ｋｅｙｗｏｒｄｓ：ｎｅｔｗｏｒｋ ｐａｃｋａｇｅｓ；ｉｎｓｔａｎｔ ｍｅｓｓｅｎｇｅｒ；ｐｒｏｔｏｃｏｌ ａｎａｌｙｓｉｓ；ｉｎｆｏｒｍａｔｉｏｎ ｒｅｓｔｏｒａｔｉｏｎ；ＵＴＦ＿８ ｄｅｃｏｄｉｎｇ ０ 引 言 ＩＭ软件没有提供加密机制，易受病毒、木马等恶意代码 攻击。 在当今信息时代，人们之间的信息交流需求越来越 因此，需要深入分析即时通信软件的协议，还原其信 息以达到监控的目的。 高，即时通信（Ｉｎｓｔａｎｔ Ｍｅｓｓｅｎｇｅｒ，简称ＩＭ）软件应运而生， 立即受到广大互联网用户的喜爱 ］。 随着即时通信软件的普及和即时通信产业近１ｏ年的 发展，即时通信用户也在不断地增长。到２００６年，全球即 时通信软件的使用者数量已经达到４．３２亿。预计到２０１０ 年，全球将有６．５亿即时通信用户［２］。即时通信软件具有 比Ｅ—ｍａｉｌ更快的反馈速度、更加便于快速解决问题、能够 看到对方是否在线和节约长途话费等优势，在很多方面已 经取代了Ｅ－ｍａｉｌ的应用，受到广大网民的普遍喜欢。 １即时通信协议分析 １．１主流即时通信协议 即时通信协议一般采用客户端／服务器模式。ＭＳＮ Ｍｅｓｓｅｎｇｅｒ、ＩＣＱ、ＱＱ、ＡＩＭ和Ｙａｈｏｏ Ｍｅｓｓｅｎｇｅｒ这些主流 软件使用的都是客户端／ＪＲ务器模式“］，文本消息必须通 过服务器才能从一个客户端传至另一个客户端。客户端／ 服务器模式的通信架构如图１所示，①Ｔｅｐ连接。②加密 的登录信息。③消息服务器ＩＰ地址、端口号。④断开连 但是，即时通信软件在为人们带来诸多方便的同时， 也在安全方面显示出了新的问题。比如：目前很多流行的 接，并且服务器相应。⑤利用从服务器获得的信息，登录 余飞等：基于网络数据包的即时通信协议信息还原技术的研究 第６期 交换服务器。 ＤＮＳ ＤＮＳ 服务器 服务器 客户端Ａ 客户端Ｂ 消息服务器Ａ 消息服务器Ｂ 图１ 客户端／服务器模式通信架构 １．２ ＭＳＮ协议分析 ＭＳＮ采用的也是客户端／服务器模式，所有到ＭＳＮ 服务器的连接都是建立在ＴＣＰ／ＩＰ上，客户端通常会建立 向外的连接到服务器，服务器端口一般固定为１８６３［４］。 ＭＳＮ ｍｅｓｓｅｎｇｅｒ提供文本消息传输、语音、视频、文件 传输等多种应用，其采用有效载荷命令，采用ＭＩＭＥ 规 范定义头部字段。其中通过Ｃｏｎｔｅｎｔ—Ｔｙｐｅ这个字段定义 了消息正文中的数据所属的媒体类型以及子类型，并提供 了一些媒体类型的辅助信息。 １）ｔｅｘｔ／ｐｌａｉｎ（文本消息） ２）ｔｅｘｔ／ｘ－ｍｓｍｓｇｓｃｏｎｔｒｏｌ（键入通知，用于消息传输控 制） ３）ｔｅｘｔ／ｘ－ｍｓｍｓｇｓｉｎｖｉｔｅ（语音邀请） ４）ａｐｐｌｉｃａｔｉｏｎ／ｘ－ｍｓｍｓｇｓｒｐ２ｐ（ｐ２ｐ消息、如视频、文件 传输等） ５）ｔｅｘｔ／Ｘ＿ｍｓｍｓｇｓｐｒｏｆｉｌｅ（系统初始化消息） ＭＳＮ文本消息协议中，采用请求／响应模式，请求会 话方采用ＩＮＶＩＴＥ命令通过服务器向被邀请会话方发出 请求，当被邀请会话方同意会话，双方通过交换服务器进 行文本消息会话，当会话的任意一方结束会话，会向服务 器发送ＢＹＥ命令，结束会话。 