Technische Dokumentation LibPacketGatherer

Transkript

1 Technische Dokumentation LibPacketGatherer Version 1.0 Marko Schröder

2 Inhalt Einleitung... 3 Klasse PacketGatherer... 3 Bereitgestellte Variablen... 3 Bereitgestellte Methoden... 4 UML... 6 Klasse packetscapturedeventargs... 6 Bereitgestellte Variablen... 6 Bereitgestellte Methoden... 7 UML... 7 Klasse PacketWrapper... 7 Bereitgestellte Variablen... 7 Bereitgestellte Methoden... 7 UML Klasse DataProcessor Bereitgestellte Variablen Bereitgestellte Methoden UML... 13

3 Einleitung Die als DLL bereitgestellte LibPacketGatherer stellt Funktionen für die Anwendungen Statistik Tool und Statistik Tool SilentMode zur Verfügung, mit denen den Anwendungen ermöglicht wird Netzwerkpaket aufzuzeichnen und in eine Datenbank-artige Datenstruktur zu überführen. Klasse PacketGatherer Die Klasse PacketGatherer bietet Funktionen zum Sammeln von Netzwerkpaketen. Dies geschieht mit Hilfe der SharpPcap Bibliotheken, die WinPcap Funktion unter C# zur Verfügung stellen. Bereitgestellte Variablen 1) public CaptureDeviceList Dev { get; private set; } Enthält alle Netzwerkgeräte des Rechners. 2) public List<String> DevList { get; private set; } Diese Liste enthält für jedes Interface den Friendly Name sowie die Beschreibung. 3) public List<String> DevListAddr { get; set; } Diese Liste enthält für jedes Interface den Friendly Name sowie die zugewiesenen IPv4 und IPv6 Adressen. 4) public String Filter { get; set; } Ein pcap-capture Filter. 5) public bool Promiscous { get; set; } Wenn gesetzt wird das gewählte Interface während des Capture Vorgangs in den Promiscous Mode gesetzt. 6) public int TimeOutMilliseconds { get; set; } Time Out in Millisekunden 7) public List<System.Net.IPAddress> DeviceV4Addresses { get; private set; } enthält alle IPv4 Adressen des Aktiven Capturegerätes 8) public List<System.Net.IPAddress> DeiceV6Addresses { get; private set; } enthält alle IPv6 Adressen des Aktiven Capturegerätes 9) public String dumpfilepath { get; set; } Wenn die gesammelten Pakete zusätzlich in einer Datei im pcap-format gespeichert werden soll, so steht der Pfad zur dieser Datei in dieser Variablen. 10) public int snapshotlen { get; set; } Beim Schreiben in einer pcap-datei kann hiermit bestimmt werden, wie viele Bytes eines Pakets in diese Datei geschrieben werden sollen. Allerdings besteht der Verdacht das SharpPcap bzw. WinPcap dieses ignoriert. 11) public bool ActiveDeviceSet {get; private set; } wurde ein Gerät zum Capturen festgelegt? 12) private CaptureFileWriterDevice capturefilewriter; zum Schreiben der Pakete in die pcap-datei 13) private ICaptureDevice ActiveDev; Das zum Capturen ausgewählte Gerät. 14) private object threadlock; Lock zum threadsicheren Zugriff auf die capturelist 15) private volatile bool backgroundthreadrunning; läuft der Workerthread? 16) private List<RawCapture> capturelist;

