suricata7 rule加载（一）加载 action

suricata7.0.5

一、前提条件

1.1 关键字注册

main
|
--> SuricataMain
	|
	--> PostConfLoadedSetup
		|
		--> SigTableSetup

sigmatch_table是一个全局数组，每个元素就是一个关键字节点，是对关键字如何处理等相关回调函数。非常重要的一个结构，后续的规则加载处理都需要此结构。

/* Table with all SigMatch registrations */
SigTableElmt sigmatch_table[DETECT_TBLSIZE];

比如http协议的method注册

sigmatch_table[DETECT_HTTP_METHOD].name = "http.method";
sigmatch_table[DETECT_HTTP_METHOD].desc = "sticky buffer to match specifically and only on the HTTP method buffer";
sigmatch_table[DETECT_HTTP_METHOD].url = "/rules/http-keywords.html#http-method";
sigmatch_table[DETECT_HTTP_METHOD].Setup = DetectHttpMethodSetupSticky;
sigmatch_table[DETECT_HTTP_METHOD].flags |= SIGMATCH_NOOPT|SIGMATCH_INFO_STICKY_BUFFER;

最终的结果如下图

这里主要关注Setup回调，后续规则加载处理时会调用

1.2 DetectBufferType注册

DetectBufferType结构也是非常重要的，在加载规则处理过程需要使用。
通过HashListTable结构将所有注册的DetectBufferType进行
这里主要关注name和id, 其他字段暂时不关注

二、规则加载

后续将以alert http any any -> [192.168.1.27,1.192.137.27] 80 (msg:"HTTP Request Example"; flow:established,to_server; http.method; content:"POST"; http.uri; content:"query.php"; bsize:>9; http.protocol; content:"HTTP/1.1"; bsize:8; http.host; content:"360"; bsize:>3; classtype:bad-unknown; sid:25; rev:1;) 为例，逐一分析加载流程。

DetectEngineAppendSig
|
--> SigInit
	|
	--> SigInitHelper

2.1 创建Signature

每条规则对应一个Signature对象

...
Signature *sig = SigAlloc();
...

2.2 解析action

SigParseAction(...)

后续继续header + options