ClamAV学习【4】——cli_magic_scandesc函数浏览

最新推荐文章于 2020-09-15 18:02:36 发布
最新推荐文章于 2020-09-15 18:02:36 发布
阅读量171 收藏
点赞数
CC 4.0 BY-SA版权
原文链接：http://www.cnblogs.com/sunylat/p/6393420.html
本文深入分析了ClamAV中cli_magic_scandesc函数的实现原理及工作流程，该函数用于根据不同文件类型调用相应的扫描函数进行病毒检测。文中详细解释了如何根据文件属性和配置参数选择合适的扫描方式。

今晚继续浏览ClamAV代码，挖掘到了cli_magic_scandesc函数，发现前面包装了很多次扫描函数，这里就是最后一层的感觉。一些扫描限制判断加上文件类型判断，采用不同扫描函数处理。

（PS:发现这些函数个头都很大，虽然按着功能分段好理解，但是书本不是说一个函数一个功能模块么？难道是不实际，还是理解错误？）

代码分析如下：

//magic，说明这很神奇
int cli_magic_scandesc(int desc, cli_ctx *ctx)
{
	int ret = CL_CLEAN;
	cli_file_t type, dettype = 0;
	struct stat sb;
	uint8_t typercg = 1;

	//获取文件属性stat结构
    if(fstat(desc, &sb) == -1) {
	cli_errmsg("magic_scandesc: Can't fstat descriptor %d\n", desc);
	return CL_EIO;
    }

	//文件太小无需扫描
    if(sb.st_size <= 5) {
	cli_dbgmsg("Small data (%u bytes)\n", (unsigned int) sb.st_size);
	return CL_CLEAN;
    }

	//引擎已经构建
    if(!ctx->engine) {
	cli_errmsg("CRITICAL: engine == NULL\n");
	return CL_EMALFDB;
    }

	//默认模式扫描
    if(!ctx->options) { /* raw mode (stdin, etc.) */
	cli_dbgmsg("Raw mode: No support for special files\n");
	if((ret = cli_scandesc(desc, ctx, 0, 0, NULL, AC_SCAN_VIR)) == CL_VIRUS)
	    cli_dbgmsg("%s found in descriptor %d\n", *ctx->virname, desc);
	return ret;
    }

	//是否超过设置的扫描限制
    if(cli_updatelimits(ctx, sb.st_size)!=CL_CLEAN)
        return CL_CLEAN;

	//邮件或者压缩文件扫描
    if((SCAN_MAIL || SCAN_ARCHIVE) && ctx->limits && ctx->limits->maxreclevel && ctx->recursion > ctx->limits->maxreclevel) {
        cli_dbgmsg("Archive recursion limit exceeded (level = %u).\n", ctx->recursion);
	return CL_CLEAN;
    }

	//定位文件，找到文件类型
    lseek(desc, 0, SEEK_SET);
    type = cli_filetype2(desc, ctx->engine);
    if(type == CL_TYPE_ERROR) {
	cli_dbgmsg("cli_magic_scandesc: cli_filetype2 returned CL_TYPE_ERROR\n");
	return CL_EIO;
    }
    lseek(desc, 0, SEEK_SET);

	//非忽略类型还有个什么。需要研究
    if(type != CL_TYPE_IGNORED && ctx->engine->sdb) {
	if((ret = cli_scanraw(desc, ctx, type, 0, &dettype)) == CL_VIRUS)
	    return CL_VIRUS;
	lseek(desc, 0, SEEK_SET);
    }

    ctx->recursion++;

	//根据不同的类型，让文件见鬼去吧
    switch(type) {
	case CL_TYPE_IGNORED:
	    break;

	case CL_TYPE_RAR:
#ifdef ENABLE_UNRAR
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_RAR))
		ret = cli_scanrar(desc, ctx, 0, NULL);
#else
	    cli_warnmsg("RAR code not compiled-in\n");
#endif
	    break;

	case CL_TYPE_ZIP:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_ZIP))
		ret = cli_unzip(desc, ctx);
	    break;

	case CL_TYPE_GZ:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_GZ))
		ret = cli_scangzip(desc, ctx);
	    break;

	case CL_TYPE_BZ:
#ifdef HAVE_BZLIB_H
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_BZ))
		ret = cli_scanbzip(desc, ctx);
#endif
	    break;
	case CL_TYPE_ARJ:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_ARJ))
		ret = cli_scanarj(desc, ctx, 0, NULL);
	    break;

