求snort的tcp重组实现分析。。。

chishanmingshen

1. 
   
2. static inline int CheckFlushPolicyOnData(
   
3.     TcpSession *tcpssn, StreamTracker *talker,
   
4.     StreamTracker *listener, TcpDataBlock *tdb, Packet *p)
   
5. {
   
6.     uint32_t flushed = 0;
   
7.     uint32_t avail;
   
8. 
   
9.     STREAM5_DEBUG_WRAP(DebugMessage(DEBUG_STREAM_STATE,
   
10.                 "In CheckFlushPolicyOnData\n"););
    
11.     STREAM5_DEBUG_WRAP(DebugMessage(DEBUG_STREAM_STATE,
    
12.                 "Talker flush policy: %s\n",
    
13.                 flush_policy_names[talker->flush_mgr.flush_policy]););
    
14.     STREAM5_DEBUG_WRAP(DebugMessage(DEBUG_STREAM_STATE,
    
15.                 "Listener flush policy: %s\n",
    
16.                 flush_policy_names[listener->flush_mgr.flush_policy]););
    
17. 
    
18.     switch(listener->flush_mgr.flush_policy)
    
19.     {
    
20.         case STREAM_FLPOLICY_IGNORE:
    
21.             STREAM5_DEBUG_WRAP(DebugMessage(DEBUG_STREAM_STATE,
    
22.                         "STREAM_FLPOLICY_IGNORE\n"););
    
23.             return 0;
    
24. 
    
25.         case STREAM_FLPOLICY_FOOTPRINT_IPS:
    
26.         {
    
27.             int coerce;
    
28.             STREAM5_DEBUG_WRAP(DebugMessage(DEBUG_STREAM_STATE,
    
29.                         "STREAM_FLPOLICY_FOOTPRINT-IPS\n"););
    
30. 
    
31.             avail = get_q_sequenced(listener);
    
32.             coerce = CheckFlushCoercion(
    
33.                 p, &listener->flush_mgr, listener->tcp_policy->flush_factor);
    
34. 
    
35.             if (
    
36.                 (avail > 0) &&
    
37.                 (coerce || (avail >= listener->flush_mgr.flush_pt) ||
    
38.                 (avail && talker->s_mgr.state == TCP_STATE_FIN_WAIT_1))
    
39.             ) {
    
40.                 uint32_t dir = GetForwardDir(p);
    
41. 
    
42.                 if ( talker->s_mgr.state == TCP_STATE_FIN_WAIT_1 )
    
43.                     listener->flags |= TF_FORCE_FLUSH;
    
44. 
    
45.                 flushed = flush_to_seq(
    
46.                     tcpssn, listener, avail, p,
    
47.                     GET_SRC_IP(p), GET_DST_IP(p),
    
48.                     p->tcph->th_sport, p->tcph->th_dport, dir);
    
49.             }
    
50.         }
    
51.         break;
    
52. 
    
53.         case STREAM_FLPOLICY_PROTOCOL_IPS:
    
54.         {
    
55.             uint32_t flags = GetForwardDir(p);
    
56.             uint32_t flush_amt = flush_pdu_ips(tcpssn, listener, p, &flags);
    
57.             uint32_t this_flush;
    
58. 
    
59.             while ( flush_amt > 0 )
    
60.             {
    
61.                 // if this payload is exactly one pdu, don't
    
62.                 // actually flush, just use the raw packet
    
63.                 if ( (tdb->seq == listener->seglist->seq) &&
    
64.                      (flush_amt == listener->seglist->size) &&
    
65.                      (flush_amt == p->dsize) )
    
66.                 {
    
67.                     this_flush = flush_amt;
    
68.                     listener->seglist->buffered = SL_BUF_FLUSHED;
    
69.                     listener->flush_count++;
    
70.                     p->packet_flags |= PKT_PDU_FULL;
    
71.                     ShowRebuiltPacket(p);
    
72.                 }
    
73.                 else
    
74.                 {
    
75.                     this_flush = flush_to_seq(
    
76.                         tcpssn, listener, flush_amt, p,
    
77.                         GET_SRC_IP(p), GET_DST_IP(p),
    
78.                         p->tcph->th_sport, p->tcph->th_dport, flags);
    
79.                 }
    
80.                 // if we didn't flush as expected, bail
    
81.                 if ( this_flush != flush_amt )
    
82.                     break;
    
83. 
    
84.                 flushed += this_flush;
    
85.                 flags = GetForwardDir(p);
    
86.                 flush_amt = flush_pdu_ips(tcpssn, listener, p, &flags);
    
87.             }
    
88.             if ( !flags )
    
89.             {
    
90.                 if ( AutoDisable(listener, talker) )
    
91.                     return 0;
    
92. 
    
93.                 listener->flush_mgr.flush_policy = STREAM_FLPOLICY_FOOTPRINT_IPS;
    
94.                 listener->flush_mgr.flush_pt += ScPafMax();
    
95.                 listener->flush_mgr.flush_type = S5_FT_PAF_MAX;
    
96. 
    
97.                 return CheckFlushPolicyOnData(tcpssn, talker, listener, tdb, p);
    
98.             }
    
99.         }
    
100.         break;
     
101.     }
     
102.     return flushed;
     
103. }
     

复制代码

from 2.9.4 snort
求解其中的机制分析，谢谢！
（先占位放着，等我分析后补充！有清楚的请跟帖指点，谢谢！）

ww2000e

有个人写过一点，在这能下到ｐｄｆ

chishanmingshen

没有吧。目前我没有搜到任何有价值的东西。。。

你给个链接，谢谢！
回复 2# ww2000e


   

251300891

回复 1# chishanmingshen


    有同样的需求

chishanmingshen

refer to flush_to_seq()