4 enthält alle aufgezeichneten Pakete des aktiven Capture-Interfaces. 17) private System.Threading.Thread backgroundthread; Workerthread zum Verarbeiten der gesammelten Pakete. 18) public event EventHandler<packetsCapturedEventArgs> packetscapturedevent; Event, dass eintritt sobald ein Paket aufgezeichnet worden ist. Bereitgestellte Methoden 1) public PacketGatherer() Standard Konstruktor Initialisiert threadlock, capturelist, DevList, DevListAddr (alle mit new), Filter (mit ), Promiscous (true), ActiveDev (null), TimeOutMilliseconds (1000), ActiveDeviceSet (false), Dev (mit CaptureDeviceList.Instance). Ist Dev.count > 0 so wird zusätzlich initialize() aufgerufen. 2) private void initialize() Initialisiert die Listen DevList und DevListAddr. Über for-each-schleifen werden die Listen mit den entsprechenden Daten gefüllt. 3) public void setactivedevice(int index) setzt ActiveDev = Dev[index]. Außerdem werden über eine for-each-schleife alle IPv4 sowie IPv6 Adressen des Gerätes ausgelesen und in die jeweiligen Listen (DeviceV4Addresses bzw. DeviceV6Addresses) eingefügt. Abschließende wird ActiveDeviceSet auf true gesetzt. Exceptions: ArgumentOutOfRangeException index ist >= Dev.Count 4) public void readcapturefile(string filepath) Liest eine lokal abgelegte pcap-datei ein. Da hierfür kein Capture-Device ausgewählt werden muss, wird zunächst ActiveDeviceSet auf false gesetzt. Nun kann ActiveDev = new CaptureFileReaderDevice(filePath) gesetzt werden und ein Event Handler für das OnPacketArrival Event des File-Readers registriert werden. Das Device wird per.open() geöffnet und dann kann per.capture() die Datei eingelesen werden, diese Methode blockiert den Thread und endet am EOF. Um die aufrufende Klasse darüber zu informieren dass alle Pakete aus der Datei eingelesen wurden, wird manuell das OnPacketsCaptured Event aufgerufen. Nun kann der EventHandler des OnpacketArrival Events gelöscht und das Device per.close() geschlossen werden. Exceptions: PcapException Weiterleitung an den Aufrufer per throw 5) public void startcapture() Startet einen Daten-Capture auf dem per setactivedevice() festgelegten Netzwerkgerät. Zunächst wird überprüft ob die gesammelten Daten zusätzlich in eine pcap-datei geschrieben werden soll. Ist dies der Fall, so wird capturefilewriter initialisiert und ein

5 dumpfilearrivaleventhandler als Event-Handler für das OnPacketArrival Event des Devices registriert. Sollen die Daten nicht in eine pcap-datei geschrieben werden. So kann der normale Event-Handler (Erklärung siehe unten) für das Event registriert werden. Je nachdem ob Promiscous true oder false ist, wird das Device entweder in diesem Modus geöffnet oder nicht. Anschließend wird der Capture-Filter gesetzt und der backgroundthread mit der Methode BackgroundThread gestartet (backgroundthread = new System.Threading.Thread(BackgroundThread)). Nun kann der eigentliche Capture-Vorgang mit ActiveDev.StartCapture() gestartet werden. 6) private void arrivaleventhandler(object sender, CaptureEventArgs e) Eventhandler für das OnPacketArrival Event des Capture-Devices. Fügt empfangen Pakete in die CaptureList ein. Dies geschieht innerhalb eines gesperrten Abschnittes (lock (threadlock)). 7) private void dumpfilearrivaleventhandler(object Sender, CaptureEventArgs e) Eventhandler für das OnPacketArrival Event des Capture-Devices. Fügt empfangen Pakete in die CaptureList ein. Dies geschieht innerhalb eines gesperrten Abschnittes (lock (threadlock)). Zusätzlich werden die Pakete mittels des capturefilewriters in eine pcap-datei geschrieben. 8) public void stopcapture() Stoppt einen laufenden Capture-Vorgang. backgroundthreadrunning wird hierzu auf false gesetzt und der eigentliche Capture-Vorgang des aktiven Devices wird gestoppt. Nun wird, der evtl. noch laufende, BackgrountThread gejoint und die Eventhandler von ActiveDev gelöscht. Falls der capturefilewriter benutzt wurde, so wird dieser geschlossen. 9) private void BackgroundThread() Prüft ob in der capturelist Pakete enthalten sind. Ist dies der Fall, so sperrt der Thread das threadlock, speichert eine Referenz der capturelist und ersetzt diese durch eine neue Liste. Nun wird die Sperre wieder freigegeben und das OnPacketsCaptured Event wird aufgerufen. 10) protected virtual void OnPacketsCaptured(packetsCapturedEventArgs e) Event bei dem sich andere Klassen registrieren können.

6 UML Klasse packetscapturedeventargs Die Klasse packetscapturedeventargs stellt die Information für das OnpacketsCaptured Event des PacketGatherers. Bereitgestellte Variablen 1) public List<RawCapture> CaptureList { get; private set; } enthält alle Pakete die zwischen dem vorhergehenden Eventaufruf und dem jetzigen aufgezeichnet wurden. 2) public ICaptureStatistics AdapterStatistics { get ; private set; } enthält Statistiken zur aktuellen Capture-Session des Capture-Devices.

