[Golang] packetbeat 二次开发-初探(一)

项目背景

目前需求新增支持协议获取。当前协议Kerberos

代码研究-初始化代码

新增协议只需要在这里进行新增即可。但是我们需要了解如何新增其中的代码逻辑方便我们后期进行移植。
packetbeat/protos

做个简单的~
先新建个Kerberos协议的文件

kerberos.go
初始化结构体

type kerberosPlugin struct {
	ports                     []int
	sendRequest               bool
	sendResponse              bool
	maxBodyLength             int
	parseHeaders              bool
	parseArguments            bool
	hideConnectionInformation bool
	transactions              *common.Cache
	transactionTimeout        time.Duration
	results                   protos.Reporter
}

初始化函数

func (krb *kerberosPlugin) init(results protos.Reporter, config *kerberosConfig) error {
	krb.setFromConfig(config)

	krb.results = results
	return nil
}

获取接口

// GetPorts lists the port numbers the kerberos protocol analyser will handle.
func (krb *kerberosPlugin) GetPorts() []int {
	return krb.ports
}

分析Kerberos流量

根据流量特征发现偏移4个byte最后一个byte是后面数据的byte数量从头开始分析

首先从头部Kerberos流量头部数据进行分析。第一个字节为标识请求类型

var HeaderTypes = map[byte]string {
	0x6a: "ASREQ",
	0x6b: "ASREP",
	0x6c: "TGSREQ",
	0x6d: "TGSREP",
	0x6e: "APERQ",
	0x6f: "APERP",
	0x74: "KRBSafe",
	0x75: "KRBPriv",
	0x76: "KRBCred",
	0x7e: "KRBError",
}

验证数据内容
开头第二个byte如果是0x81,说明后面取一个byte。如果是0x82,说明后面取两个byte利用大端的去相加两个byte。得出来的这个值是整个数据包不包含开头标识位的body长度。

// 基础头部数据转换
func FromBytes(data []byte) (kerberos, error) {
	var krbHeader kerberos
	var beacon uint8

	MsgType, err := CheckMap(data[0], HeaderTypes)
	if err == nil {
		return kerberos{}, fmt.Errorf("Data Error !!")
	}

	krbHeader.MsgType = MsgType

	if data[1] == 0x81 { //1 byte
		krbHeader.DataLength = uint16(data[2])
		beacon = 10
	} else if data[1] == 0x82 { //2 byte
		l := binary.BigEndian.Uint16(data[2:4])
		if l != uint16(len(data[4:])) {

			return kerberos{}, fmt.Errorf("Data Error !!")
		}
		krbHeader.DataLength = binary.BigEndian.Uint16(data[2:4])
		beacon = 12
	}
	if data[beacon] == 0x05 {
		krbHeader.PVNO = 0x05
	} else {
		return kerberos{}, fmt.Errorf("Data Error !!")
	}
	return krbHeader, nil
}

func CheckMap(data byte, m map[byte]string) (string, error) {
	v, ok := m[data]
	if ok != true {
		fmt.Printf("异常数据: %+v,", data)
		return "", fmt.Errorf("异常数据")
	}
	return v, nil
}

因为对应的结构体不同。我们在开头进行判断还需要推送到目标的转换代码中。

func (krb *kerberosPlugin) FromBytes(data []byte) ( error) {
	var krbHeader kerberos
	var beacon uint8

	MsgType, err := CheckMap(data[0], MsgTypes)
	if err != nil {
		return  fmt.Errorf("Data Error !! MsgType Error!!")
	}
	krbHeader.MsgType = MsgType

	if data[1] == 0x81 { //1 byte
		krbHeader.DataLength = uint16(data[2])
		beacon = 10
	} else if data[1] == 0x82 { //2 byte
		l := binary.BigEndian.Uint16(data[2:4])
		if l != uint16(len(data[4:])) {
			return  fmt.Errorf("Data Error !! DataLength Error!!")
		}
		krbHeader.DataLength = binary.BigEndian.Uint16(data[2:4])
		beacon = 12
	}
	if data[beacon] == 0x05 {
		krbHeader.PVNO = 0x05
	} else {
		return  fmt.Errorf("Data  Error !! beacon Error!!")
	}
	if krbHeader.MsgType == "ASREQ"{
		krb.toAsReq(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "ASREP" {
		krb.toAsRep(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "TGSREQ" {
		krb.toTgsReq(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "TGSREP" {
		krb.toTgsRep(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "APREQ" {
		krb.toApReq(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "APREP" {
		krb.toApRep(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "KRBSafe" {
		krb.toKRBSafe(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "KRBPriv" {
		krb.toKRBPriv(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "KRBCred" {
		krb.toKRBCred(fmt.Sprintf("%x",data))
	}else if krbHeader.MsgType == "KRBError" {
		krb.toKRBError(fmt.Sprintf("%x",data))
	}
	return  nil
}

转换代码

func  (krb *kerberosPlugin) toAsReq(s string)  {
	var a messages.ASReq
	b, err := hex.DecodeString(s)
	if err != nil {
		fmt.Println("Test vector read error: %v", err)
	}
	err = a.Unmarshal(b)
	if err != nil {
		fmt.Println("Unmarshal error: %v", err)
	}
	fmt.Printf("%+v",a)
	return
}

func (krb *kerberosPlugin) toAsRep(s string)  {
	var a messages.ASRep
	b, err := hex.DecodeString(s)
	if err != nil {
		fmt.Println("Test vector read error: %v", err)
	}
	err = a.Unmarshal(b)
	if err != nil {
		fmt.Println("Unmarshal error: %v", err)
	}
	fmt.Printf("%+v",a)
	return
}

因为我们这个代码目的是和HIDS结合。我们这里已经算是完成了协议解析的部分内容。然后我们就需要把读取数据的逻辑直接取出来,方便后面进行融合。

©️2020 CSDN 皮肤主题: 终极编程指南 设计师:CSDN官方博客 返回首页