suricata 开源工具学习-规则 关键字开发应用

suricata提供了组件式的开发方式,在SigTableSetup注册所有规则关键字。

suricata 开源工具学习-规则 关键字开发应用_第1张图片

通过接口可以看出,sigmatch_table变量为所有规则关键字的实例(可以作为gdb的调试参数)

文件

规则关键字的编译文件命名格式detect-xx.c detect-xx.h

生成文件

下载对应suricata主干版本的工具,本教程使用4.1.x版本,github地址: https://github.com/OISF/suricata/tree/master-4.1.x

解压完成后的路径结构

suricata 开源工具学习-规则 关键字开发应用_第2张图片

scripts目录里就有生成关键字和协议的脚本,我们执行工具+关键字(自己diy)名称

/bin/bash scripts/setup-simple-detect.sh test

结果是这样的代表成功,让我们编译即可。

我们把生成的文件拿到编译环境中(这里生成后,也可以在script版本中使用,因为他是裁剪的所以我还是用主干

这是生成的文件

复制进我们自己编译环境的src目录中。

编译

如何生效模板(成功编译)

  • Makefile编译:src/Makefile 向am_suricata_OBJECTS成员中加入生成的文件

  • 新增规则ID:每个规则拥有自己的index存在于sigmatch_table这个线性表里面。坐标声明在detect-engine-register.h文件中。加入DETECT_TEST宏suricata 开源工具学习-规则 关键字开发应用_第3张图片
  • 注册接口:在detect-engine-register.c中加入生成文件关键字的注册接口suricata 开源工具学习-规则 关键字开发应用_第4张图片

在这里还要添加对应头文件

        

编译

在src目录执行make即可

开发

注册接口

/**
 * \brief Registration function for test: keyword
 *
 * This function is called once in the 'lifetime' of the engine.
 */
void DetectTestRegister(void) {
    /* keyword name: this is how the keyword is used in a rule */
    sigmatch_table[DETECT_TEST].name = "test";
    /* description: listed in "suricata --list-keywords=all" */
    sigmatch_table[DETECT_TEST].desc = "give an introduction into how a detection module works";
    /* link to further documentation of the keyword. Normally on the Suricata redmine/wiki */
    sigmatch_table[DETECT_TEST].url = "Suricata Developers Guide - Suricata - Open Information Security Foundation";
    /* match function is called when the signature is inspected on a packet */
    sigmatch_table[DETECT_TEST].Match = DetectTestMatch;
    /* setup function is called during signature parsing, when the test
     * keyword is encountered in the rule */
    sigmatch_table[DETECT_TEST].Setup = DetectTestSetup;
    /* free function is called when the detect engine is freed. Normally at
     * shutdown, but also during rule reloads. */
    sigmatch_table[DETECT_TEST].Free = DetectTestFree;
    /* registers unittests into the system */
    sigmatch_table[DETECT_TEST].RegisterTests = DetectTestRegisterTests;

/* set up the PCRE for keyword parsing */
    DetectSetupParseRegexes(PARSE_REGEX, &parse_regex, &parse_regex_study);
}

 

 

接口实现对关键字基本信息的注册,在上面存在:

关键字

test

功能描述

desc

使用教程

url

数据包匹配

Match

初始化

Setup

回收

Free

测试内容()

RegisterTests

正则模块适配()

DetectSetupParseRegexes(PARSE_REGEX, &parse_regex, &parse_regex_study);

对于SigTableElmt结构还存在其他的功能,将在本篇文章中一同介绍

应用数据匹配

AppLayerTxMatch

文件匹配

FileMatch

???

Transform

从上得出结论,每个检测关键字提供了三个检测功能,分别为数据包匹配,协议流匹配,和文件匹配

  • 数据包匹配:每个数据包都会被规则提供的Match回调接口处理。

数据包匹配

这个匹配接口实现,数据包负载部分首尾值匹配,匹配条件取决于规则中给出的首尾10进制内容。

static int DetectTestMatch (ThreadVars *t, DetectEngineThreadCtx *det_ctx, Packet *p,
                                const Signature *s, const SigMatchCtx *ctx)
{

    int ret = 0;
    const DetectTestData *testd = (const DetectTestData *) ctx;
#if 0
    if (PKT_IS_PSEUDOPKT(p)) {
        /* fake pkt */
    }

if (PKT_IS_IPV4(p)) {
        /* ipv4 pkt */
    } else if (PKT_IS_IPV6(p)) {
        /* ipv6 pkt */
    } else {
        SCLogDebug("packet is of not IPv4 or IPv6");
        return ret;
    }
#endif
    /* packet payload access */
    if (p->payload != NULL && p->payload_len > 0) {
        if (testd->arg1 == p->payload[0] &&
            testd->arg2 == p->payload[p->payload_len - 1])
        {
            ret = 1;
        }
    }

return ret;
}

测试

查看默认规则位置,打开suricata.yaml文件,找到rules部分,追加test.rules

suricata 开源工具学习-规则 关键字开发应用_第5张图片

在对应位置创建test.rules文件并编辑规则内容

alert tcp any any -> any any (msg:"Detect www in payload"; content:"http"; test:104,110; sid:1000001;)

这个规则的含义,数据包中存在连续ascll值http内容,且tcp首尾值10进制为104,110

准备pcap文件且存在首尾值  内容都符合规则的包

suricata 开源工具学习-规则 关键字开发应用_第6张图片

运行

以af-packet模式运行suricata

suricata -c suricata.yaml --af-packet

验证

监视fast.log文件,查看告警状态

数据流匹配

以后更新

文件匹配

以后更新

你可能感兴趣的:(suricata应用开发,linux,c语言,网络,源代码管理)