java - 如何检测恶意数据包？

Question

很难说出这里问的是什么。这个问题是含糊的、模糊的、不完整的、过于宽泛的或修辞性的，无法以目前的形式得到合理的回答。如需帮助澄清此问题以便重新打开它， visit the help center 。

已关闭 12 年前。

我已经用 Java 实现了一个数据包分析器。现在我想检测捕获的数据包是否是恶意的。例如，如何使用 Java 代码检测 DOS 攻击？ TCP 数据包的合法大小是多少？如果大小超过合法大小，该数据包是否可以被视为恶意数据包？

Answer 1

测试evil bit !

说实话，不幸的是没有捷径。这有点像问如何在机场检查站发现恐怖分子。

您需要阅读 RFC，研究可能的攻击类型，并决定要尝试检测哪些攻击；有了这些信息，弄清楚如何检测任何特定类型的攻击的机制应该很简单，如果您确实遇到问题，您可以在这里提出更具体的问题。

一些帮助您入门的链接:

• IP datagram format
• Snort是一个入侵检测系统 - 即一个软件，它可以执行您正在尝试的操作:捕获流量并根据大量已知恶意模式对其进行检查。它是开源的:您可以查看源代码以了解它是如何工作的，并查看其数据库以了解它检查的类型。

与病毒检测一样，构建足够大的恶意 Activity 模式数据库是此类项目中的大部分困难/费用，也是决定您的工具有用与否的原因。要生产一个可用于个人研究之外的任何目的的工具/自学这些工具的工作原理可能需要很多人年的时间。您最好的前进方式可能是利用现有的开放数据库(例如 Snort 的数据库)，或者只是将您的时间贡献给他们的工作。