第一章系统架构总概.doc

Size: px

Start display at page:

Download "第一章系统架构总概.doc"

范贺
5 years ago
Views:

1 第 7 章数据包处理所谓公欲善其事, 必先利其器, 前面几章的内容, 都是 Snort 为了完成检测任务而做的事先准备工作, 系统在所有初始化工作完成之后, 就进入了数据包处理阶段, 数据包的处理, 指的是完成包截获拆包数据包预处理数据包检测检测输出等任务 7.1 InterfaceThread 主函数在末尾处调用 InterfaceThread 函数进入数据包的处理, 它的主要工作, 就是调用完成数据包捕获的 libpcap 库函数 pcap_loop: /* 抓包, 将数据包交由回调函数 ProcessPacket 处理 */ if(pcap_loop(pd, pv.pkt_cnt, (pcap_handler) ProcessPacket, NULL) < 0) if(pv.daemon_flag) syslog(log_cons LOG_DAEMON, "pcap_loop: %s", pcap_geterr(pd)); else ErrorMessage("pcap_loop: %s\n", pcap_geterr(pd)); CleanExit(1); 这样数据包, 都是交由回调函数 ProcessPacket 来处理关于 pcap_loop 的使用, 请参考附录相关章节 7.2 ProcessPacket 回调函数 Processpacket 用于实际的数据包处理该函数是 pcap_handler 类型, pcap.h 中关于该函数的原型定义如下 : typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr*,const u_char *); ** 第 1 个参数这里没有什么用 ;

2 ** 第 2 个参数为 pcap_pkthdr 结构指针, 记录时间戳包长捕捉的长度 ; ** 第 3 个参数字符串指针为数据包 ; 源代码分析如下 : void ProcessPacket(char *user, struct pcap_pkthdr * pkthdr, u_char * pkt) Packet p; p.packet_flags = 0; pc.total++; // 重置每个数据包的标志 // 数据包总数累计 packet_time_update(pkthdr->ts.tv_sec); // 处理包嗅探时间 /* reset the thresholding subsystem checks for this packet */ sfthreshold_reset(); SnortEventqReset(); // 如果是以 Win32 服务进程运行 #if defined(win32) && defined(enable_win32_service) if( pv.terminate_service_flag pv.pause_service_flag ) ClearDumpBuf(); /* cleanup and return without processing */ return; #endif /* WIN32 && ENABLE_WIN32_SERVICE */ /* 调用解码引擎, 将数据包拆包后, 放在 p 当中 */ (*grinder) (&p, pkthdr, pkt); /* 是否输出到屏幕 */ if(pv.verbose_flag)

3 if(p.iph!= NULL) //IP 包头不为空, 输出之 PrintIPPkt(stdout, p.iph->ip_proto, &p); else if(p.ah!= NULL) //IP 包头为空, 但以太网包头存在, 输出之 PrintArpHeader(stdout, &p); else if(p.eplh!= NULL) //802.1X EAPOL 头 PrintEapolPkt(stdout, &p); else if(p.wifih && pv.showwifimgmt_flag) // 无线局域网协议 Wi-Fi PrintWifiPkt(stdout, &p); switch(runmode) // 运行于何种模式? case MODE_PACKET_LOG: // 包记录模式, 调用输出插件 CallLogPlugins(&p, NULL, NULL, NULL); break; case MODE_IDS: // 如果数据包的 TTL 值比用户定义的 min_ttl 还要小 ( 即允许用户自定义最小 TTL 值 ), 则跳过这个包 if(pv.min_ttl && p.iph!= NULL && (p.iph->ip_ttl < pv.min_ttl)) DEBUG_WRAP(DebugMessage(DEBUG_DECODE, "MinTTL reached in main detection loop\n");); return; /* 调用检测引擎 */ Preprocess(&p);

4 default: break; break; ClearDumpBuf(); 可见, 该函数先后完成了五步任务 : 1 完成了数据包的初步处理, 如累计计数等 ; 2 数据包解码;( 请跳转至第八章 ) 3 如果需要输出到屏幕, 则调用相应 Print 函数输出 ;( 请跳转至 7.3 节 ) 4 如果是日志记录模式, 则调用相应输出插件 ;( 请跳转至 7.4 节 ) 5 如果是 IDS 模式, 则调用 Preprocess 进行检测 ;( 请跳转至 7.5 节 ) 为了不影响程序的叙述, 本章将不进行解码函数的分析, 关于程序的解码执行, 本文将在第八章进行详细分析 7.3 嗅探模式的终端输出如果用户在运行 Snort 的时候, 用户使用了 -v 参数,Snort 将运行于嗅探模式之下, 嗅探模式很简单, 就是将截取的数据包输出到终端设备上与之相应的开关,ParseCmdLine 在设置了 pv.verbose_flag = 1; 另外与此类似的, 还有 : -d : 输出应用层数据 ;pv.data_flag = 1; -e: 输出链路层数层 ;pv.show2hdr_flag = 1; 数据包的输出比较简单, 根据某种协议的数据结构将截取的数据直接输出到终端即可如果读者对这些数据协议结构不太了解的话, 可以参考相关资料, 推荐 TCP/IP 协议详解第一卷系统在数据分拆包完成后,ProcessPacket 函数调用 if(pv.verbose_flag) /* 根据标志判断是否要输出 */ if(p.iph!= NULL) /* 根据协议, 调用相应的输出函数 */

