2024年3月10日发(作者：)

２０１４年第１期　

文章编号：１００９—２５５２｛２０１４）０１—０１５５—０４　中图分类号：ＴＰ３９３．０９　文献标识码：Ａ　

Ｓｋｙｐｅ协议分析及流量识别　

吴君钦，丁瑶　

（江西理工大学信息工程学院，江西赣州３４１０００）　

摘要：近几年来，Ｐ２Ｐ网络技术发展迅速，Ｓｋｙｐｅ是创建Ｋａｚａａ的组织开发的一个基于Ｐ２Ｐ的　

ＶｏｌＰ客户端，用户可以用Ｓｋｙｐｅ通过互联网进行语音通话。本文通过抓取Ｓｋｙｐｅ的流量数据进行　

协议分析，主要关注ＰＣ２ＰＣ的登录／注销，文字通讯，语音通信，文件传输及ＰＣ２Ｐｈｏｎｅ等过程，　

进而总结协议特征，提出了一种基于协议分析的Ｓｋｙｐｅ流量识别方法，结果显示识别率达到　

９５％以上。　

关键词：Ｓｋｙｐｅ；Ｐ２Ｐ；ＶｏＩＰ；协议分析；流量识别　

Ｓｋｙｐｅ　Ｐｒｏｔｏｃｏｌ　Ａｎａｌｙｓｉｓ　ａｎｄ　ＴｒａｍＣ　Ｉｄｅｎｔｉｉｆｃａｔｉｏｎ　

ＷＵ　Ｊｕｎ．ｑｉｎ．ＤＩＮＧ　Ｙａｏ　

（Ｃｏｌｌｅｇｅ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ｊｉａｎｇｘｉ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｇ－ａｎｊｏｕ　３４１０００，Ｊｉａｎｇｘｉ　Ｐｒｏｖｉｎｃｅ，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｉｎ　ｒｅｃｅｎｔ　ｙｅａｒｓ，ｐｅｅｒ—ｔｏ－ｐｅｅｒ（Ｐ２Ｐ）ｎｅｔｗｏｒｋ　ｔｅｃｈｎｏｌｏｇｙ　ｉｓ　ｄｅｖｅｌｏｐｉｎｇ　ｒａｐｉｄｌｙ．Ｓｋｙｐｅ　ｉｓ　ａ　

ｐｅｅｒ—ｔｏ—ｐｅｅｒ　ＶｏＩＰ　ｃｌｉｅｎｔ　ｔｈａｔ　ｄｅｖｅｌｏｐｅｄ　ｂｙ　Ｋａｚａａ，ｔｈｅ　ｕｓｅｒ　ｃａｎ　ｕｓｅ　Ｓｋｙｐｅ　ｔｏ　ｍａｋｅ　ｖｏｉｃｅ　ｃａｌｌ　ｖｉａ　ｔｈｅ　

Ｉｎｔｅｍｅｔ．Ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｓｅｓ　ｔｈｅ　ｐｒｏｔｏｃｏｌ　ｔｈｒｏｕｇｈ　ｇｒａｓｐｉｎｇ　ｔｈｅ　Ｓｋｙｐｅ　ｔｒａｆｆｉｃ　ｄａｔａ　ａｎｄ　ｆｏｃｕｓｅｓ　ｏｎ　ｐｒｏｃｅｓｓ　

ｓｕｃｈ　ａｓ　ｌｏｇｉｎ／ｌｏｇｏｕｔ，ｔｅｘｔ　ｃｏｍｍｕｎｉｃａｔｉｏｎ，ｖｏｉｃｅ　ｃｏｍｍｕｎｉｃａｔｉｏｎ，ｆｉｌｅ　ｔｒａｎｓｆｅｒ　ｏｆ　ＰＣ２ＰＣ　ａｎｄ　ＰＣ２Ｐｈｏｎｅ，　

ｈｔｅｎ　ｉｔ　ｃｏｎｃｌｕｄｅｓ　ｔｈｅ　ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ　ａｎｄ　ｐｒｏｐｏｓｅｄ　ａ　ｍｅｔｈｏｄ　ｂａｓｅｄ　ｏｎ　ｐｒｏｔｏｃｏｌ　ａｎａｌｙｓｉｓ　ｆｏｒ　Ｓｋｙｐｅ　ｔｒａｆｉｆｃ　

ｉｄｅｎｔｉｉｆｃａｔｉｏｎ．Ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｍｏｒｅ　ｔｈａｎ　９５％ｒａｔｅ　ｏｆ　Ｓｋｙｐｅ　ｆｌｏｗｓ　ｈａｄ　ｂｅｅｎ　ｄｅｔｅｃｔｅｄ．　

