spicy之evt接口定义文件

一只tobey

已于 2022-07-26 17:17:48 修改

阅读量512

点赞数

文章标签： linux 网络

于 2022-07-26 16:45:10 首次发布

本文链接：https://blog.youkuaiyun.com/zz2230633069/article/details/125970701

版权

本文详细介绍了Spicy的Evt接口定义文件，包括Protocol Analyzer、Packet Analyzer和File Analyzer的格式与属性。讲解了如何定义Analyzer和Event，如设置传输层协议、属性和端口。同时阐述了数据包分析器的注册以及Spicy插件触发Zeek事件的规则，提供了具体的示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

#spicy 运行的方式
# (1)输入的是字符
echo "GET /index.html HTTP/1.0" | spicy-driver my-http.spicy

spicyc -j -o my-http.hlto  my-http.spicy
echo "GET /index.html HTTP/1.0" | spicy-driver my-http.hlto
echo "GET /index.html HTTP/1.0" | spicy-dump my-http.hlto

spicy-build -o a.out my-http.spicy
echo "GET /index.html HTTP/1.0" | ./a.out

# （2）输入的是pcap文件
zeek -Cr request-line.pcap my-http.spicy my-http.evt my-http.zeek
zeek -Cr request-line.pcap my-http.spicy my-http.evt my-http.zeek Spicy::enable_print=T

spicyz -o my-http-analyzer.hlto my-http.spicy my-http.evt
zeek -Cr request-line.pcap my-http-analyzer.hlto my-http.zeek

接口定义（evt 文件）

spicy不仅可以解析还能将一些信息提供给zeek。包括了analyzer和event。

Analyzer 定义：需要设置分析器的类型，设置zeek激活这些分析器的时间，以及确定使用哪些spicy的unit作为zeek的解析入口。

event 定义：明确提供给zeek的事件类型。

evt文件中使用#当作注释符。

protocol analyzer

格式如下：

ANALYZER_NAME：保证唯一性的前提下，可以任意选择分析器的名称。一般来说，按照惯例建议名称带有spicy::前缀，如spicy::PPTP，这样做的另一个好处是规范化的名称会自动添加到zeek的Analyzer::Tag的enum中，比如spicy::PPTP变成Analyzer:ANALYZER_SPICY_PPTP。

TRANSPORT_

最低0.47元/天解锁文章