第二章系统初始化.doc

Size: px

Start display at page:

Download "第二章系统初始化.doc"

钓匾阎
5 years ago
Views:

1 第 2 章系统初始化系统的初始化的工作有很多, 本章先介绍一些 Snort 在执行 OpenPcap 函数打开用于截包的网卡之前的一些初始化工作, 如完成 Sock 初始化检测引擎初始化命令行解析等工作 2.1 WinSock 初始化在 Windows 平台下调用 Socket API 之前, 必须调用 WSAStartup 函数初始化 WinSocket 在主函数调用 init_winsock 进入 WinSocket 的初始化 : #ifdef WIN32 if (!init_winsock()) FatalError("Could not Initialize Winsock!\n"); #endif init_winsock 函数源码分析如下 : int init_winsock(void) WORD wversionrequested = MAKEWORD(1, 1); WSADATA wsadata; /* 调用 WSAStartup 函数进行初始化 */ if (WSAStartup(wVersionRequested, &wsadata)) FatalError("[!] ERROR: Unable to find a usable Winsock.\n"); /*Socket 版本判断, 如果版本小于 1.1, 则退出 */ if (LOBYTE(wsaData.wVersion) < 1 HIBYTE(wsaData.wVersion) < 1) 1

2 FatalError("[!] ERROR: Unable to find Winsock version 1.1 or greater. You have version %d.%d.\n",lobyte(wsadata.wversion), HIBYTE(wsaData.wVersion)); WSACleanup(); return 1; 注 : 关于更多 WinSock 编程的内容, 请参考 Windows 网络编程或其它相关资料 2.2 InitNetmasks 和 InitProtoNames InitNetmasks 函数很简单, 它将所有可能将要用到的掩码先填充进一个数组 netmasks 中, 以待系统后面调用 : extern u_long netmasks[33]; /* defined in snort.c */ void InitNetmasks() netmasks[0] = 0x0; netmasks[1] = 0x ; netmasks[2] = 0xC ; netmasks[3] = 0xE ; netmasks[4] = 0xF ; netmasks[5] = 0xF ; netmasks[6] = 0xFC000000; netmasks[7] = 0xFE000000; netmasks[8] = 0xFF000000; netmasks[9] = 0xFF800000; netmasks[10] = 0xFFC00000; netmasks[11] = 0xFFE00000; netmasks[12] = 0xFFF00000; netmasks[13] = 0xFFF80000; 2

3 netmasks[14] = 0xFFFC0000; netmasks[15] = 0xFFFE0000; netmasks[16] = 0xFFFF0000; netmasks[17] = 0xFFFF8000; netmasks[18] = 0xFFFFC000; netmasks[19] = 0xFFFFE000; netmasks[20] = 0xFFFFF000; netmasks[21] = 0xFFFFF800; netmasks[22] = 0xFFFFFC00; netmasks[23] = 0xFFFFFE00; netmasks[24] = 0xFFFFFF00; netmasks[25] = 0xFFFFFF80; netmasks[26] = 0xFFFFFFC0; netmasks[27] = 0xFFFFFFE0; netmasks[28] = 0xFFFFFFF0; netmasks[29] = 0xFFFFFFF8; netmasks[30] = 0xFFFFFFFC; netmasks[31] = 0xFFFFFFFE; netmasks[32] = 0xFFFFFFFF; InitProtoNames 用于初始化协议名, 按对应的协议号提取将系统支持的所有协议, 置于数组 protocol_names 中, 方便系统后面频繁地使用协议名如 icmp 协议对应协议号是 1, 那么我们在拆 IP 包的时候, 得到 IP 包上层封装协议协议号为 1, 就可以使用 protocol_names[1] 这样的方式得到协议名 icmp 源码分析如下 : void InitProtoNames() int i; struct protoent *pt; unsigned char *tmp; 3

4 u_char protoname[11]; for(i = 0; i < 256; i++) /* 函数 getprotobynumber 返回一个 struct protoent, 其中包含一个成员 name, 就是协议号对应的协议名 */ pt = getprotobynumber(i); if(pt) /* 拷贝协议名 */ protocol_names[i] = strdup(pt->p_name); tmp = protocol_names[i]; /* 取得协议名的第一个字符, 将其变为大写 */ for(tmp = protocol_names[i]; *tmp!= 0; tmp++) *tmp = (unsigned char) toupper(*tmp); else snprintf(protoname, 10, "PROTO%03d", i); protocol_names[i] = strdup(protoname); 2.3 检测引擎初始化 fpinitdetectionengine 函数用于配置检测引擎的一些默认参数, 包括模式搜索算法等主要是初始化 FPDETECT 结构 4