7 Bereitgestellte Methoden 1) public packetscapturedeventargs(list<rawcapture c, ICaptureStatistics ps) Konstruktor. Setzt die CaptureList sowie die AdapterStatistics. UML Klasse PacketWrapper Die PacketWrapper Klasse kapselt die Informationen der empfangenen Pakete in einer Tabellenstruktur. Bereitgestellte Variablen 1) private DataSet packetstables; 2) private DataTable ethpackettable; 3) private DataTable arppackettable; 4) private DataTable ip4packettable; 5) private DataTable ip6packettable; Einzelne Tabellen für die unterschiedlichen Paketarten. In diesen werden die Header Informationen der Packet gespeichert. Das DataSet fasst die vier Tabellen zusammen. 6) private object ethlock; 7) private object arplock; 8) private object ip4lock; 9) private object ip6lock; Locks zum Synchronisieren der Schreibzugriffe auf die Tabellen. 10) private DataTable _ethbindingsource; 11) public DataTable EthBindingSource BindingSource um später in der GUI allgemeine Informationen zu den gesammelten Paketen anzeigen zu können. Bereitgestellte Methoden 1) public PacketWrapper() Konstruktor. Initialisiert packetstable sowie die Locks. Außerdem ruft es die Initialisierungsmethoden der einzelnen Tabellen auf und die Methode zum Erstellen der Relationen zwischen den Tabellen. 2) private void initializeethpackettable()

8 Initialisiert die Tabelle für die Informationen aus dem Ethernet-Header der Pakete. Es werden die folgenden Spalten hinzugefügt: Paketnummer / ID (Primary Key), timestamp, source address (MAC), destination address (MAC), next layer protocol, framesize (kein Header-Feld) Abschließend wird die Tabelle zum DataSet hinzugefügt. 3) private void initializearppackettable() Initialisiert die Tabelle für die Informationen aus dem ARP-Header der Pakete. Es werden die folgenden Spalten hinzugefügt: Paketnummer / ID (Primary Key), hardwaretype, protocoltype, arp operation, sender MAC, sender IP, target Mac, target IP Abschließend wird die Tabelle zum DataSet hinzugefügt. 4) private void initializeip4packettable() Initialisiert die Tabelle für die Informationen aus dem IPv4-Header der Pakete. Es werden die folgenden Spalten hinzugefügt: Paketnummer / ID (Primary Key), version, headerlength, differentiated services, totallength, identification, flags, fragment offset, time to live, next protocol, header checksum, source addressm destination address Abschließend wird die Tabelle zum DataSet hinzugefügt. 5) privat void initializeip6packettable() Initialisiert die Tabelle für die Informationen aus dem IPv6-Header der Pakete. Es werden die folgenden Spalten hinzugefügt: Paketnummer / ID (Primary Key), version, traffic class, flowlabel, payloadlength, nextheader, hoplimit, sourceip, destinationip Abschließend wird die Tabelle zum DataSet hinzugefügt. 6) private void makedatarelation() Erstellt die Relationen zwischen den einzelnen Tabellen. Es existieren 1:n Beziehungen zwischen folgenden Tabellen: eth -> arp, eth -> ip4, eth -> ip6. Die Beziehungen werden erstellte und anschließend zur Relations Menge des DataSets hinzugefügt. 7) public void serialize(string filepath) Serialisiert das DataSet in die übergebene Datei. Zuerst wird ein FileStream erstellt, dieser wird dann an einen GZipStream zur Kompression übergeben. Mithilfe des letztgenannten Streams wird nun das DataSet serialisiert. Alle möglichen auftretenden Exceptions werden an die aufrufende Klasse weitergeleitet, um eine Rückmeldung für den Benutzer durch die GUI zu ermöglichen. 8) public void deserialize(string filepath) Deserialisiert das DataSet aus der übergebenen Datei. Auch hier wird der erstellte FileStream an einen GZipStream (zur Dekompression) übergeben. Nun wird das DataSet deserialisiert. Auch hier werden möglcihe Exceptions an die aufrufende Klassen weitergeleitet.

