如何使用 http 或其他应用层协议检测数据包？

Question

我正在编写一个可以检测网络数据包中使用的协议的程序。对于接收到的每个数据包，它将尝试检测网络和传输层中的协议。在这两层中检测协议非常容易，因为在数据包的某处我们有一些字节告诉我们协议。但是对于应用程序层，据我所知，这要困难得多。没有在 HTTP 数据包中没有提到协议（据我所知）。而检测应用层协议的另一个难点是，一个完整的 HTTP 请求或响应可能会占用多个数据包，并且串联多个数据包要困难得多。

我想知道理论上如何检测这些协议。

Answer 1

很遗憾，没有简单的答案。虽然网络和传输层协议并不多，而且现有的协议都已经很好地标准化，但应用层却要混乱得多。

猜测应用程序协议的一种方法是查看各种“提示”，例如端口号、特定位置是否存在某些字符串（例如“HTTP”）、数据包长度等。但这并不是万无一失的。我可以轻松地在端口 80 上运行一些自定义协议，该协议恰好在有效负载中包含“HTTP”，但不是 HTTP。这就是为什么即使像wireshark 这样的专用工具有时也无法检测到正确的协议。顺便说一句，您可以使用wireshark's source code 了解它如何剖析不同协议的细节。

关于在多个数据包中发送的协议 - 这更容易。您的解析器必须将 TCP 视为 stream 协议。单个数据包在 TCP 中没有意义，您的解析器必须跨多个数据包跟踪流。