基于IPID的宽带级联检测算法实现

一
行 为检 测 。
［ 关键词 ］ Ｔ 协议 ＮＡ
一
ＩＩ 算法 ＰＤ
殊的情况 。 同时由于存在各种 复杂的情况 ， 例如 ： 内网流量（ 回环） 占用 了 Ｉ 导致 Ｇ ｐＳａｅｌ ｕ／ｅｂｓ／ ｌｓ并非使 用递增 函数 ； Ｄ， ａ／ｐ ｃ ；ｎｘｆ ｅ ｄｓ ｉ ｉ ｒ ｏａ 碰撞 ， 尤其 经过 ＮＡ Ｔ转换机器数 量及其 多时容易 出现 ； 观察到单机跳变 ｇｐ 可能 ａ， 是由病毒引起（ 以为是病毒修改 了协议栈 ， 先 改变 了 Ｉｉ， Ｐｄ 最后发现是 病毒快速 的向内网中所有 机器发包 ） 。针对实 际存在 Ｉ Ｄ值跳跃 、不连 贯、 延迟等情况 ， 在这种模 型上再结合 统计理论 ， 可以通过对统计值 的 取舍做到计算的精确 。 综上所述， 可以得到关于递增线段的数学模型， 数学模型如图 １ 所示。
型。
所谓横截面数据集 ， 就是在 给定 时点上对个人 、 家庭 、 企业 、 城市 、 州、 国家或一系列其他单位采集 的样本所构成的数据集。 在一个纯粹的 横截面分析中， 应该忽略数据搜 集中细小 的时间差别 。有时 ， 所有单位 的数据并非完全对应于同一时间段， 例如 ， 几个家庭可 能在 一年中的不 同星期被调查１ 横截面数据 的一个重要特征是通常可以假定它们是从 ３ ］ 。 样本背后的总体 中通过随机抽样 而得 到的 。随机抽样是初级统计学教 程中所讲授的抽样方案 ， 而且它使得对横截面数据的分析大为简化Ｈ 。 ２数学模 型的建立 ．
法。
三 、 学模 型 的 建 立 数
１ ． 横截面数据集 同一台机器发出的 Ｉ Ｐ数据包的 Ｉ Ｄ具有按 “ １ 模式连续增 长的特 ＋” 征 ，即 ＩＩ ＰＤ的值会随着时间 的变化而顺 序增加 ，当达到最大值 ６ ５ ５ ５ ３ 时会回溯。如果 以时问作 为因子 ， 则可以建立一个横截面数据的 回归模
于 ＩＩ ＰＤ硇赛带级联楦测算 法实坝
武 汉职业技 术 学院计 算机 技 术与软件 工程 学院 吴 纲
［ 摘 要］ 用户共享宽带主要使 用的就是 ＮＡ Ｔ技术 ， 从外部很难知道在 ＮＡ Ｔ转换之前有 多少台电脑级联到一个路 由器上从而共享 个 账 号 上 网 。 中提 出 了一 种基 于 Ｉ 议 中 Ｉ 字段 来探 知 用户 共 享 情 况的 算 法 ， 文 Ｐ协 Ｄ 测试 结果 证 明 可 以运 用 于 实 际的 宽 带 用 户共 享
、
问题 的 来 源
通过市场上 出售 的 Ｓ Ｈ Ｏ ０宽带 路由器 ， 利用其 Ｎ Ｔ Ａ 转换 ， 以使 可 多台电脑通过一个账户上 网， 更有甚者 ， 有些非法经营者采用一个家庭 宽带账号经营网吧业务 。如何发现和打击这些非法用户却成 了电信运 营部门的一个难题 ，因为由于经过 Ｎ Ｔ转换之后 ， Ａ Ａ Ｎ Ｔ转换 技术屏蔽 了原有主机 网卡的 Ｍ Ｃ Ａ 地址等许多重要信息。这样使位于 Ｉ 端 的设 Ｓ Ｐ 备难以直接根据原有 的 ＭＡ Ｃ地址和 Ｉ Ｐ地址等信息来了解用 户的具体 使用情况。
二、 问题 的分 析