9 9) public void addethpacket(int id, DateTime timestamp, string sourceaddress, string destinationaddress, string networklayerprotocol, short framesize) 10) public void addarppacket(int id, string hardwaretype, string protocoltype, string arpoperation, string sendermac, string senderip, string targetmac, string targetip) 11) public void addip4packet(int id, string version, int headerlength, int differentiatedservices, int totallength, UInt16 identification, int flags, int fragmentoffset, int timetolive, string protocol, UInt16 headerchecksum, string sourceip, string destinationip) 12) public void addip6packet(int id, string version, int trafficclass, int flowlabel, UInt16 payloadlength, string nextheader, int hoplimit, string sourceip, string destinationip) Diese Funktionen fügen neue Zeilen in die entsprechenden Tabellen ein. Dies geschieht jeweils im Sperrobjekt der betroffenen Tabelle. 13) public BindingSource queryshareip4toip6() LINQ-Abfrage, die das Verhältnis zwischen IPv4 und IPv6 Datenverkehr zurückgibt. Die Rückgabe geschieht als BindingSource, um das spätere Binden an z.b. ein Chart einfacher zu machen. Die Anfrage sucht in der Ethernet-Tabelle nach allen Elementen mit protocoll = IPv6 Ipv4, dann werden die Elemente entsprechend dieser beiden Protokolle gruppiert und alle Elemente innerhalb dieser Gruppen werden gezählt. 14) public BindingSource queryipommunication(string interfaceip, int ipversion) Diese LINQ-Abfrage gibt, in Form einer BindingSource, die ein- und ausgehende IPv4 oder IPv6 Kommunikation der übergebenen IP-Adresse zurück. Da es unter LINQ nicht die Möglichkeit eines Full-Outer-Joins gibt, wird eine for-each Konstruktion benutzt um die Daten zu verbinden. Anhand der übergebenen IP-Version wird zunächst das zu verwendende Lock bestimmt, nun wird eine temporärer Tabelle erstellt in der, für jede an der Kommunikation beteiligte IP-Adresse, die Anzahl der ein- und ausgehenden Pakete gespeichert wird. Jetzt wird das vorher ausgewählte Lock gesperrt und aus der jeweiligen IP- Tabelle werden über zwei LINQ-Queries die Kommunikationspartner der übergebenen IP gesucht und die jeweilige Anzahl an Paketen gezählt. Für jedes Element im outgoingquery wird nun eine Zeile in der temporären Tabelle angelegt. Für jedes der Elemente im incomingquery muss zunächst überprüft werden, ob schon ein Eintrag in der temporären Tabelle existiert. Ist dies der Fall, so kann die Anzahl der eingehenden Pakete einfach zur Zeile hinzugefügt werden. Im anderen Fall muss auch hier eine neue Zeile in der Tabelle angelegt werden. Die vollständige Tabelle kann nun per BindingSource an den Aufrufer zurückgegeben werden. 15) public BindingSource querypacketsizes() Abfrage, die eine Verteilung der Paketgrößen zurück gibt. Die Unterteilung erfolgt in folgenden Kategorien: 0-64 Bytes Bytes Bytes

10 Bytes Bytes Bytes Oversized Zunächst wird ein temporäres Dictionary<String, int> erzeugt. In dieses werden nun die oben genannten Kategorien eingefügt (z.b. temp.add( 0-64, 0)) Nun wird mit Hilfe einer for-each Schleife die Framesize eines jeden Paketes aus der Ethernet Tabelle gelesen und der entsprechende Wert im Dictionary um eins erhöht. Auch hier erfolgt die Rückgabe des Dictionarys als BindingSource. 16) public BindingSource queryp4ttl() LINQ-Abfrage, die die Anzahl der unterschiedlichen Time to Live Werte der IPv4 Pakete als BindingSource zurückgibt. Nach dem Setzen des ip4locks werden die Elemente der IPv4- Tabelle nach ihren Time to Live Werten gruppiert und gezählt und das Ergebnis zurückgeben. 17) public BindingSource queryip6hoplimit() LINQ-Abfrage ähnlich der vorhergehenden, nur mit den Daten des IPv6 Hop Limits. 18) public BindingSource queryip4nextprotocol() LINQ-Abfrage, die die Anzahl der unterschiedlichen Protokolletypen, die auf den IPv4 Header folgen las BindingSource zurückgibt. Nach dem Setzen des ip4locks werden die Elemente der IPv4-Tabelle nach protocol Werten gruppiert und gezählt und das Ergebnis zurückgeben. 19) public BindingSource queryip6nextheader() LINQ-Abfrage ähnlich der vorhergehenden, nur mit den Daten des IPv6 Next Header Feldes. 20) public BindingSource queryipaddresses(int ipversion) Abfrage, die ALLE IP-Adressen als BindingSource zurückgibt, die in den Daten des aktuellen Captures vorhanden sind. Über die übergebene IP-Version wird die zu verwendede Tabelle bestimmt. Ein temporäres HashSet<String> wird erstellt und alle in der gewählten Tabelle enthaltenen IP-Adressen werden per for-each Schleife in das HashSet eingefügt. Exceptions: ArgumentException ipversion muss 4 oder 6 sein

