第四周 代码分析.docVIP

截获一个数据包，判断是不是一个Tcp包 2，如果是，判断是不是一个数据流的开头，是，见一个新的数据流，不是，看我们有没有这个流，是处理，不是则返回。 定义了一个自变量，p指针指向当前包的数据结构。 void TcpStreamPacket(Packet *p) { int i; int pos; #ifdef DEBUG char sip[16]; char dip[16]; #endif u_long tm; TcpStreamSession * sptr = NULL; u_int32_t lack, lseq; int server_packet; u_long bytes_in_buf, made_packet; int bin; /* 状态（客户状态和服务起的地位）从Tcp/Ip详解的v1,P241*/ 0 - closed 1 - listen 2 - SYN_RCVD 3 - SYN_SENT 4 - ESTABLISHED (data xfer mode) 5 - CLOSE_WAIT 6 - LAST_ACK 7 - FIN_WAIT_1 8 - CLOSING 9 - FIN_WAIT_2 10- TIME_WAIT */ if(!PacketIsTCP(p)) { #ifdef DEBUG printf(It isnt TCP session traffic\n); #endif return; } /*不接受w包/坏的校验 */ if(p-csum_flags CSE_IP || p-csum_flags CSE_TCP) //判断如果是tcp包或者IP的包则输出错误信息并丢弃数据校验 { #ifdef DEBUG printf(!\n); #endif return; } if(p-tcph-th_ack == 0 p-tcph-th_seq == 0) //如果确认号=0并且序列号=0，输出TcpStream预处理不应该处理他自己的包。 { #ifdef DEBUG printf(TcpStream Preprocessor shouldnt be handling its own packets! :-)\n); #endif return; } for(i = 0; i StreamData.num_entries; i++) if((StreamData.ports[i] == p-dp) || (StreamData.ports[i] == p-sp)) break; if(i == StreamData.num_entries) return; /*不被监控的端口*/ pc.tcp_stream_pkts ++; /*我们用的一个数据包*/ if(StreamData.ports[i] == p-sp) //sp 是TCP或UDP的源端口 { server_packet = 1; } else { server_packet = 0; } tm = TcpStreamTime(); //gettimeofday（）会把目前所有tv所指的结构返回，当地时区信息放在tz所指的结构中 /*u_long TcpStreamTime() { struct timeval t; gettimeofday(t, (struct timezone *)NULL); return(t.tv_sec); //返回sec为秒 } int gettimeofday(struct timeval *tv, struct timezone *tz) { struct _timeb tb; if(tv==NULL) return -1; _ftime(tb); //_ftime 无返回值,但获得本地的时间数据并且填充进传递进来指向时间结构的变量中 tv-tv_sec = tb.time; tv-tv_usec = ((int) tb.millitm) * 1000; r