ＭＳＮ语音协议中，语音邀请采用请求／响应模式，首 先请求交换服务器发出ＩＮＶＩＴＥ请求，然后交换服务器发 出ＡＣＣＥＰＴ响应，最后请求方发出响应ＡＣＣＥＰＴ。在此 过程中，双方会确定以后直接通信的双方的ＩＰ地址和端口 等信息。 ＭＳＮ视频协议中，视频邀请也是采用请求／响应模 式，采用ＩＮＶＩＴＲ和ＢＹＥ请求方法。协商过程在ＴＣＰ上 传输，协商成功后的视频媒体在ＵＤＰ上传送。 ２ 基于网络数据包的即时通信协议还原技术 实现 本系统主要是在捕获网络数据包基础上，对网络数据 包进行处理，过滤不必要的信息，提取即时通信协议信息， 对其进行解析和还原。 ２．１网络数据包捕获 基于网络数据包的即时通信协议还原技术的实现，首 先通过从网络中捕获原始数据包，然后从中针对不同协议 进行即时通信协议信息的获取。本系统采用基于 ＷｉｎＰｃａｐ［６ 提供的ＡＰＩ接口函数来实现数据包的捕获。 ＷｉｎＰｃａｐ是由意大利Ｆｕｌｖｉｏ Ｒｉｓｓｏ和ＬｏｒｉｓＤｅｇｉｏａｎｎｉ等人 提出并实现的应用于Ｗｉｎ３２平台的数据包捕获与分析的 一种软件包，它的主要思想来源于Ｕｎｉｘ系统中著名的 ＢＳＤ包捕获架构 。它可以直接从链路层获取数据帧，经 过处理后，缓冲区内的内容是完整的ＩＰ包。进一步分析、 处理工作可交由后续程序完成。 网络数据包捕获的主要过程是：１）捕获原始数据包， 包括在共享网络上各主机发送／接收的以及相互之间交换 的数据包；２）在数据包发往应用程序之前，按照自定义的 规则（比如源ＩＰ地址、目的ＩＰ地址、端口号、系统时间等） 将某些特殊的数据包过滤；３）在网络上发送原始数据包； ４）将数据包送入指定文件以供后续处理。 ２．２ ＭＳＮ协议的解析和还原 本文ＭＳＮ文本消息解析和还原模块具体实现过程如 图２所示。 在解析和还原过程前，网络数据包被预先处理，即在 被捕获的网络数据包中提取相应三元组（即系统时间、源 ＩＰ地址、目的ＩＰ地址），并加入数据包尾部，为系统时间插 入特征值“Ｉ－ＴＩＭＥ］”，将解析和还原过程提供方便。对其 进行解析和还原后将在相应的界面显示消息发送时间、消 息发送者、消息接收者、具体消息内容，并保存在数据库。 图２是ＭＳＮ协议解析和还原程序流程图。考虑到捕 获的网络数据包中存在乱序情况（ＭＳＮ协议中，多用户会 话时，会话内容发送者和接收者无法辨别），程序采用二次 遍历的方法，通过预先处理时数据包中的三元组，在一次 遍历时就已经将其ＩＰ地址和相应的用户名绑定，将其送入 存储数组，通过上述算法，为后续查找时寻找相应会话内 容的发送和接收者提供了便利。在二次遍历时，本文采用 了一种内容关键字“ｔｅｘｔ／ｐｌａｉｎ”，用户名关键字“ｔｅｘｔ／ｘ－ ｍｓｍｓｇｓｃｏｎｔｒｏｌ”，时间关键字“／－ＴＩＭＥ］”混合查询（由于一 个数据包中可能存在多条文本消息，或者混杂多个不同用 户发起的会话，仅仅通过内容关键字“ｔｅｘｔ／ｐｌａｉｎ”无法准确 寻找该文本消息的发送对象和接收对象），通过每个数据 包相应的三元组，在先前存储数组中寻找对应用户名，获 取具体文本消息的发送对象和接收对象，随后完成一轮查 询，将文本消息发送者和接收者，会话内容，系统时间，送 入相应的存储文件。