        case CL_TYPE_NULSFT:
	  if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_NSIS))
		ret = cli_scannulsft(desc, ctx, 0);
	    break;

        case CL_TYPE_AUTOIT:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_AUTOIT))
		ret = cli_scanautoit(desc, ctx, 23);
	    break;

	case CL_TYPE_MSSZDD:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_SZDD))
		ret = cli_scanszdd(desc, ctx);
	    break;

	case CL_TYPE_MSCAB:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_CAB))
		ret = cli_scanmscab(desc, ctx, 0);
	    break;

	case CL_TYPE_HTML:
	    if(SCAN_HTML && (DCONF_DOC & DOC_CONF_HTML))
		ret = cli_scanhtml(desc, ctx);
	    break;

	case CL_TYPE_HTML_UTF16:
	    if(SCAN_HTML && (DCONF_DOC & DOC_CONF_HTML))
		ret = cli_scanhtml_utf16(desc, ctx);
	    break;

	case CL_TYPE_SCRIPT:
	    if((DCONF_DOC & DOC_CONF_SCRIPT) && dettype != CL_TYPE_HTML)
	        ret = cli_scanscript(desc, ctx);
	    break;

	case CL_TYPE_RTF:
	    if(SCAN_ARCHIVE && (DCONF_DOC & DOC_CONF_RTF))
		ret = cli_scanrtf(desc, ctx);
	    break;

	case CL_TYPE_MAIL:
	    if(SCAN_MAIL && (DCONF_MAIL & MAIL_CONF_MBOX))
		ret = cli_scanmail(desc, ctx);
	    break;

	case CL_TYPE_TNEF:
	    if(SCAN_MAIL && (DCONF_MAIL & MAIL_CONF_TNEF))
		ret = cli_scantnef(desc, ctx);
	    break;

	case CL_TYPE_UUENCODED:
	    if(DCONF_OTHER & OTHER_CONF_UUENC)
		ret = cli_scanuuencoded(desc, ctx);
	    break;

	case CL_TYPE_MSCHM:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_CHM))
		ret = cli_scanmschm(desc, ctx);
	    break;

	case CL_TYPE_MSOLE2:
	    if(SCAN_OLE2 && (DCONF_ARCH & ARCH_CONF_OLE2))
		ret = cli_scanole2(desc, ctx);
	    break;

	case CL_TYPE_POSIX_TAR:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_TAR))
		ret = cli_scantar(desc, ctx, 1);
	    break;

	case CL_TYPE_OLD_TAR:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_TAR))
		ret = cli_scantar(desc, ctx, 0);
	    break;

	case CL_TYPE_BINHEX:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_BINHEX))
		ret = cli_scanbinhex(desc, ctx);
	    break;

	case CL_TYPE_SCRENC:
	    if(DCONF_OTHER & OTHER_CONF_SCRENC)
		ret = cli_scanscrenc(desc, ctx);
	    break;

	case CL_TYPE_RIFF:
	    if(SCAN_ALGO && (DCONF_OTHER & OTHER_CONF_RIFF))
		ret = cli_scanriff(desc, ctx->virname);
	    break;

	case CL_TYPE_GRAPHICS:
	    if(SCAN_ALGO && (DCONF_OTHER & OTHER_CONF_JPEG))
		ret = cli_scanjpeg(desc, ctx->virname);
	    break;

        case CL_TYPE_PDF: /* FIXMELIMITS: pdf should be an archive! */
	    if(SCAN_PDF && (DCONF_DOC & DOC_CONF_PDF))
		ret = cli_scanpdf(desc, ctx, 0);
	    break;

	case CL_TYPE_CRYPTFF:
	    if(DCONF_OTHER & OTHER_CONF_CRYPTFF)
		ret = cli_scancryptff(desc, ctx);
	    break;

	case CL_TYPE_ELF:
	    if(SCAN_ELF && ctx->dconf->elf)
		ret = cli_scanelf(desc, ctx);
	    break;

	case CL_TYPE_SIS:
	    if(SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_SIS))
		ret = cli_scansis(desc, ctx);
	    break;

	case CL_TYPE_BINARY_DATA:
	    ret = cli_check_mydoom_log(desc, ctx->virname);
	    break;

	default:
	    break;
    }

    ctx->recursion--;