Ｋｅｙ　ｗｏｒｄｓ：Ｓｋｙｐｅ；Ｐ２Ｐ；ＶｏＩＰ；ｐｒｏｔｃｏｏｌ　ａｎａｌｙｓｉｓ；ｔｒａｆｌｉｃ　ｉｄｅｎｔｉｉｆｃａｔｉｏｎ　

０　引言　

Ｃｈｅｎ＿３　等人提出一种识别Ｓｋｙｐｅ转播流的方法，但　

计算机对等网络Ｐ２Ｐ，作为目前改变现有Ｉｎｔｅｒ－　

是他们的方法只是检测转播流；Ｓ．Ｇｕｈａ　４　等人使用　

ｎｅｔ应用模式的主要技术之一，成为新一代互联网技　

特定的负载和流特征来识别Ｓｋｙｐｅ流量，单独的负　

术研究的热点问题。基于第三代Ｐ２Ｐ技术，　

载特征不能准确识别，仅利用流特征识别的不精确。　

Ｓｋｙｐｅ…正以优质的语音质量和低廉的通话费用吸　

为此，研究Ｓｋｙｐｅ的ＰＣ２ＰＣ登录／注销，信息传　

引着越来越多的用户，它的出现给传统的ＶｏｌＰ业务　

输及ＰＣ２Ｐｈｏｎｅ等过程，对准确识别并控制Ｓｋｙｐｅ流　

带来了巨大的冲击。它可以几乎无缝穿越ＮＡＴ和　

量有着很大的意义，一方面可以借鉴其中的关键技　

防火墙，并且语音质量比其他的ＶｏｌＰ客户端软件要　

术用于改进目前网络电话技术，另一方面可以对　

好很多，它加密了端到端的通话，分散式存储用户信　

Ｓｋｙｐｅ业务进行有效控制。本文将在对Ｓｋｙｐｅ协议分　

息，支持即时消息通信和网络语音会议。　

析的基础上对如何识别Ｓｋｙｐｅ流量进行探索与研究。　

由于Ｓｋｙｐｅ协议不公开，并且使用了比较安全　

１　Ｓｋｙｐｅ协议分析　

的加密算法。因此，目前尚没有对Ｓｋｙｐｅ协议的详　

抓取数据包背景：有公网ＩＰ、无防火墙；有公网　

细研究，也没有识别Ｓｋｙｐｅ流量的有效方案。Ｅｈ—　

ＩＰ、防火墙、只能出；在ＮＡＴ内、无端口限制；在ＮＡＴ　

ｌｅｒｔ　等人描述了一种利用流的模式和负载信息从　

收稿日期：２０１３—０６—０９　

Ｓｋｙｐｅ的登陆阶段识别Ｓｋｙｐｅ流，但这是基于一个给　

作者简介：吴君钦（１９６６一），男，研究方向为宽带通信。　

定的防火墙类型或安全设置和假设；Ｋｕａｎ—Ｔａ　

．－－——

１５５．－———　

内部、只准ＴＣＰＳ０／４４３外出。分别在四种情况下对　

Ｓｋｙｐｅ３．ｘ／４．ｘ／５．ｘ进行登录／注销，文字通讯，语音　

通信，文件传输，ＰＣ２Ｐｈｏｎｅ等不同场景抓包，每个包　

的大小在１００Ｍ以内。　

Ｓｋｙｐｅ用户（Ｓｋｙｐｅ　ｃｌｉｅｎｔ，ＳＣ）之间进行及时消　

取规则的过程中发现仅仅靠纵向对比不能发现协议　

特征，还可以通过横向比较和纵向对比的方法相结　

合来进行多包识别，综合比较发现顺序同向不连续　

的三个包的包长为０ｘ０００３，０ｘ０００３，０ｘ０００４，可以写　

成一条多包规则。　

息和文件传输时使ＴＣＰ方式，进行语音视频聊天　

时，使用的是ＵＤＰ方式，所以两种方式都要分析。　

下面对本文要分析的过程进行具体分析。　

１．１　登录／注销　

ｕｄｐ流则要通过深度解析和统计的方法来提取　

特征。对比发现数据包流量的包长不等于０ｘ００２０　

并且在０ｘＯ００ｆ～０ｘ０１ｆ４之间，固定偏移为０位置的　

两个字节为０ｘ０３００和０ｘ０２０２，固定偏移２位置的一　

Ｓｋｙｐｅ在登录的时候会先使用ＵＤＰ请求主机列　个字节固定为０ｘ０２，可以将这些作为深度解析的人　

表（Ｈｏｓｔ　Ｃａｃｈｅ，ＨＣ）中的ＩＰ，５秒后没响应，就用　

ＴＣＰ请求ＨＣ中的ＩＰ及端口，如果还不行，就用ＴＣＰ　

请求ＨＣ中的ＩＰ及８Ｏ端口，如果又不行，就再请求　

ＨＣ中的ＩＰ及４４３端口，６秒后失败就无法登陆。　

整个过程中传输的数据量大概在８ｋ一１０ｋ，持续的　

