snort检测插件初始化流程

最新推荐文章于 2022-07-31 20:53:58 发布

原创最新推荐文章于 2022-07-31 20:53:58 发布 · 313 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#链表 #数据结构

Linux 同时被 3 个专栏收录

383 篇文章

订阅专栏

C 算法系列

55 篇文章

订阅专栏

开源组件

22 篇文章

订阅专栏

本文详细介绍了Snort检测插件的作用及其实现过程。检测插件位于snort源码的src/detection-plugins目录下，主要用于解析Snort规则中的关键词，如ICMP的itype和icode。插件的Setup函数注册规则选项，而Init函数则负责初始化工作，包括解析关键词和将检测函数挂载到相应链表。通过这个过程，Snort能够对网络流量进行有效检测和分析。

一检测插件概述

1.代码位置：snort源码src/detection-plugins

2.作用：snort规则体可定义关键词，如对于ICMP协议的itype，icode等，这些关键词及其参数都会被检测插件解析，并调用检测插件相关函数进行处理。如在规则体定义itype:3，那么检测插件会根据输入分组packet结构的icmp协议的type和规则里itype进行比较操作。

二检测插件Setup

每个检测插件都有Setup函数，例如sp_icmp_type_check.c中的SetupIcmpTypeCheck函数：

void SetupIcmpTypeCheck(void)
{
    RegisterRuleOption("itype", IcmpTypeCheckInit, NULL, OPT_TYPE_DETECTION, NULL);
    ...
}

函数调用链：RegisterRuleOptions=>SetupIcmpTypeCheck=>RegisterRuleOption

1.RegisterRuleOptions定义在plugbase,c中，完成三维链表底层链表（规则体）初始化。

2.RegisterRuleOption定义在plugbase,c中，生成RuleOptConfigFuncNode结点插入链表rule_opt_config_funcs（定义在snort.cc）尾部。

三检测插件Init

每个检测插件都有Init函数，例如sp_icmp_type_check.c中的IcmpTypeCheckInit函数：

void IcmpTypeCheckInit(struct _SnortConfig *sc, char *data, OptTreeNode *otn, int protocol)
{
    ...
    otn->ds_list[PLUGIN_ICMP_TYPE] = (IcmpTypeCheckData *)SnortAlloc(sizeof(IcmpTypeCheckData)); // 新建结点，挂到三维链表上
    ParseIcmpType(sc, data, otn);                       // 解析icmp规则里的itype值
    fpl = AddOptFuncToList(IcmpTypeCheck, otn);         // 将检测函数挂到otn的相关链表上
}

Init过程完成三维链表中相关键词检测初始化工作，即解析关键词，将关键词检测函数挂接到三维链表中。