snort 源码分析之规则文件解析- ipvar变量

snort的规则文件系统中包含很多配置，其中一些配置依赖于其他的配置项，使得snort规则解析分为两步，第一步解析配置的变量。

例如ipvar HOME_NET any 这是一个ip变量的设置，关键字ipvar 、HOME_NET :变量名、any :变量值；定义完之后，就可以在规则中使用，例如

alert tcp $EXTERNAL_NET any -> $HOME_NET $HTTP_PORTS (msg:"APP-DETECT Acunetix web vulnerability scan attempt"; flow:to_server,established; flowbits:set,acunetix-scan; content:"Acunetix-"; fast_pattern:only; http_header; metadata:service http; reference:url,www.acunetix.com; classtype:web-application-attack; sid:25358; rev:3;)
其中的红色部分就是使用的方式，在变量名中需要加上$。

下面以源码的形式进行分析解析变量的动作，snort中每个变量的关键字一般会在parser.h中以宏的方式定义，例如：

# define SNORT_CONF_KEYWORD__IPVAR "ipvar"
该关键字对应的解析函数会放置在一个叫snort_conf_keywords的数组中，在解析配置文件的时候，会遍历这个数组进行解析


typedef struct _KeywordFunc
{
    char *name;/* 关键字 例如 ipvar*/
    KeywordType type; /* 类型：规则配置、主配置、 所有*/
    int expand_vars; /* */
    int default_policy_only;
    ParseFunc parse_func; /* 配置的解析函数类型*/

} KeywordFunc;

static const KeywordFunc snort_conf_keywords[] =
{
...
    { SNORT_CONF_KEYWORD__IPVAR,             KEYWORD_TYPE__MAIN, 0, 0, ParseIpVar },
...
};

下面是解析ipvar的函数实现

/*
 * sc : snort的配置对象
 * p  : snort 的策略，实际内容保存它的ip_vartable属性中
 * args : 配置项内容（除关键字）
 */
static void ParseIpVar(SnortConfig *sc, SnortPolicy *p, char *args)
{
    char **toks;
    int num_toks;
    int ret;
...
    /* 通过上面的例子可以知道 ipvar的配置只有两项，所以如果切分的结果不等于二，说明有问题，报错退出程序，并在日志文件或者终端，显示错信息，具体到配置文件的名字和行号，方便调试*/
    toks = mSplit(args, " \t", 0, &num_toks, 0);
    if (num_toks != 2)
    {
        ParseError("Missing argument to %s", toks[0]);
    }

    /* Check command line variables to see if this has already
     * been defined */
    /* 检查命令行中是否已经定义该变量，如果已定义，抛弃配置文件的定义*/
    if (cmd_line_var_list != NULL)
    {
        VarNode *tmp = cmd_line_var_list;

        while (tmp != NULL)
        {
            /* Already defined this via command line */
            if (strcasecmp(toks[0], tmp->name) == 0)
            {
                mSplitFree(&toks, num_toks);
                return;
            }

            tmp = tmp->next;
        }
    }

    DisallowCrossTableDuplicateVars(sc, toks[0], VAR_TYPE__IPVAR);

    /* 检查是否定义过该变量，如果定义过，或者语法错误，报错退出，如果未定义，将该变量保存到策略p->ip_vartable属性的链表中*/
    if((ret = sfvt_define(p->ip_vartable, toks[0], toks[1])) != SFIP_SUCCESS)
    {
        switch(ret) {
            case SFIP_ARG_ERR:
                ParseError("The following is not allowed: %s.", toks[1]);
                break;

            case SFIP_DUPLICATE:
                ParseMessage("Var '%s' redefined.", toks[0]);
                break;

            case SFIP_CONFLICT:
                ParseError("Negated IP ranges that are more general than "
                        "non-negated ranges are not allowed. Consider "
                        "inverting the logic in %s.", toks[0]);
                break;

            case SFIP_NOT_ANY:
                ParseError("!any is not allowed in %s.", toks[0]);
                break;

            default:
                ParseError("Failed to parse the IP address: %s.", toks[1]);
        }
    }

    mSplitFree(&toks, num_toks);
}

这样ipvar的解析就算完成了。

接下来看一下规则中怎么使用的

/* 解析规则时，使用ProcessIP解析IP字段 */
static void ParseRule(SnortConfig *sc, SnortPolicy *p, char *args,
                      RuleType rule_type, ListHead *list)
{
...
        ProcessIP(sc, toks[4], &test_rtn, DST, 0);

}



/* 在这个里面使用sfvt_lookup_var查询addr这个变量是否在ip_vartable是否存在，如果存在，规则头rtn->sip对变量内容进行深拷贝， 不存在，进行解析，并加入变量链表*/
static int ProcessIP(SnortConfig *sc, char *addr, RuleTreeNode *rtn, int mode, int neg_list)
{
    vartable_t *ip_vartable = sc->targeted_policies[getParserPolicy(sc)]->ip_vartable;
...
    if(mode == SRC)
    {
        int ret;

        if (rtn->sip == NULL)
        {
            sfip_var_t *tmp = sfvt_lookup_var(ip_vartable, addr);
            if (tmp != NULL)
            {
                rtn->sip = sfvar_create_alias(tmp, tmp->name);
                if (rtn->sip == NULL)
                    ret = SFIP_FAILURE;
                else
                    ret = SFIP_SUCCESS;
            }
            else
            {
                rtn->sip = (sfip_var_t *)SnortAlloc(sizeof(sfip_var_t));
                ret = sfvt_add_to_var(ip_vartable, rtn->sip, addr);
            }
        }
     ...
    }
    /* mode == DST */
    else
    {
...    
    }
...

    return 0;
}

snort 源码分析之规则文件解析- ipvar变量

猜你喜欢