经过 Ｎ Ｔ转换 后的 Ｉ Ａ Ｐ地址虽然被 ＮＡ Ｔ修改 为一个相 同的 Ｉ Ｐ地 址， 但是转换之前的 Ｉ 包头还有很多信息 ， 于这些 信息一般 Ｎ Ｔ不 Ｐ 对 Ａ 会进行修改， 可以通过这些附加信息来间接 区分 Ｎ Ｔ中的不同电脑 。 Ａ 实际上人们很早就发现可 以通过 Ｉ Ｐ包头 的一些 字段 内容来获 取 对应主机的一些信息 ， 这些差异称作网络协议栈的“ 指纹”对 Ｔ Ｐ协议 。 Ｃ
族 来 说 ， 些 差 异 通 常 表 现 在 数 据 包 头 的 标 志 字 段 中 ， ｗｎ ｏ ｉ 、 这 如 ｉｄｗｓ ｅ ｚ
Ａ Ｋ序号 、Ｔ Ｃ １ｒ Ｌ等的不同取值Ⅲ 。这提示可 以通过 Ｉ Ｐ包头 中一些附加信 息来间接计算 出级联电脑台数 。Ｐ Ｉ 序列号０ Ｉ ） ＰＤ最初是用来对包进行分 段的 ， 现在基本上 已经 失去这个 意义 ， 但是在同一 台机器上 ， 这个 字段 总是按 “ ｌ模 式增 长的 ， ｎ ｏ ｓ ＋” Ｗｉ ｗ 系统 总是这样 ， Ｌｎｘ系统缺 省也 ｄ 而 ｉｕ 是“ ｌ增长的 ， ＋” 但也可 以配置成 随机变化１ ２ １ 。 ＩＩ ＰＤ的规律明显也容易用数学方法建立模型并解决 ，因此本文就 从 ＩＩ 段 的分 析 着 手建 立 数 学 模 型 ， 给 出基 于 Ｉ ＰＤ字 并 ＨＤ字 段 的 检 测 算
应 用 计量 经 济 学 分 析 大 多都 是 从 如 下 假设 前提 开 始 的 ： Ｙ和 ｘ是 代
一一 ≥ 、 一
图１ 递增线段数学模型 四、 检测算法的实现 ＩＩ ＰＤ算 法 是 根 据 Ｉ Ｐ包 的 Ｉ Ｄ号 在 正 常 情 况 下 是 顺 序 增 长 的 特 性 （ 一台电脑发 出的两个相邻的包的 Ｉ Ｄ号应该是相差 １ 或者相差很近的 特性 ） ，通过描绘 出这个条轨迹来判定 Ｎ Ｔ之后 是否存 在多台电脑共 Ａ 享。 定义一个与 Ｉ Ｐ地址对应 的结构体变量 ， 在这个结构体变量 中又定 义一个记录这种线性关 系统链表 ， 链表 的每个结点代表一个 ＩＩ ＰＤ线性 关系 ， 代表着一 台机器 ， 录了与这个 Ｉ 相关 的 ＩＩ 它记 Ｐ ＰＤ信息 ， 每次程序 收到 了一个数据包 ， 历这 个链表 ， 当前的 ＩＩ 遍 将 ＰＤ值与这些链表 中各 结点 的值作差 ， 看是 否在阀值之 内， 而断定这个新来 的 Ｉ Ｄ值从 属 从 Ｐ Ｉ 于哪条线段 。若不变 ， 处理这个 ＩＩ ＰＤ的数据包 ， 并对 ＩＩ ＰＤ作计算 ， 这样 就描绘出了可能存在的线条。再 分析这些线条就知道有多少台机器共 享 。算法流程图如图 ２ 所示 。
表某一个总体的两个变量 ， 人们感兴趣 的是 怎么用 ｘ 来解释 Ｙ 或者说 ， 是研究 Ｙ 如何随 ｘ而变化日 。在简单线性 回归模型 中， 称 为误差项或 随机扰动项 ， 表示除 ｘ 之外影响 Ｙ的其他所有非观测因素 。一个简单 回归 分 析能 够 有效 地 处 理 除 ｘ之 外 其 他 所 有 影 响 Ｙ的 非 观 测 因 素 ， 即 也可 以把 “看作是 “ 观测不到的” 因素 。 在研究根据 ＩＩ ＰＤ来检测级联 台数时 ， 由于每台机器发出的 Ｉ Ｐ数据 包 的轨迹呈线性增长 ，因而可以确定对 于每一条轨迹就对应着一台终 端设备 。 所以检测 的主要任务就是分析出各条轨迹线段 ， 因而可 以假设