时间在３至３５秒，整个的登录过程可以重复４次。　

连接的对象保存在本机中ＨＣ中的节点列表　』。　

报文中的ｔｃｐ流除了ｓｋｙｐｅ．ｃｏｍ这种比较明显　

的特征外，还有一些ｔｃｐ的流在固定偏移１ｌ的位置　

出现８个固定字节０ｘ４０　１ｂ　ｅ４　８６　０２　ａｄ　ｅ０　２９，加上　

ｈｔｔｐｓ的固定端口４４３和内容类型、版本信息及握手　

类型等信息特征组成一条规则。连接超级节点（ＳＨ．　

ｐｅｒ　ｎｏｄｅ，ＳＮ）时，发现包长固定为０ｘ０００５，与ｈｔｔｐｓ　

的特的特定信息也可以组成一条规则。以上是在一　

个包里面通过纵向对比提取的单包规则，另外一些　

没有明显的特征，要通过统计的方法提取特征。　

１．２信息传输　

Ｓｋｙｐｅ的信息传输包括文字通讯／语音通ｆ　文　

件传输／视频通话等。如果双方都位于公众网中，双　

方可以使用ＵＤＰ包直接进行数据交换；如果有一方　

位于私有网络或者是防火墙之后，那么私有网络一　

方需要首先同公网中的至少一个ＳＮ建立ＴＣＰ链　

接，然后由ＳＮ进行数据转发；如果双方都位于私有　

网络中，那么双方的数据都需要ＳＮ进行转发。　

Ｓｋｙｐｅ的语音数据包的大小一般是６７ｂｙｔｅｓ，正好是　

ＵＤＰ包的净荷。对于１００Ｍｂｐｓ的以太网来说，每秒　

可传送１４０个语音数据包。一般来说，上下行语音　

传输所需的平均带宽为５Ｋｂｐｓ。如果有其中一方或　

者双方都位于私有网络中，由于要通过ＴＣＰ同ＳＮ　

进行数据交换，此时一个语音数据包的大小一般为　

６９ｂｙｔｅｓ。可能的情况下，Ｓｋｙｐｅ会优先选择ＵＤＰ协　

议进行通信。　

信息传输的ｔｃｐ流可以通过单包和多包规则来　

描述。通过ｓｋｙｐｅ．ｃｏｒｎ或ｇａｔｅｗａｙ．ｍｅｓｓｅｎｇｅｒ．１ｉｖｅ．　

ｃｏｎｒ和ｈｔｔｐｓ的特征组合可以写成两条单包规则，提　

一

１　５６一　

口条件，模式为固定偏移３，４，５位置的一个字节不　

为０ｘ００，偏移０的位置固定为０ｘ００，这些特征组成　

一

条深度解析规则。统计规则的人口条件包长在　

０ｘＯＯ５ａ～０ｘ００６４或０ｘ０００ｆ一０ｘ００２８之间，另外一个　

人口条件为固定偏移２位置的一个字节为０ｘ０２，这　

两个特征可以组成一条统计规则。　

１．３　ＰＣ２Ｐｈｏｎｅ　

ＰＣ２Ｐｈｏｎｅ的流量都是ｕｄｐ的流量，通过自行编　

译的小工具ｆＢｕｄｄｙ纵向比较发现每条流的包长是　

０ｘＯ０１ｄ或０ｘ０００８，源端口和目的端口都是１２３４０，基　

于此共性，可以将这端口和包长作为深度解析的人　

口，然后通过固定位置偏移来确定规则，比较得出偏　

移０的位置固定为０ｘ００００，这三个特征可以确定一　

条规则。比较发现除了端口固定为１２３４０外，上行　

或下行连续两个包的包长都为０ｘ０００４和０ｘ００１ｄ，　

这样可以写成多包规则。　

以上所有的规则都被加入到规则库中，规则中　

的特征只是基于抓取报文期间所能够找到的版本，　

随着网络的发展，Ｓｋｙｐｅ的版本也在不断升级，规则　

库也需要不断的维护，由于已经有各个过程的特征　

存在，新版本的特征不会有特别大的变化，因此只需　

要根据现有特征修改或增加规则即可。　

２　Ｓｋｙｐｅ流量识别　

２．１　流量识别模块及工作原理　

流量识别函数框架如图１所示，利用Ｌｉｂｐｃａｐ　

解析报文，然后将报文放人引擎进行识别。　

ＰｕｓｈＱｕｅｕｅ　

数据包队列　Ｐ０ＰＱ

ｕｅｕｅ　

据包解析　引擎识别　

图１识别框架图　

（１）数据包解析：利用Ｌｉｂｐｃａｐ解析报文，Ｌｉｂｐ—　

ｃａｐ是ｕｎｉｘ／ｌｉｎｕｘ平台下的网络数据包捕获函数，　