11 UML Klasse DataProcessor Die DataProcessor Klasse dient als Vermittler zwischen dem packetwrapper auf der einen und der GUI bzw. dem PacketGatherer auf der anderen Seite. Hier erfolgt das parsen der einzelnen Datenpakete, das Einfügen der Daten in den PacketWrapper sowie der Aufruf der unterschiedlichen Queries. Bereitgestellte Variablen 1) public System.Data.DataTable Source { get; private set; } Die vom PacketWrapper zur Verfügung gestellte Datenquelle

12 2) public System.Net.IPAddress ip4address { get; set; } 3) public System.Net.IPAddress ip6address { get; set; } Die IPv4 oder IPv5 Adresse, die für die Anfragen an den Wrapper benutzt wird. 4) public int CountAll { get; private set; } Anzahl der aufgezeichneten Pakete. 5) public int EthError { get; private set; } 6) public int ArpError { get; private set; } 7) public int Ip4Error { get; private set; } 8) public int Ip6Error { get; private set; } Anzahl der Fehler, die beim Parsen der entsprechenden Pakete aufgetreten sind 9) private PacketWrapper wrapper; Instanz des PacketWrappers Bereitgestellte Methoden 1) public void DataProcessor() Konstruktor, ruft die reset() Methode auf. 2) public void reset() Erzeugt eine neue Instanz des PacketWrappers, bindet die Source an die ethbindingsource des Wrappers und setzt alle Counter zurück (CountAll = 1, alle anderen = 0). 3) public void process(list<rawcapture> capture) Verarbeitet die Daten des aktuellen Capture-Vorgangs. Mittels einer for-each Schleife werden die Elemente der capture Liste durchlaufen und nacheinander in ein EthernetPacket, ArpPacket, IPv4Packet sowie in ein IPv6Packet geparst. Für jedes dieser Pakete werden die entsprechenden addpacket Methoden des PacketWrappers aufgerufen und die benötigten Daten aus den Paketen übergeben. Da alle Parsing-Operation potenziell fehlschlagen können, werden möglichen Exceptions gefangen (aber ignoriert, da aus einem fehlerhaften Paket keine brauchbaren Informationen gewonnen werden können) und der entsprechende Fehler Zähler um eins erhöht. Ist ein Datenpaket komplett bearbeitet worden, so wird CountAll ebenfalls um eins erhöht. 4) public System.Windows.Forms.BindingSource getstatisticsdata(string type) Per Switch-Case wird die, dem übergebenen type entsprechende, Query-Funktion des PacketWrappers aufgerufen und das Ergebnis an den Aufrufer zurückgegeben Types: shareip4toip6 Verhältnis zwischen IPv4 und IPv6 Datenverkehr ip4communication Ein- und ausgehenden IPv4 Verkehr ip6communication Ein- und ausgehenden IPv6 Verkehr ip4ttl Ipv4 Time to Live Werte ip6hoplimit Ipv6 Hop Limit packetsize Verteilung der Paketgrößen ip4addresses Alle IPv4 Adressen des laufenden Captures ip6addresses Alle IPv6 Adressen des laufenden Captures ip4nextprotocol Werte des IPv4 Next Protocol Feldes ip6nextheader Werte des IPv6 Next Header Feldes

13 Trifft der übergeben Type auf keinen der grade genannten Werte zu, so wird null zurückgegeben. 5) private String humanreadablemac(string mac) Fügt in eine als String übergebene MAC-Adresse -, um diese einfacher lesbar zu machen. 6) public void savestatisticsdata(string filepath) Ruft die serialize() Methode des PacketWrappers auf. Eventuell auftretende Exceptions werden an den Aufrufer weiter geleitet. 7) public void openstatisticsdate(string filepath) Ruft die deserialize() Methode des PacketWrappers auf. Eventuell auftretende Exceptions werden an den Aufrufer weiter gereicht. UML