5 PrintIPPkt(stdout, p.iph->ip_proto, &p); else if(p.ah!= NULL) PrintArpHeader(stdout, &p); else if(p.eplh!= NULL) PrintEapolPkt(stdout, &p); else if(p.wifih && pv.showwifimgmt_flag) PrintWifiPkt(stdout, &p); 进入数据包终端输出模块一共支持 IP ARP Eapol Wifi 四种协议以下, 将以最为常用的 IP 包输出为例, 分析数据终端输出流程 IP 包头的输出流程如下图所示 :

6 PrintIPPkt 函数首先根据 pv.show2hdr_flag 标志来决定是否需要调用 Print2ndHeader 输出第二层的相关信息然后再调用 PrintIPHeader 输出 IP 包头, 最后判断高层协议是 TCP/UDP/ICMP, 调用相应的输出函数处理之 Print2ndHeader 作用 : 输出数据链路层信息

7 函数主要算法为首先利用 datalink(openpcap 函数中赋值 ) 的值判断数据链路层协议 ( 一共支持四种协议 :Ethernet IEEE802_11 Token Ring Linux cooked sockets), 调用相应的输出函数进行处理比如, 如果 datalink 为以太网的话, 则调用相应的 PrintEthHeader 函数输出以太网包头以太网头共十四个字节 : 前六个字节为来源 MAC, 后六个字节为目的 MAC, 最后两个字节为高层协议的类型, 这就不难理解以下函数了 : void PrintEthHeader(FILE * fp, Packet * p) /* 来源地址 */ fprintf(fp, "%X:%X:%X:%X:%X:%X -> ", p->eh->ether_src[0], p->eh->ether_src[1], p->eh->ether_src[2], p->eh->ether_src[3], p->eh->ether_src[4], p->eh->ether_src[5]); /* 目的地直 */ fprintf(fp, "%X:%X:%X:%X:%X:%X ", p->eh->ether_dst[0], p->eh->ether_dst[1], p->eh->ether_dst[2], p->eh->ether_dst[3], p->eh->ether_dst[4], p->eh->ether_dst[5]); /* 高层协议及包长 */ fprintf(fp, "type:0x%x len:0x%x\n", ntohs(p->eh->ether_type), p->pkth->len); 其它所有的输出函数都与此类似, 读者可以自行分析 7.4 日志记录模式的输出处理 Snort 运行模式主要有三类 : 嗅探模式日志记录模式和入侵检测模式, 第一种模式的输出我们在上一节中已经分析 Snort 的日志记录模式对应的命令行

8 参数 <-l 日志文件存储目录 >, 然后在 ParseCmdLine 中设置 pv 变量, 接着根据 pv 变量的值, 配置 runmode,processpacket 函数根据 runmode 的值判断系统如果运行于日志记录模式的话, 则调用相应的插件, 进行日志记录, 对应代码如下 : switch(runmode) // 运行于何种模式? case MODE_PACKET_LOG: CallLogPlugins(&p, NULL, NULL, NULL); break; CallLogPlugins 输出链表共有两条 :LogList( 日志 ) 和 AlertLis( 报警 ) 这里 CallLogPlugins 函数主要是遍历 LogList 的所有注册的功能函数, 实现日志的输出函数源代码分析如下 : void CallLogPlugins(Packet * p, char *message, void *args, Event *event) OutputFuncNode *idx; idx = LogList; /*idx 指向日志输出插件链表首节点 */ if(p!= NULL) if(pv.obfuscation_flag) ObfuscatePacket(p); pc.log_pkts++;

9 while(idx!= NULL) /* 遍历链表中注册的所有功能函数 */ idx->func(p, message, idx->arg, event); idx = idx->next; return; 关于日志输出的每一类具体函数的实现, 我们会有单独的章节来分析介绍 7.5 Preprocess Preprocess 函数处理整个数据检测及处理流程主要处理预处理 -> 检测 -> 输出三个阶段源代码分析如下 : int Preprocess(Packet * p) PreprocessFuncNode *idx; int retval = 0; if(p->csum_flags) // 校验和是否出错? return 0; do_detect = 1; idx = PreprocessList; // 是否打开检测引擎变量标志 // 指向预处理插件的顶层链表

10 /* 重置适当的应用层协议字段 */ p->uri_count = 0; UriBufs[0].decode_flags = 0; /* 打开所有预处理器 */ p->preprocessors = PP_ALL; while(idx!= NULL) // 遍历预处理器插件, 对数据包进行预处理 assert(idx->func!= NULL); idx->func(p); idx = idx->next; if(do_detect) // 进入检测引擎 Detect(p); retval = SnortEventqLog(p); // 输出 SnortEventqReset(); otn_tmp = NULL; if(retval && p->ssnptr) AlertFlushStream(p); CheckFlowShutdown(p); return retval;

11 7.6 小结函数 InterfaceThread 完成了整个数据包在 Snort 中处理的全部流程, 可以用下图来表示 :

12 图中标注了数据包在系统中所经历的重要的处理函数, 有许多函数我们本章只是做了一个概念性的了解, 后文将对这一流程进一步分析

标题

. 4 2013 年湖南省财政厅电子政务发展形势分析及 2014 年发展展望湖南省财政厅 2013 年, 省财政厅高度重视电子政务工作, 将电子政务作为优化工作流程提高工作效率提升服务水平建设透明廉洁财政的重要途径, 信息化水平不断提

第一章 系统架构总概.doc

第一章系统架构总概.doc