关于P2P协议过滤器的制作

appleliuyg · 发表于 2007-11-14 09:03:00

最近一直想准确的判定网络中的bitTorrent\emule下载，目前发现ethereal能够解码bt和emule协议，但也不是很准确。手工制作过滤器，发现bitTorrent只是在握手阶段存在“BitTorrent”协议字符串，emule存在0xe3(edonkey)和0xc5(emule),但也容易发生误报。不知道除了从行为模式判断外，有没有比较好的办法？

菜鸟人飞 · 发表于 2007-11-14 09:17:09

楼主的分析很到位，是的，BitTorrent在握手阶段使用特征字符串后，传输数据将不再使用此字符串。
emule没有分析过，呵呵。

在抓包分析中，如果存在P2P应用，可以在矩阵图中查看，一目了然。

afdlove · 发表于 2007-11-24 12:15:52

菜鸟人飞兄弟是科业的工程师么?

回答得好巧妙哇.

细光 · 发表于 2008-5-28 11:28:06

我觉得在矩阵图中查看这个方法很好，一眼就能看出谁在BT。
还有，看上传流量，一般情况下，上传流量很小的，谁的上传流量过大，一定有问题。
还有，可以从每秒传送字节上看，也能看出问题。
也许还有，但小弟只知道这么多。其实这样看过用过滤器方便多了。
用工具，一定要简单地用。不要把简单的问题复杂化了。
如果作为学习，楼主的方法是可以的。

tlbaobao · 发表于 2009-6-1 15:22:32

有所心得！！！！！！！！！！！