Snort中的模式匹配！！！

http://www.cnblogs.com/hfww/archive/2012/05/11/2495245.html

Snort 2.9中的模式匹配有两种：单一模式匹配和多模式快速匹配。

单模式匹配

• Boyer-Moore算法（简称BM算法）；
• 在mstring.c和mstring.h里，其中一个典型的接口如下：int mSearch(const char *, int, const char *, int, int *, int *);
• 查找http报文头中特定字段用到了此算法；

多模式匹配

• mpse.h中；
• Wu-Manber算法：mwmSearch，但在2.9中算法已不再使用；
• 基于NFA状态机的AC算法：bnfaSearch；
• 基于DFA状态机的AC算法：acsmSearch，acsmSearch2；
• SFKSearch是一种占较少内存的Snort算法，利用Trie树(一种树形结构，用 于保存大量的字符串)来储存模式集，用兄弟和孩子连接来表示整个模式集。匹 配时采用和前面相同的坏字符法，根据匹配结果沿着两个方向来进行匹配。直到 最后确定是否有匹配发生。KTrieSearch；
  
• 这种方法使用Intel的QuickAssist技术来加速Snort中模式匹配的速度。
  

/*
*  Pattern Matching Methods
*/
//#define MPSE_MWM       1
#define MPSE_AC        2
//#define MPSE_KTBM      3
#define MPSE_LOWMEM    4 -------------- 利用Trie树
//#define MPSE_AUTO      5
#define MPSE_ACF       6
#define MPSE_ACS       7
#define MPSE_ACB       8
#define MPSE_ACSB      9
#define MPSE_AC_BNFA   10  ------------- 基于NFA状态机的AC算法
#define MPSE_AC_BNFA_Q 11 ----------- 基于NFA状态机的AC算法
#define MPSE_ACF_Q     12
#define MPSE_LOWMEM_Q  13 ---------- 利用Trie树


#ifdef INTEL_SOFT_CPM
#define MPSE_INTEL_CPM 14  ----------- intel硬件加速
#endif /* INTEL_SOFT_CPM */