Suricata之源代码(一)

最新推荐文章于 2025-05-29 11:57:57 发布

原创

最新推荐文章于 2025-05-29 11:57:57 发布 · 3.1k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #信息安全 #开源 #c语言 #源代码

本文深入剖析Suricata的源代码，首先介绍了Suricata的工作流程，强调DetectEngineCtx结构体的重要性，将其比喻为系统的核心。接着详细讲解了从main函数开始的启动过程，特别是RunModeIpsNFQRegister函数在IPS模式下的功能，包括ReceiveNFQ、Decode、StreamTcp、Detect和Verdict等模块的连接。文章通过代码实例展示了如何将各个模块串联起来，并以多线程方式处理网络数据包。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

第一次系统性的写blog，写的不好，请大家多多包涵。

在介绍Suricata源代码之前，大致介绍一下Suricata的工作流程。在suricata中主要使用了回调函数将所有的模块连接起来的。最后是通过DetectEngineCtx *global_de_ctx这个结构体启动起来的。整个的启动过程我用鞭炮来进行比喻，回调函数就好像鞭炮的引线一样，将所有的小的鞭炮连接起来，连接起来之后如果要放鞭炮就的要使用火柴将引线点燃。所以我将global_de_ctx比喻为火柴。在suricata中也是这样，最后通过global_de_ctx将suricata运行起来的。就好比是global_de_ctx打通了suricata的任督二脉。

DetectEngineCtx结构体在detect.h中。

typedef structDetectEngineCtx_ {

uint8_t flags;

int failure_fatal;

Signature *sig_list;

uint32_t sig_cnt;

/* version of the srep data */

uint32_t srep_version;

Signature **sig_array;

uint32_t sig_array_size; /* size in bytes*/

uint32_t sig_array_len; /* size in array members */

uint32_t signum;