Ｌｉｂｐｃａｐ提供了系统独立的用户级别网络数据包捕　

获借ＶＩ，并充分考虑到应用程序的可移植性。报文　

目录解析如图２所示。　

本文使用到的算法依次有：关联表匹配算法、特　

征字匹配算法、端口匹配算法，报文识别通过以上的　

识别流程后，识别结果分三种情况：　

ＩｄｅｎＬ０ｋ——报文所在的流已经被识别，无需继　

续送人后续报文。　

Ｉｄｅｎｔ　ｊ．ａｉｌ——报文所在的流未被识别，该流的　

后续报文也无需再传送人引擎。　

Ｉｄｅｎｔ＿ｄｏｕｂ——报文所在的流已初步被识别，　

图２报文目录解析流程　

一

并返回初步识别结果，但还需要更多报文进行验证。　

设置好报文的方向，五元组信息，包长等信息后　

级目录为类名，二级目录为应用名，报文放在　

第二级目录下，报文识别完毕后要清空流表和关联　

表，然后统计识别结果。　

（２）引擎识别　

引擎识别流程如图３所示。　

检测开始＞—＿．１　分图处理　

关联识别　

联识别不出　

端口识别　

——１—一　

——　＼　

１３识别不出　

＼—／　

星　

特征识别　

征识别不　

写入关联表项　

流无法识别　

、＼／　

．．．．．．．．．．．．．．．．．．．．

ｊＩ．．．．．一　

流识别结果　

返回　

图３引覃识别流程　

上一节定义的规则中都有多个特征，每条规则　

中的特征是相与的关系，即一条流必须同时满足一　

条规则中的所有特征的条件才能命中该规则，所有　

的规则都放在规则库中。引擎在加载库的过程中将　

规则中含有模式匹配的特征串加入到硬件状态机，　

这样比纯粹的软件状态机识别速度要快。当报文解　

析完毕后，引擎会根据每条流的应用层的首包判断　

将报文送人到ＨＴＦＰ图，ＨＴＦＰＳ图，ＴＣＰ图或ＵＤＰ　

图，这样的话相当于进行的并行处理，识别速度又得　

到了提高，图是规则的集合。检测开始后进行分图　

处理然后进行识别，分图是这样的，ＴＣＰ流的首包含　

有”Ｈ１＿１、Ｐ”、９９ＨＥＡＤ”、”ＧＥＴ”、”ＰＯＳＴ”的加人到　

Ｈ１＿Ｉ＇Ｐ图，首包源端口或目的端口为４４３的流加入　

到ＨＴＩ＇ＰＳ图，其余的ＴＣＰ流加人到ＴＣＰ图，ＵＤＰ流　

直接送到ＵＤＰ图。　

如果流已经被识别则直接返回识别结果，反之则进　

行特征字匹配：　

｛　

等待特征到来　

｛　

ｉｆ（特征１被匹配到）　

等待下一个特征　

｛　

ｉｆ（特征２被匹配到）　

等待下一个特征　

｛某规则特征全部匹配，报告　

该流被识别为该规则｝　

｝　

ｉｆ（没有特征规则匹配这条流）　

｛将这条流交给输出模块进行转发｝　

｝　

｝　

２．２报文识别　

报文具体识别流程如图４所示，存放数据包节　

点函数：Ｐａｃｋｅｔ—Ｎｏｄｅ结构体　

｛　

ＵＳＨＯＲＴ　ＦｌｏｗＨａｓｈ；／／流表ｈａｓｈ算法　

ＵＬＯＮＧ　ＣｈｅｃｋＳｕｍ；／／数据包校验和　

ＰＡＣＫＥＴＳ　ＰａｃｋｅｔｓＩｎｆｏ；／／存放数据包的信息头　

ＦＩＶＥ

＿

ＴＵＰＬＥＳ　ＦｉｖｅＴｕｐｌｅｓ；／／数据包五元组　

ＵＣＨＡＲ　ａｄ［ＰＫＴ＿ＳＩＺＥ］；／／数据包负载　

ＵＳＨＯＲＴ　ＰＫＴＬｅｎ；／／数据包负载长度　

ｓｔｒｕｃｔ　ｐｋｔｎｏｄｅ　ＮｅｘｔＰＫＴ；　

＿

｝ＰＫＴ—ＮＯＤＥＳ；　

３　实验及结果分析　

３．１　实验环境　

实验环境中计算机具有独立ＩＰ，与交换机间有　

１００Ｍｂｉｔ／ｓ的以太网连接，网络出口连接在教育科研　

网上，计算机为奔腾ＩＶ１．３Ｇ，５１２Ｍ内存，　

一

１　５７—