想请教下大牛，做报文逆向分析时，如何将报文序列对应于隐马尔科夫的观测序列？

Question

这几个月在研究《基于最大似然概率的协议关键词长度确定方法》这篇论文，学习了马尔科夫，再学习了隐半马尔科夫，也去了解了报文格式，但在具体实现算法时还是遇到了很多问题，想请教下各位大牛。

 问题一;在训练某一类报文时，我将每个最长频繁项与它的子集分为一组，作为一个状态的观测，但不是很能明白报文序列如何转换为，对应于隐半马尔科夫模型中的观测序列 

 例如，在将报文转换为可输入的观测序列时，这段报文的 ‘ HT TP/1.1…… ’对应一个状态，此时对应的观测序列中的观测值应该是这一组观测集的子集中的哪一个呢。

 问题二：文章中提到了数据状态，对于状态集，关键词的状态数是可以确定的，但是整个报文序列中所有可能的字符会有很多，那除关键词的状态外的数据状态数目应该如何确定呢？这点在论文中没能看明白。或者这里的数据状态数目是指数据字段的长度么？

Answer 1

你这个是抓包工具抓的吧，我最近也在做物联网项目，右边的数据是ascii格式左边的16进制，ascii里面的。。。是别的格式的，这里转换成ascii但是。。部分是别的进制所以没显示，你要是想要知道报文内容，最好还是根据左侧的16进制数据判断。