Libnids TCP会话重组分析

电玩女神 2022-08-08 06:14 229阅读 0赞

作者：geeksword  
出处： [http://onestraw.net/cybersecurity/libnids-tcp-assembly][http_onestraw.net_cybersecurity_libnids-tcp-assembly]  
声明：本文采用以下协议进行授权： [署名-非商用|CC BY-NC 3.0 CN][-_CC BY-NC 3.0 CN] ，转载请注明作者及出处。

--------------------

Vim源码分析环境搭建好了[here][]，今天拿libnids练练手，虽然cscope命令才掌握几个常用的，但是阅读速度已经很快了，相对于source insight，至少不用担心成为鼠标手了。

> Libnids performs:  
> a) assembly of TCP segments into TCP streams  
> b) IP defragmentation  
> c) TCP port scan detection

即Libnids的功能有

1.  将TCP分段重组TCP流会话
2.  IP分片重组
3.  检测TCP端口扫描

下面围绕第一点\[重组TCP流会话\]来分析一下源码，我主要有两个问题

1.  **libnids工作过程，如何进行TCP会话重组？**
2.  **我试验了sample/printall.c程序，为什么不能输出会话重组后的所有数据？**

## 问题1 ##

main函数一般是下面这个样子

int main ()
    {
           
      if (!nids_init ())
      {
           
        fprintf(stderr,"%s\n",nids_errbuf);
        exit(1);
      }
      nids_register_tcp (tcp_callback);
      nids_run ();
      return 0;
    }

*  nids\_init()
 *  nids\_register\_tcp(tcp\_callback)
 *  nids\_run()

`nids_init`主要进行

1.  pcap抓包前的配置工作，如pcap\_compile, pcap\_setfilter
2.  init\_procs()初始化全局回调函数链表，包括ip\_frag\_procs, ip\_procs, tcp\_procs, udp\_procs; ip\_frag\_procs链表默认有一个处理函数gen\_ip\_frag\_proc; ip\_procs链表默认有一个处理函数gen\_ip\_proc; tcp\_procs和udp\_procs为空;
3.  tcp\_init()
    
     *  初始化全局tcp\_stream\_table, 它是一个二维tcp\_stream指针;
     *  初始化streams\_pool，它是一个一维的tcp\_stream指针;
     *  init\_hash()初始化哈希表;
4.  ip\_frag\_init()
5.  scan\_init()
6.  g\_thread\_init()

`nids_register_tcp(tcp_callback)`将回调函数插入到链表tcp\_procs头部;

`nids_run`主要的工作就是调用pcap\_loop循环抓包，将数据交付nids\_pcap\_handler回调函数处理。 该回调函数首先处理一下数据包头部，然后交于`ip_frag_procs`链表中的每个函数来处理，这时链表中只一个处理函数gen\_ip\_frag\_proc

gen\_ip\_frag\_proc判断该IP包是不是分片包(IPF\_NOTF, IPF\_NOTF)，是不是第一个到达的分片包(IPF\_NEW)，然后调用ip\_procs链表上的全部函数，此时只有一个gen\_ip\_proc

gen\_ip\_proc根据应用层协议类型调用相应的process\_tcp/udp/icmp函数

process\_tcp(data, skblen)

find\_stream()返回当前数据包匹配的tcp\_stream nids\_find\_tcp\_stream根据tuple4的哈希值查找tcp\_stream\_table

struct tcp_stream *
    nids_find_tcp_stream(struct tuple4 *addr)
    {
           
      int hash_index;
      struct tcp_stream *a_tcp;
    
      hash_index = mk_hash_index(*addr);
      for (a_tcp = tcp_stream_table[hash_index];
           a_tcp && memcmp(&a_tcp->addr, addr, sizeof (struct tuple4));
           a_tcp = a_tcp->next_node);
      return a_tcp ? a_tcp : 0;
    }

从这个函数可以看出，它是使用单独链表法解决哈希冲突/碰撞，tcp\_stream\_table第一维存储的是直接哈希值，第二维是相同哈希值的不同tuple4的单链表，用于处理碰撞。

建立时NIDS\_JUST\_EST会将tcp\_procs链表上的所有函数变成tcp\_stream的listensers，然后在a\_tcp->nids\_state==NIDS\_DATA时 调用tcp\_procs链表上的所有函数（此时有一个我们自己挂载的函数tcp\_callback）

最后处理完成数据，调用notify函数通知tcp\_procs链表上的函数来处理，函数调用路线如下：

process_tcp
    tcp_queue
    add_from_skb
    notify
    ride_lurkers
    tcp_callback

## 问题2 ##

src/tcp.c中的函数add\_from\_skb()中有三处

`rcv->offset = rcv->count; /* clear the buffer */`

我看了n遍还是很奇怪，`为什么这一句能够清除缓冲区?`

终于在看第n+1遍时，终于发现玄机就在add2buf函数中！

static void
    add2buf(struct half_stream * rcv, char *data, int datalen)
    {
           
      int toalloc;
      
      if (datalen + rcv->count - rcv->offset > rcv->bufsize) {
           
        if (!rcv->data) {
           
          if (datalen < 2048)
        toalloc = 4096;
          else
        toalloc = datalen * 2;
          rcv->data = malloc(toalloc);
          rcv->bufsize = toalloc;
        }
        else {
           
          if (datalen < rcv->bufsize)
            toalloc = 2 * rcv->bufsize;
          else   
            toalloc = rcv->bufsize + 2*datalen;
          rcv->data = realloc(rcv->data, toalloc);
          rcv->bufsize = toalloc;
        }
        if (!rcv->data)
          nids_params.no_mem("add2buf");
      }
      memcpy(rcv->data + rcv->count - rcv->offset, data, datalen);
      rcv->count_new = datalen;
      rcv->count += datalen;
    }

虽然前面写了申请内存，或者扩展内存，容易误导我们，但是注意

`memcpy(rcv->data + rcv->count - rcv->offset, data, datalen);`

如果rev->count == recv->offset，那么这条语句就造价于

`memcpy(rcv->data, data, datalen);`

也就是覆盖了同一会话中前面到达的数据！所以在同一TCP会话后面就无法找到前续数据，好像nids\_discard保留一些TCP包的数据，但是也有数量限制， 最安全的办法就是在自定义的tcp\_callback函数中存储会话数据，然后再通过tuple4, offset, count, count\_new加以组合.

### 参考 ###

[libnids][] [process\_tcp源码注释][process_tcp] [libnids笔记][libnids 1]

[http_onestraw.net_cybersecurity_libnids-tcp-assembly]: http://onestraw.net/cybersecurity/libnids-tcp-assembly
[-_CC BY-NC 3.0 CN]: http://www.creativecommons.org/licenses/by-nc/3.0/cn/deed.zh
[here]: http://onestraw.net/linux/vim-notes
[libnids]: https://github.com/MITRECND/libnids
[process_tcp]: http://blog.csdn.net/aaa6695798/article/details/5221867
[libnids 1]: http://www.cnblogs.com/chenyadong/archive/2011/12/17/2291157.html