libnids分析（9）---nids.h注释

#ifndef _NIDS_NIDS_H

#define _NIDS_NIDS_H

#define NIDS_MAJOR 1     /* 主版本号 */

#define NIDS_MINOR 20    /* 次版本号 */

#include <sys/types.h>

enum

{

  NIDS_WARN_IP = 1,     /* 表示 IP 数据包异常 */

  NIDS_WARN_TCP,         /* 表示 TCP 数据包异常 */

  NIDS_WARN_UDP,        /* 表示 UDP 数据包异常 */

  NIDS_WARN_SCAN       /* 表示有扫描攻击发生 */

};

 

enum

{

  NIDS_WARN_UNDEFINED = 0,     /* 表示未定义 */

  NIDS_WARN_IP_OVERSIZED,       /* 表示 IP 数据包超长 */

  NIDS_WARN_IP_INVLIST,              /* 表示无效的碎片队列 */

  NIDS_WARN_IP_OVERLAP,           /* 表示发生重叠 */

  NIDS_WARN_IP_HDR,           /* 表示无效 IP首部 ,IP 数据包发生异常 */

  NIDS_WARN_IP_SRR,             /* 表示源路由 IP数据包 */

  NIDS_WARN_TCP_TOOMUCH,    /* 表示 TCP 数据个数太多 , 因为在Libnids 中在同一时刻捕获的TCP 个数最大值为 TCP 连接参数的哈西表长度的 3/4*/

  NIDS_WARN_TCP_HDR,                 /* 表示无效 TCP首部 ,TCP 数据包发生异常 */

  NIDS_WARN_TCP_BIGQUEUE,     /* 表示 TCP 接受的队列数据过多 */

  NIDS_WARN_TCP_BADFLAGS      /* 表示错误标记 */

};

 

/*Libnids 状态描述的是连接的逻辑状态, 真正的 TCP 连接状态有 11种 .

 *TCP_ESTABLISHED       TCP 连接建立 , 开始传输数据

 *TCP_SYN_SEND             主动打开

 *TCP_SYN_RECV             接受 SYN

 *TCP_FIN_WAIT1

 *TCP_FIN_WAIT2

 *TCP_TIME_WAIT

 *TCP_CLOSE

 *TCP_CLOSE_WAIT

 *TCP_LAST_ACK

 *TCP_LISTEN

 *TCP_CLOSING

 */

#define NIDS_JUST_EST 1           /* 表示 TCP 连接建立 , 在此状态下就可以决定是否对此TCP 连接进行数据分析 , 可以决定是否捕获 TCP客户端接收的数据 ,TCP 服务端接收的数据 ,TCP 客户端接收的紧急数据或者TCP 客户端接收的紧急数据 */

#define NIDS_DATA 2                  /* 表示接收数据的状态 ,在这个状态可以判断是否有新的数据到达 ,如果有就可以把数据存储起来 , 可以在这个状态之中来分析 TCP 传输的数据 , 此数据就存储在half_stream 数据接口的缓存之中*/

#define NIDS_CLOSE 3                 /* 表示 TCP 连接正常关闭 */

#define NIDS_RESET 4                 /* 表是 TCP 连接被重置关闭 */

#define NIDS_TIMED_OUT 5     /* 表示由于超时 TCP连接被关闭 */

#define NIDS_EXITING   6       /* 表示 Libnids正在退出 , 在这个状态下可以最后一次使用存储在 half_stream 数据结构中的缓存数据 */

 

/* 校验和 */

#define NIDS_DO_CHKSUM  0          /* 表示告诉 Libnids要计算校验和 */

#define NIDS_DONT_CHKSUM 1       /* 表示告诉 Libnids不要计算校验和 */

 

struct tuple4                 /* 描述一个地址端口对 , 它表示发送发IP 和端口以及接收方 IP 和端口 , 适用 TCP,UDP*/

{

  u_short source;         /* 源 IP 地址的端口号*/

  u_short dest;            /* 目的 IP 地址的端口号*/

  u_int saddr;              /* 源 IP 地址 */

  u_int daddr;              /* 目的 IP 地址 */

};

 

struct half_stream        /* 描述在 TCP 连接中一端的所有信息, 可以是客户端 , 也可以是服务端 */

{

  char state;                 /* 表示套接字的状态 , 也就是TCP 的状态 */

  char collect;              /* 可以表示有数据到达 , 此数据存放在data 成员中 , 也可以表示不存储此数据到 data中 , 此数据忽略 . 如果大于0 就存储 , 否则就忽略 */

  char collect_urg;       /* 可以表示有紧急数据到达 , 此数据就存放在urgdata 中 , 也可以表示不存储此数据到 urgdata中 , 此速数据忽略 . 如果大于0 就存储 , 否则就忽略 */