5 结构 FPDETECT 用来记录检测引擎的配置选项定义如下 (fpcreate.h): /* ** This structure holds configuration options for the ** detection engine. */ typedef struct _FPDETECT int inspect_stream_insert; int search_method; int debug; int max_queue_events; FPDETECT; 函数执行流程如下 : 1 对 fpdetect(static FPDETECT fpdetect, 定义于 fpcreate.c) 赋初值 ; 2 调用 fpsetdetectionoptions 函数, 将值传递给定义于 fpdetect.c 中的 fpdetect (static FPDETECT *fpdetect) 源代码分析如下 : int fpinitdetectionengine() memset(&fpdetect, 0x00, sizeof(fpdetect)); /* 初始化 fpdetect 结构 */ /* 设置检测引擎的初始化配置选项 */ fpdetect.inspect_stream_insert = 1; fpdetect.search_method = MPSE_MWM; fpdetect.debug = 0; fpdetect.max_queue_events = 5; fpsetdetectionoptions(&fpdetect); 5

6 函数 fpsetdetectionoptions 接受初始化引擎函数传递过来的值, 赋给 fpdetect 指针, 用于实际检测时调用 : int fpsetdetectionoptions(fpdetect *detect_options) fpdetect = detect_options; 2.4 命令行解析 ParseCmdLine 函数负责命令行解析, 在分析该函数之前, 可以先参考附录 Snort 用户手册, 了解 Snort 的各个命令参数的含义, 以方便理解该函数 ParseCmdLine 算法比较简单 : int ParseCmdLine(int argc, char *argv[]) while((ch = getopt(argc, argv, valid_options))!= -1) Switch(ch) case A if(!strcasecmp(optarg, "none")) pv.alert_mode = ALERT_NONE; /* 对应 -m 参数, 设置了 umask */ if (umaskchange) umask(077); /* set default to be sane */ else umask(defumask); /* 我们可以为截获数据包设置过滤条件, 如截获 TCP 包 */ if(read_bpf) /* 如果是从文件读取过滤规则 */ 6

7 pv.pcap_cmd = read_infile(bpf_file); Else /* 从命令行中提取 */ pv.pcap_cmd = copy_argv(&argv[optind]); if((pv.interface == NULL) &&!pv.readmode_flag) /* 查找并打开第一个可用网卡 */ pv.interface = pcap_lookupdev(errorbuf); if(pv.interface == NULL) FatalError( "Failed to lookup for interface: %s." " Please specify one with -i switch\n", errorbuf); 函数利用函数 getopt() 循环分析读取命令行参数, 交与 ch, 然后使用 Switch Case 进行匹配, 以此设置 pv 各标志变量的值读者可以对照 Snort 用户手册, 参照前面给出的 pv 变量各成员的含义, 自行分析本部份代码的值, 需要注意的是,Snort 在 Linux 平台和 Windows 平台所支持的命令稍有差别 2.5 小结系统在开始进入检测引擎之前, 需要先做许多准备工作本章分析分析了 WinSocket 掩码协议初始化及命令行解析等内容另外, 在这一段系统运行中, 还涉及到一切 pv 变量的标志位的初始化工作, 在前一章主函数分析中已经给出了注释, 这里就不再赘述总的来讲, 这一部份的代码都是比较简单的, 比较容易理解重点是明白初始化检测引擎中 struct _FPDETECT 结构各成员变量的含义, 它将在后面检测引擎被反复地使用另外就是, 对照用户手册, 分析 ParseCmdLine 函数, 进一步理解 pv 这个重要的全局结构变量 7

C 1

C 1 C homepage: xpzhangme 2018 5 30 C 1 C min(x, y) double C // min c # include # include double min ( double x, double y); int main ( int argc, char * argv []) { double x, y; if( argc!=

第二章 系统初始化.doc

第二章系统初始化.doc