第七章_数据包处理.pdfVIP

Snort 码分析 7章 数据包处理 所谓 “公欲善其事，必先利其器”，前面几章的内容，都是Snort 为了完成检 测任务而做的事先准备工作，系统在所有初始化工作完成之后，就进入了数据包 处理阶段，数据包的处理，指的是完成包截获、拆包、数据包预处理、数据包检 测、检测输出等任务。 7 1 InterfaceThread 主函数在末尾处调用InterfaceThread 函数进入数据包的处理，它的主要工作， 就是调用完成数据包捕获的libpcap 库函数pcap_loop ： /*抓包，将数据包交由回调函数 ProcessPacket 处理*/ if(pcap_loop(pd, pv.pkt_cnt, (pcap_handler) ProcessPacket, NULL) 0) { if(pv.daemon_flag) syslog(LOG_CONS | LOG_DAEMON, pcap_loop: %s, pcap_geterr(pd)); else ErrorMessage(pcap_loop: %s\n, pcap_geterr(pd)); CleanExit( 1); } 这样数据包，都是交由回调函数ProcessPacket 来处理。关于pcap_loop 的使用， 请参考附录相关章节。 7 2 ProcessPacket 回调函数Processpacket 用于实际的数据包处理。该函数是pcap_handler 类型， pcap.h 中关于该函数的原型定义如下： typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr*,const u_char *); ** 第1 个参数这里没有什么用； Snort 码分析 ** 第2 个参数为pcap_pkthdr 结构指针，记 时间戳、包长、捕捉的长度； ** 第3 个参数字符串指针为数据包； 代码分析如下： void ProcessPacket(char *user, struct pcap_pkthdr * pkthdr, u_char * pkt) { Packet p; p.packet_flags = 0; //重置每个数据包的标志 pc.total++; //数据包总数累计 packet_time_update(pkthdr-ts.tv_sec);//处理包嗅探时间 /* reset the thresholding subsystem checks for this packet */ sfthreshold_reset(); SnortEventqReset(); //如果是以Win32 服务进程运行 #if defined(WIN32) defined(ENABLE_WIN32_SERVICE) if( pv.terminate_service_flag || pv.pause_service_flag ) { ClearDumpBuf(); /* cleanup and return without processing */ return; } #endif / * WIN32 ENABLE_WIN32_SERVICE */ /* 调用解码引擎，将数据包拆包后，放在 p 当中 */ (*grinder) (p, pkthdr, pkt); /* 是否输出到屏幕 */ if(pv.verbose_flag) { Snort 码分析 if(p.iph != NULL) //IP 包头不为空，输出之 PrintIPPkt(stdout, p.iph-ip_proto, p); else if(p.ah != NULL) //IP 包头为空，但以太网包头存在，输出之 PrintArpHeader(stdout, p); else if(p.eplh != NULL) //802.1X EAPOL