此后不断地将捕获的网络数据包送 入该处理模块，达到实时处理的效果。 ・ １３１ ・ 第３３卷 电 子测 量技术 ｔ、 ＋ 一次遍历数据包 一土、 Ｉ二次遍雩数据包卜‘Ｎ ｌ薰掰打开ｍｓ’．ｎ＿筛选文件Ｉ Ｎ ｛遍历ｍｓｎ筛选文件Ｉ Ｎ Ｎ Ｙ ＋一 ｌ输出内容到一ｎ筛选文件ｌ 内 容 ｌ逐行查找数据包Ｉ ｆ ｕ矸 ＿８角 码Ｉ 一 字键关 中 ： ． Ｊ输出到逐行查找数据包——ｌ ｍｓｎ解码文件Ｊ ＋ Ｎ — 查找ｍ栅变用户名 ｉ重新打开ｒｎｓｎ解码文件ｆ ＋ 存储下一行 ｝●Ｙ １． 输出时间和用户名 到ｍｓｎ筛选文件 Ｉ整理莉｝序一ｎ、ｒ 筛选文件ｌ 《 ： ＝＝＝＝＝ 一 Ｎ ：＝ Ｎ Ｉ输出到 ；ｎ还原文件Ｊ 、、、 图２ ｍｓｎ协议解析和还原程序流程图 ＭＳＮ协议其文本消息采用ＵＴＦ一８编码方式。表１总 结了不同８比特字节类型格式。字母ｘ指出此位来自于进 删～ —ｔ 行编码的ＵＣＳ－４字符值Ⅲ。 表１不同８比特字节类型格式 主 发送数龅 数据接收设备主 ＵＣＳ－４（十六进制） ＵＴＦ－８（￣进制） 图３测试环境 ００００ ００８０—００００ Ｏ７ＦＦ 的ＭＳＮ数据包，这些数据包是用软件在实际的ＭＳＮ通信 ００００ ０８００—００００ ＦＦＦＦ １１１１０ｘｘｘ １０ＸＸＸＸＸＸ １０ＸＸＸＸＸＸ 过程中捕获得到的。 ０００１ ００００—００１Ｆ ＦＦＦＦ 数据接收设备用来接收、过滤，转发数据包，要在上面 １０ＸＸＸＸＸＸ １１１１１０ｘｘ １０ＸＸＸＸＸＸ １０ＸＸＸＸＸＸ 先手动设置静态监控规则。 ００２０ ００００—０３ＦＦ ＦＦＦＦ １０ＸＸＸＸＸＸ １０ｘｘｘｘｘｘ 主机Ｂ是用来实现数据接收和重组、协议解析和信息 １１１１１１Ｏｘ １０ＸＸＸＸＸＸ １０ＸＸＸＸＸＸ 还原等功能。它上面安装了本系统开发的数据接收和重 ０４００ ００００—７ＦＦＦ ＦＦＦＦ １０ＸＸＸＸＸＸ １Ｏｘｘｘｘｘｘ １０ＸＸＸＸＸ 组、协议解析和信息还原的程序。 ３．２测试结果分析 ＵＴＦ一８解码部分，程序采用按位与运算，判断首字节 本系统开发环境为Ｖｉｓｕａｌ Ｃ＋＋６．０，加载了 是属于一个几字节的ＵＴＦ～８字符，然后再对其进行位运算 ＷｉｎＰｃａｐ库函数ｗｐｃａｐ．１ｉｂ，最终结果可见界面显示。至 转换成Ｕｎｉｃｏｄｅ字符。 此，完成对ＭＳＮ协议的解析和还原。 文件经过ＵＴＦ一８解码后，对先前的ｍｓｎ文件进行重 对于ＭＳＮ文本消息解析和还原结果如图４所示，使 新排序，然后输出到ｍｓｎ还原文件。 用“开始”按钮，选择具体的网卡类型，可设置一系列过滤 规则进行前置过滤，进行数据包捕获，如图４所示，已捕获 ３测试结果和分析 数据包２７３个，在测试过程中，寻找多人进行ＭＳＮ会话， ３．１测试环境 通过ＭＳＮ显示列表，显示当前ＭＳＮ文本消息的系统时 对本系统的数据重组模块和解析模块、以及还原模块 间、消息发送者、消息接收者、消息内容。其中也可选择实 进行了功能性测试，系统的测试环境如图３所示。 