Suricata之源代码(一)

ゝ一世哀愁。 2022-08-21 00:24 371阅读 0赞

第一次系统性的写blog，写的不好，请大家多多包涵。

在介绍Suricata源代码之前，大致介绍一下Suricata的工作流程。在suricata中主要使用了回调函数将所有的模块连接起来的。最后是通过DetectEngineCtx \*global\_de\_ctx这个结构体启动起来的。整个的启动过程我用鞭炮来进行比喻，回调函数就好像鞭炮的引线一样，将所有的小的鞭炮连接起来，连接起来之后如果要放鞭炮就的要使用火柴将引线点燃。所以我将global\_de\_ctx比喻为火柴。在suricata中也是这样，最后通过global\_de\_ctx将suricata运行起来的。就好比是global\_de\_ctx打通了suricata的任督二脉。

DetectEngineCtx结构体在detect.h中。

typedef structDetectEngineCtx\_ \{

uint8\_t flags;

int failure\_fatal;

Signature \*sig\_list;

uint32\_t sig\_cnt;

/\* version of the srep data \*/

uint32\_t srep\_version;

Signature \*\*sig\_array;

uint32\_t sig\_array\_size; /\* size in bytes\*/

uint32\_t sig\_array\_len;  /\* size in array members \*/

uint32\_t signum;

/\* used by the signature ordering module \*/

struct SCSigOrderFunc\_ \*sc\_sig\_order\_funcs;

struct SCSigSignatureWrapper\_\*sc\_sig\_sig\_wrapper;

/\*hash table used for holding the classification config info \*/

HashTable \*class\_conf\_ht;

/\* hash table used for holding thereference config info \*/

HashTable \*reference\_conf\_ht;

/\* main sigs \*/

DetectEngineLookupFlowflow\_gh\[FLOW\_STATES\];

uint32\_t mpm\_unique, mpm\_reuse, mpm\_none,

mpm\_uri\_unique, mpm\_uri\_reuse,mpm\_uri\_none;

uint32\_t gh\_unique, gh\_reuse;

uint32\_t mpm\_max\_patcnt, mpm\_min\_patcnt,mpm\_tot\_patcnt,

mpm\_uri\_max\_patcnt, mpm\_uri\_min\_patcnt,mpm\_uri\_tot\_patcnt;

/\* init phase vars \*/

HashListTable \*sgh\_hash\_table;

…….

\}DetectEngineCtx;

下面还有很长没有贴出来，这个结构体非常的大。想想它确实是应该这么大的。毕竟它就是suricata的心脏嘛！

Suricata是c语言开发的，而c语言的起始点是从main()函数开始的，为了好找到入口点，所以在写代码的时候就规定了从main函数开始。而suricata的入口main函数是在suricata.c文件中。

int main(intargc, char \*\*argv)

int opt;

char pcap\_dev\[128\];

char \*sig\_file = NULL;

int sig\_file\_exclusive = FALSE;

int conf\_test = 0;

char \*pid\_filename = NULL;

\#ifdef UNITTESTS

char \*regex\_arg = NULL;

\#endif

…….

Suricata中的main函数接下来所做的事情是：

/\* initializethe logging subsys \*/

SCLogInitLogModule(NULL);//初始化日志系统

if(SCSetThreadName("Suricata-Main") < 0) \{//给主线程设置线程名称

SCLogWarning(SC\_ERR\_THREAD\_INIT,"Unable to set thread name");

RunModeRegisterRunModes();//设置运行模式

/\* By default use IDS mode, but if nfq oripfw

\* are specified, IPS mode will overwritethis \*/

SET\_ENGINE\_MODE\_IDS(engine\_mode);//suricata默认情况下是运行IDS模式。而在RunModeRegisterRunModes()函数中，主要是在引擎中注册所有的运行模式。函数所在位置是在runmodes.c中。

/\*\*

\* \\brief Register all runmodes in the engine.

\*/

voidRunModeRegisterRunModes(void)

memset(runmodes, 0, sizeof(runmodes));

RunModeIdsPcapRegister();

RunModeFilePcapRegister();

RunModeIdsPfringRegister();

RunModeIpsNFQRegister();

RunModeIpsIPFWRegister();

RunModeErfFileRegister();

RunModeErfDagRegister();

RunModeNapatechRegister();

RunModeIdsAFPRegister();

RunModeUnixSocketRegister();

\#ifdef UNITTESTS

UtRunModeRegister();

\#endif

return;

其中我主要说RunModeIpsNFQRegister函数，因为这个模式下实现了IPS的功能。其中这个函数又是做了哪些事情呢？

voidRunModeIpsNFQRegister(void)

57 \{

58    default\_mode = "autofp";

59    RunModeRegisterNewRunMode(RUNMODE\_NFQ, "auto",

60                               "Multithreaded NFQ IPS mode",

61                              RunModeIpsNFQAuto);

63    RunModeRegisterNewRunMode(RUNMODE\_NFQ, "autofp",

64                               "Multithreaded NFQ IPS mode with respect to flow",

65                              RunModeIpsNFQAutoFp);

67    RunModeRegisterNewRunMode(RUNMODE\_NFQ, "workers",

68                               "Multiqueue NFQ IPS mode with one thread per queue",

69                              RunModeIpsNFQWorker);

70    return;

71 \}

里面注册了3个回调函数，这个3个回调函数主要针对的是auto模式、autofp模式和workers模式。

其中我要说的是workers模式下的情况，而在RunModeIpsNFQWorker(这个函数在runmode-nfq.c)这个函数中主要调用了函数RunModeSetIPSWorker。

ret =RunModeSetIPSWorker(de\_ctx,

142             NFQGetThread,

143             "ReceiveNFQ",

144             "VerdictNFQ",

145             "DecodeNFQ");