	//没有检查植入性pe文件
    if(type == CL_TYPE_ZIP && SCAN_ARCHIVE && (DCONF_ARCH & ARCH_CONF_ZIP)) {
	if(sb.st_size > 1048576) {
	    cli_dbgmsg("cli_magic_scandesc: Not checking for embedded PEs (zip file > 1 MB)\n");
	    typercg = 0;
	}
    }

    /* CL_TYPE_HTML: raw HTML files are not scanned, unless safety measure activated via DCONF */
    if(type != CL_TYPE_IGNORED && (type != CL_TYPE_HTML || !(DCONF_DOC & DOC_CONF_HTML_SKIPRAW)) && ret != CL_VIRUS && !ctx->engine->sdb) {
	if(cli_scanraw(desc, ctx, type, typercg, &dettype) == CL_VIRUS)
	    return CL_VIRUS;
    }

    ctx->recursion++;
    lseek(desc, 0, SEEK_SET);
    switch(type) {
	case CL_TYPE_TEXT_ASCII:
	    if((DCONF_DOC & DOC_CONF_SCRIPT) && dettype != CL_TYPE_HTML)
	        ret = cli_scanscript(desc, ctx);
	    break;
	/* Due to performance reasons all executables were first scanned
	 * in raw mode. Now we will try to unpack them
	 */
	case CL_TYPE_MSEXE:
	    if(SCAN_PE && ctx->dconf->pe)
		ret = cli_scanpe(desc, ctx);
	    break;

	default:
	    break;
    }
    ctx->recursion--;

    switch(ret) {
	case CL_EFORMAT:
	case CL_EMAXREC:
	case CL_EMAXSIZE:
	case CL_EMAXFILES:
	    cli_dbgmsg("Descriptor[%d]: %s\n", desc, cl_strerror(ret));
	    return CL_CLEAN;
	default:
	    return ret;
    }
}