时显示协议内容还原信息。当需要获取ＭＳＮ详细信息， 测试设备：两台ＰＣ和一台数据接收设备。 可以点击“ＭＳＮ显示详细”打开保存的文本文件。 主机Ａ是用来发送数据包，采用千兆网卡。主机Ａ连 通过构造６００个不同的通信过程对系统进行测试，从 人数据接收设备的入Ｅｌ，根据测试需要发送各种不同连接 结果上看，本系统能够完成正确地对ＭＳＮ文本消息进行 ・ 】３２ ・ 余 飞等：基于网络数据包的即时通信协议信息还原技术的研究 塑 实时解析和还原。 图４ ＭＳＮ文本消息解析和还原结果 ］口 ］ ］ ］ ４结 论 针对目前即时通信软件使用时存在的问题，我们通过 实验等多种途径，总结了主流即时通信软件的通信架构， 对ＭＳＮ Ｍｅｓｓｅｎｇｅｒ的通信协议、文本消息协议、语音协 议、视频协议进行了研究。详细设计和实现了网络数据包 的捕获、ＭＳＮ协议解析和消息还原等过程。最后在真实 环境下，利用大量实验数据进行了测试，测试结果表明：系 统能够正确地实现ＭＳＮ文本消息的解析和还原。 当然，还有很多问题有待进一步研究： １）需要对ＭＳＮ的视频会话和文件传输实现协议解 析和信息监控。 目前，系统只对ＭＳＮ的文本消息实现了协议解析和 信息监控。下一步，还需对它的视频消息和文本传输的协 议进一步研究，实现对ＭＳＮ的视频和文件传输的监控； ２）需要对ＩＣＱ、Ｙａｈｏｏ等其他主流即时通信软件的协 议深入研究，实现对它们的信息监控。 参考文献 李远杰，刘渭锋，张玉清，等．主流即时通信软件通信 协议分析［Ｊ］．计算机应用研究，２００５，２２（７）：２４３— ２４５，２５０． 郑有才，张光华，张玉清．即时通信息监听技术的研究 与实现ＥＪ］．计算机应用研究，２００５，２２（８）：１１３—１１６． 刘彬，赵荣彩，丛建刚．即时通信协议分析与监控技术 研究［Ｊ］．计算机应用研究，２００７，２４（９）：２６０— ２６２，２６５． 张光华．即时通信息监控系统的技术研究与设计 ＥＤ３．西安：西安电子科技大学硕士学位论文，２００５． ＦＲＥＥＤ Ｎ，Ｂ０ＲＥＮＳＴＥＩＮ Ｎ．Ｍｕｌｔｉｐｕｒｐｏｓｅ Ｉｎｔｅｒｎｅｔ ］ Ｍａｉ］ｌ Ｅｘｔｅｎｓｉ ］ ｏｎｓ（ＭＩＭＥ）］ Ｐａｒｔ Ｏｎｅ：Ｆｏｒｍａｔ ｏｆ Ｉｎｔｅｒｎｅｔ Ｍｅｓｓａｇｅ Ｂｏｄｉｅｓ，ＲＦＣ２０４５［Ｚ］．１９９６—１ １． 柏芸，寿国础，胡怡红，等．ＷｉｎＰｃａｐ性能的测试与 优化［Ｊ］．微电子学与计算机，２００９，２６（７）：２１７—２２０． 赵伟，周侗，刘明哲．一种实时以太网模型及其性能测 试实现［Ｊ－Ｉ．仪器仪表学报，２００６，２７（６）：７２—７４． ＭａｒｋＵＳ ＫｕｈｆＬ ＵｒＩ、．８ ａｎｄ Ｕｎｉｅｏｄｅ ＦＡＱ［ＥＢ／ＯＬ］． ｈｔｔｐ ｜｜ ．１ｉｎｕｘｆｏｒｕｍ．ｎｅｔ／ｂｏｏｋｓ／ＵＴＦ－８一Ｕｎｉｃｏｄｅ． ｈｔｍ１．２００９一】２—２４． 作者简介 余飞，男，１９８７年７月出生，工学硕士，主要研究方向 为通信网与宽带通信技术、网络信息探测及还原技术等。 Ｅ—ｍａｉｌ：ｙｆ０９７２０７８８＠１６３．ｃｏｍ