在RunModeSetIPSWorker中就完成将所有的模块连接起来。包括了ReceiveNFQ模块(主要进行数据包的接受)、Decode模块(主要是对数据包的协议进行分析)、StreamTcp模块(主要是将对应的数据包组成stream的形式)、Detect模块(主要是使用DetectEngineCtx里面的特征对数据进行匹配)、Verdict模块以及RespondReject模块。

![Center][]

代码实现是：

int RunModeSetIPSWorker(DetectEngineCtx \*de\_ctx,

1150        ConfigIPSParserFunc ConfigParser,

1151         char\*recv\_mod\_name,

1152         char\*verdict\_mod\_name,

1153         char\*decode\_mod\_name)

1154 \{

1155     char tname\[16\];

1156     ThreadVars \*tv =NULL;

1157     TmModule \*tm\_module =NULL;

1158     char \*cur\_queue =NULL;

1159

1160     int nqueue =LiveGetDeviceCount();

1161

1162     for (int i = 0; i< nqueue; i++) \{

1163         /\* create thethreads \*/

1164         cur\_queue =LiveGetDeviceName(i);

1165         if (cur\_queue ==NULL) \{

1166            printf("ERROR: Invalid queue number\\n");

1167            exit(EXIT\_FAILURE);

1168         \}

1169         memset(tname, 0,sizeof(tname));

1170         snprintf(tname,sizeof(tname), "Worker-Q%s", cur\_queue);

1171

1172         char \*thread\_name= SCStrdup(tname);

1173         if(unlikely(thread\_name == NULL)) \{

1174            SCLogError(SC\_ERR\_RUNMODE, "Error allocating memory");

1175            exit(EXIT\_FAILURE);

1176         \}

1177         tv =TmThreadCreatePacketHandler(thread\_name,

1178                "packetpool", "packetpool",

1179                "packetpool", "packetpool",

1180                "pktacqloop");

1181         if (tv == NULL) \{

SCLogError(SC\_ERR\_THREAD\_CREATE, "TmThreadsCreatefailed");

1183            exit(EXIT\_FAILURE);

1184         \}

1185

1186         tm\_module =TmModuleGetByName(recv\_mod\_name);

1187         if (tm\_module ==NULL) \{

1188            SCLogError(SC\_ERR\_INVALID\_VALUE, "TmModuleGetByName failed for%s", recv\_mod\_name);

1189            exit(EXIT\_FAILURE);

1190         \}

1191        TmSlotSetFuncAppend(tv, tm\_module, (void \*) ConfigParser(i));

1192

1193         tm\_module =TmModuleGetByName(decode\_mod\_name);

1194         if (tm\_module ==NULL) \{

1195            SCLogError(SC\_ERR\_INVALID\_VALUE, "TmModuleGetByName %sfailed", decode\_mod\_name);

1196            exit(EXIT\_FAILURE);

1197         \}

1198         TmSlotSetFuncAppend(tv,tm\_module, NULL);

1199

1200         tm\_module =TmModuleGetByName("StreamTcp");

1201         if (tm\_module ==NULL) \{

1202            SCLogError(SC\_ERR\_RUNMODE, "TmModuleGetByName StreamTcpfailed");

1203            exit(EXIT\_FAILURE);

1204         \}

1205        TmSlotSetFuncAppend(tv, tm\_module, NULL);

1206

1207         tm\_module =TmModuleGetByName("Detect");

1208         if (tm\_module ==NULL) \{

1209            SCLogError(SC\_ERR\_RUNMODE, "TmModuleGetByName Detect failed");

1210             exit(EXIT\_FAILURE);

1211         \}

1212        TmSlotSetFuncAppendDelayed(tv, tm\_module,

1213                                    (void\*)de\_ctx, de\_ctx->delayed\_detect);

1214

1215         tm\_module =TmModuleGetByName(verdict\_mod\_name);

1216         if (tm\_module ==NULL) \{

1217            SCLogError(SC\_ERR\_RUNMODE, "TmModuleGetByName %s failed",verdict\_mod\_name);

exit(EXIT\_FAILURE);

1219         \}

1220

1221        TmSlotSetFuncAppend(tv, tm\_module, (void \*)de\_ctx);

1222

1223         tm\_module =TmModuleGetByName("RespondReject");

1224         if (tm\_module ==NULL) \{

1225            printf("ERROR: TmModuleGetByName for RespondReject failed\\n");

1226            exit(EXIT\_FAILURE);

1227         \}

1228         TmSlotSetFuncAppend(tv,tm\_module, NULL);

1229

1230         SetupOutputs(tv);

1231

1232        TmThreadSetCPU(tv, DETECT\_CPU\_SET);

1233

1234         if(TmThreadSpawn(tv) != TM\_ECODE\_OK) \{

1235            SCLogError(SC\_ERR\_RUNMODE, "TmThreadSpawn failed");

1236            exit(EXIT\_FAILURE);

1237         \}

1238     \}

1239

1240     return 0;

1241 \}

最后通过函数TmThreadSpawn(tv)创建线程。

如有错误请告诉我。

[Center]: /images/20220731/c61c45ad7d87442293242f31a0f5d80b.png

Suricata之源代码(一)

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 Suricata高性能配置

相关 forsage开源代码||forsage源代码（一）

相关 Hbase0.96源代码之HMaster(一)

相关 Suricata之源代码(三)

相关 Suricata之源代码(二)

相关 Suricata之源代码(一)

相关 Nginx源代码分析之I/O细节（十一）

相关 Suricata.yaml

相关入侵检测引擎之 Suricata 源码剖析

相关 Suricata安装教程