Surciata源码分析之IpsNFQ模式（2）

最新推荐文章于 2024-03-08 09:55:06 发布
最新推荐文章于 2024-03-08 09:55:06 发布
阅读量3.5k 收藏
点赞数 1
分类专栏： 网络安全 文章标签： struct table 多线程 编程 存储 tcp
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Firedb/article/details/7581894
版权

2. 各模块功能分析

  •   Receive：从NFQUEUE中接收数据包，并将封装在Packet结构中，然后放入下一个缓冲区。

  •   Decode：对数据包进行解码，主要是对数据包头部信息进行分析并保存在Packet结构中。

  •   StreamTCP：对数据包进行TCP流重组。

  •   Detect：检测数据包是否包含

最低0.47元/天 解锁文章
fraser
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
Surciata源码分析之IpsNFQ模式（1）
Firedb的专栏
05-18 6873
最近看了一下suricata-1.2.1的源代码，加之之前在网上没有搜到关于suricata的分析资料，所以就把看源码时的一些笔记整理了一下，发到网上，供其他对suricata感兴趣的网友参考。由于是第一次在csdn上写技术博客，不足之处还望看到此文章的网友见谅！ 先还是进行简要的介绍一下，Suricata 是一个网络入侵检测和阻止引擎，由开放信息安全基金会以及它说支持的提供商说开发。该引擎是多
suricata:suricata原始码分析和读书笔记
03-23
苏里卡塔 suricata原始码分析和读书笔记
suricata 源码分析之ringbuffer（环形缓冲区）
guoguangwu的专栏
03-19 1521
环形缓冲区也就是ringbuffer,其性能相对于异步队列是非常高效的，原因 ： 1)无锁; 2)cpu cache 友好;3) 内存不会疯涨。 当然ringbuffer也有其缺点(也是优点， 不会出现内存暴增)，就是其长度是固定的，如果满了无法再往里面放入数据，而异步队列没有这个限制，但是有可能因为并发不够，处理不过来，队列太长导致内存被大量占用，程序性能越来越差。 ...
Linux网络收包过程
Yisnow.的博客
12-30 2879
当用户执行完 recvfrom 调用后，用户进程就通过系统调用进行到内核态工作了。如果接收队列没有数据，进程就进入睡眠状态被操作系统挂起。剩下大部分都是由 Linux 内核其它模块来完成。首先在开始收包之前，Linux 要做许多的准备工作：创建 ksoftirqd 线程，为它设置好它自己的线程函数，以便后面处理软中断。协议栈注册，linux 要实现许多协议，比如 arp，icmp，ip，udp，tcp，每一个协议都会将自己的处理函数注册一下，方便包来了迅速找到对应的处理函数。
suricata中DPDK收发包源码分析1
每天分享一个编程小知识
05-14 577
2)source-dpdk.c在RegisterAllModules()函数中调用TmModuleReceiveDPDKRegister()和TmModuleDecodeDPDKRegister()来注册DPDK对应的收包和解码两个module，大部分代码是对这两个module提供的API函数的实现，包括收包前的初始化和收取报文，解码前的初始化和报文解码。好了，关于suricata中DPDK收发包的初始化以及框架代码的分析就到这里了。
Suricata IPS-NFQ模式
Chaowanq的博客
11-30 2569
Suricata IPS-NFQ模式 注：本文写于2019年，文中的相关概念的介绍摘抄出自哪里已经不记得，如有侵权请指出，本文将补充相关部分的引用。 1.Suricata运行模式 Suricata有两个运行模式的概念。 一个运行模式封装在RunModes（runmmode.c）结构体里，一个RunModes对应一组运行模式。Suricata支持的所有运行模式存储在runmodes数组中，定义为RunModes runmodes[RUNMODE_USER_MAX]。模式包括：“IDS+Pcap”模式组、“Fi
suricata 各个线程干的事情 -- 主线程
xuwaiwai的博客
01-06 4424
suricata 各个线程的作用 -- 主线程
workers模式流程
wsk004321的专栏
05-19 1407
main：注册运行模式（添加到全局的运行模式数组runmodes中） RunModeRegisterRunModes(); -------------------------- RunModeIdsPcapRegister(); {     RunModeRegisterNewRunMode(RUNMODE_PCAP_DEV, "workers",       
suricata NFQ模式流程图
sinat_41915699的博客
09-26 427
suricata 7.0 IPS 防火墙模式研究
aomeng的专栏
12-23 832
suricata 7.0 IPS 防火墙模式研究
suricata的Decode协议解码流程源码分析
每天分享一个编程小知识
05-22 740
一般报文的解码流程比较简单，先确定报文的起始位置和总长度，这两个值在ReceiveDPDKLoop中PacketSetData函数，将DPDK mbuf的报文起始地址和报文总长度赋值给了suricata报文Pakcet结构体的ext_pkt和pktlen。DPDK解码流程的函数入口是DecodeDPDK，解码流程按照以太网层、网络层、传输层以及负载一层层找到报文中指定的位置，并且记录相关字段，最后在FlowSetupPacket函数中根据建流的需要打上相应的标记以及计算出流表的哈希值。
Suricata之源代码(二)
qianligaoshan的专栏
04-11 1831
在前面我
suricata源码中的packet prefilter 以及payload prefilter
村中少年的专栏
06-16 2614
简单介绍一下suricata源码中的packet prefilter 以及payload prefilter
开源IDS suricata源码分析（协议解析添加流程）
m0_50638175的博客
09-28 6552
Suricata新增协议解析 个人总结，新增协议解析分3步进行 生成新协议的解析模板 修改协议解析器实现 修改输出模块实现 1. 创建协议解析模板 对于新增协议解析，Suricata有脚本可以自动生成框架代码patch，示例解析器，示例输出模块。一般在使用脚本生成模板后，仅需修改解析器实现和输出模块实现即可。 创建pop3协议的解析模板： python scripts/setup-app-layer.py Pop3 命令执后如下文件被修改或创建：（具体内容见附件） 框架代码文件 文件名 修改内
网络入侵检测系统之Suricata(十一)--TCP重组实现详解
最新发布
诗酒趁年华
03-08 1062
TCP重组一直是入侵检测系统中最为重要也是最难的一部分，它涉及到全流量的缓存，因此存储消耗十分巨大，据统计100万的会话就要产生1G~10G的内存缓存，因此设计一套TCP重组优化的算法十分必要，目前优化的办法有两种，一种是尽量不去TCP重组减少缓存包括红绿名单，配置，抽样算法，另一种就是将重组下沉到硬件例如FPGA，减少以软件方式缓存。
suricata 3.2 源码分析（IP数据包分片重组流程）
superbfly的专栏
07-11 3410
在网络通信中如果发送的IP包超过MTU值就会将IP包拆分成多个包发送。那么在suricata中对于这种拆分开得IP包又是如何处理的呢？下面我们一步一步来分析。判断数据包是不是分片包是在DecedeIPV4这个函数中做的，具体位置是在 数据包解析模块->DecodeEthernet->DecedeIPV4在DecedeIPV4这个函数中有如下一段代码： /* If a fragment, pa
suricata源码之Storage
村中少年的专栏
06-29 877
简述suricata中的storage含义
suricata 流管理
10-31 552
suricata 流管理
Suricata6.0流表管理源码注释六：流的老化01
ljq32的专栏
01-08 3098
流的老化

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值