原文：http://blog.youkuaiyun.com/betabin/article/details/7424762　

转载于:https://www.cnblogs.com/sunylat/p/6393420.html

ClamAV学习【5】—— cli_scanpe函数浏览
BetaBin
04-05 1万+
这近2000行的代码，要是没有Source Insight，都不知道怎么看下去。跟着跟着来到了PE文件查杀的地方，发现前面都中规中矩地进行PE属性检查，中间一段开始扫描每个区块，然后和特征库的size对比扫描查毒。再后面，加了对一些流行病毒的特定查杀。（这个比较晕。） 代码注释如下（代码过长，可能有些人加载较慢，请耐心等待……）： //传说中的PE文件查杀 int cli_scanpe(i
clamav杀毒软件源码分析笔记[一]
刺猬小屋
10-07 8680
 clamav杀毒软件源码分析笔记[一]刺猬@http://blog.youkuaiyun.com/littlehedgehog注: 《clamav杀毒软件源码分析笔记》只是我在阅读《linux安全体系分析与编程》中“clamav杀毒应用程序”有关章节的读书笔记而已。还望各位看官高抬贵手,不要当做学习资料来作为入门读物,这就贻笑大方了, Clamav我是选用的0.85版. 另外,限于我不是从事专门研究杀毒
两个开源恶意代码的查杀引擎 clamav yara
热门推荐
wowolook的专栏
03-16 1万+
 1. 使用ClamAV分类     ClamAV是开源杀毒引擎，它的应用范围包括突发事件响应、取证、常规恶意软件保护以及恶意软件发现，也可以将ClamAV作为现有的台式机、文件服务器、邮件服务器以及其他需要杀毒扫描软件场景中杀毒扫描软件的补充工具和替代工具。     ClamAV中有许多内置的扫描功能可用于处理存档文件、打包可执行文件、HTML、邮件以及其他类型的数据，改功能支持直接编
FFMPEG结构体分析：AVStream
jxcr1984的专栏
09-28 592
本文转自: http://blog.youkuaiyun.com/leixiaohua1020/article/details/14215821 AVStream是保存一个视/音频流信息的结构体。 /* 雷霄骅 * 中国传媒大学/数字电视技术 * leixiaohua1020@126.com * */ /** * Stream structure. * New fields can b
ClamAV学习【2】——clamscan入口函数浏览
BetaBin
04-02 3904
就简单给代码加上些注释，方便理解。第一次浏览，应该会有不正确的理解。后面会继续学习修改。 文件：clamscan\clamscan.c 代码如下： int main(int argc, char **argv) { int ds, dms, ret; double mb; struct timeval t1, t2; #ifndef C_WINDOWS struct timezo
ClamAV学习【9】——cvd文件解析及cli_untgz函数浏览
BetaBin
04-13 5140
这个cli_untgz函数，是用来解压CVD文件的。 那么，就刚先搞清楚CVD文件的功能作用。下了源码，我们会发现，没有前面提到的*.mdb或者*.hbd等病毒签名文件。原因就是，那些文件都是由CVD文件解压生成的，是的，CVD是个病毒签名压缩文件。（下面是daily.cvd解压后的） CVD文件，前512个bytes是一个特殊的头文件，在前面也提到过了（http://blog.csd
LibClamAV Error: cli_loaddbdir(): No supported database file问题解决
程序员的一天
09-15 4947
网上搜索这个问题，出来的解决方案很多是创建clamd.sock，其实不需要！ 1、问题描述 在centos7下安装ClamAV时，启动clamd报错，如下： [root@程序员的一天 clamav]# clamd LibClamAV Error: cli_loaddbdir(): No supported database files found in /usr/local/share/clamav ERROR: Can't open file or directory 2、原因分析 原因：没有病毒库.
Ruby快速集成ClamAV扫描器：Littleneck_clamav包装器
- **命令行界面**: ClamAV 提供命令行界面（CLI）程序，如 clamscan 和 clamdscan，可以被脚本和应用程序调用来执行文件扫描任务。 - **守护进程 clamd**: clamd 是 ClamAV 的守护进程，它可以持续运行并等待来自...
clamav程序的研究总结
zhangge3663的博客
08-08 3628
一、clamav-0.100.1的整体的目录如下: |-Clamav-milter   |-Clambc   |-Clamconf   |-Clamdscan   |-Clamdtop   |-Clamscan   |-Clamsubmit   |-Config   |-Database   |-Docs   |-Etc   |-Examples   |-Freshclam   |-Libcl...
windows使用linux命令工具包.zip
03-10
windows下可以使用linux命令的工具， 如zip\awk\cat\cp\curl\chown\chomd\date\cut\dd\dc\df\find\join\ll\patch\rm\printf\wc等等基础linux 使用命令，方便windows下开发人员使用，提升开发效率。
clamav的学习
yezi0712的专栏
07-17 962
API 头文件 #include
Libclamav库 API
wd_uestc的专栏
11-30 6857
每个使用libclamav库的应用程序都必须包括clamav.h头文件     #include (使用样例见clamscan/manager.c) 一、装载库 初始化装载库的函数列出如下： int cl_loaddb(const char * filename , struct cl_node **root , unsigned int *signo); //装载选择的数据库 int
Clamav杀毒软件源码分析笔记 九
qq_43678612的博客
11-14 430
Clamav杀毒软件源码分析笔记 九
Clamav Build process
千重浪Linux技术工作室
09-30 2725
sles:~ # rpm -ivh sendmail-8.14.3-50.19.i586.rpm --force error: Failed dependencies:         postfix conflicts with sendmail-8.14.3-50.19.i586         sendmail conflicts with postfix-2.5.6-1.14.i58
ClamAV工作
哪吒要结婚的博客
08-10 553
工作流程图引用库zlibbzlib关键函数int scanmanager(const struct optstruct *opts)内容扫描入口static void scanfile(const char *filename, struct cl_engine *engine, const struct optstruct *opts, unsigned int options)内容扫描int c
Clamav杀毒软件的开发
Light_PenZi的专栏
01-08 2111
一、clamav源代码编译与库文件获取 二、clamav的初始化 三、基本的文件查毒
Clamav杀毒软件源码分析笔记[九]
刺猬小屋
10-08 9642
Clamav杀毒软件源码分析笔记[九]刺猬@http://blog.youkuaiyun.com/littlehedgehog[数据流病毒扫描]数据流病毒扫描,听上去貌似很牛逼的称呼,其实就是一个传送数据流,接收数据流,扫描病毒而已. 貌似扫描病毒代码亦是很牛逼的代码,其实也不然,不过调用扫描病毒的引擎API函数尔. 调API调久了,自然想去看看这个API究竟怎么回事,于是乎就去看kernel代码了,想刚
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值