 

  char *data;                /* 用户存储正常接受到的数据 */

  int offset;                  /* 表示存储在 data 中数据的第一个字节的偏移量*/

  int count;                  /* 表示从 TCP 连接开始已经存储到data 中的数据的字节数 */

  int count_new;         /* 有多少新的数据存储到 data 中, 如果为 0, 则表示没有新的数据到达 */

  int bufsize;

  int rmem_alloc;

 

  int urg_count;  /* 用来存储紧急数据 */

  u_int acked;    

  u_int seq;

  u_int ack_seq;

  u_int first_data_seq;

  u_char urgdata; //存储紧急数据

  u_char count_new_urg;     /* 表示有新的紧急数据到达 , 如果为0 表示没有新的紧急数据 */

  u_char urg_seen;      //新的urg数据，不是以前重复的数据

  u_int urg_ptr;/*指向urg在流中的位置*/

  u_short window;     

  u_char ts_on;

  u_char wscale_on;

  u_int curr_ts;

  u_int wscale;

  struct skbuff *list;

  struct skbuff *listtail;

};

 

struct tcp_stream         /* 描述一个 TCP 连接的所有信息*/

{

  struct tuple4 addr;

  char nids_state;

  struct lurker_node *listeners;

  struct half_stream client;   /* 表示客户端信息 */

  struct half_stream server;  /* 表示服务端信息 */

  struct tcp_stream *next_node;

  struct tcp_stream *prev_node;

  int hash_index;

  struct tcp_stream *next_time;

  struct tcp_stream *prev_time;

  int read;

  struct tcp_stream *next_free;

};

 

struct nids_prm            /* 描述了 Libnids 的一些全局参数信息*/

{

  int n_tcp_streams;   /* 表示哈西表大小 , 此哈西表用来存放tcp_stream 数据结构 , 默认值 1040.在同一时刻 Libnids 捕获的 TCP 数据包的最大个数必须是此参数值的3/4*/

  int n_hosts;              /* 表示哈西表的大小 , 此哈西表用来存储IP 碎片信息的 , 默认值为 256*/

  char *device;   /* 表示网络接口 ,Libnids 将在此网络接口上捕获数据, 默认值为 NULL. 这样 Libnids将使用 pcap_lookupdev来查找可以用的网络接口 . 如果其值为 all, 表示捕获所有网络接口的数据*/

  char *filename;         /* 表示用来存储网络数据的捕获文件 , 此文件的类型必须与 Libpcap 类型一致 , 如果设置了文件, 与此同时就应该设置 device 为 NULL,默认值为 NULL*/

  int sk_buff_size;      /* 表示的是数据接口 sk_buff 的大小 .sk_buff 是Linux 内核中一个重要的数据结构, 是用来进行数据包排队操作的 , 默认值为 168*/

  int dev_addon;          /* 表示在数据结构 sk_buff 中用于网络接口上信息的字节数. 如果是 -1( 默认值 ),那么 Libnids 会根据不同的网络接口进行修正 */

  void (*syslog) ();      /* 是一个函数指针 , 默认值为nids_syslog() 函数 . 在 syslog函数中可以检测入侵攻击 , 如网络扫描攻击 , 也可以检测一些异常情况, 如无效 TCP 标记 */

  int syslog_level;       /* 表示日志等级 , 默认值是LOG_ALERT*/

  int scan_num_hosts;          /* 表示一个哈西表的大小 ,( 此哈西表用来存储端口扫描信息) 表示 Libnids 将要检测的同时扫描的端口数据 . 如果其值为 0,Libnids将不提供端口扫描功能 . 默认值 256*/

  int scan_delay;         /* 表示在扫描检测中 , 俩端口扫描的间隔时间, 以毫秒来计算 , 缺省值为 3000*/

  int scan_num_ports;          /* 表示相同源地址必须扫描的 TCP 端口数目 , 默认值为10*/

  void (*no_mem) (char *);  /* 是一个函数指针 , 当Libnids 发生内存溢出时被调用*/

  int (*ip_filter) ();      /* 是一个函数指针 , 此函数可以用来分析IP 数据包 , 当有 IP 数据包到达时 , 此函数就被调用. 如果此函数返回非零值 , 此数据包就被处理 ;如果返回零 , 此 IP 数据包就被丢弃. 默认值为 nids_ip_filter 函数 , 总是返回 1.*/

  char *pcap_filter;     /* 表示过滤规则 , 即Libpcap 的过滤规则 , 默认值为 NULL,表示捕获所有数据包 . 可以在此设置过滤规则 , 只捕获感兴趣的开发包*/

  int promisc;              /* 表示网卡模式 , 如果是非零, 就把此网卡设置为混杂模式 ; 否则 , 设为非混杂模式 . 默认值为1*/

  int one_loop_less;    /* 初始值为 0*/

  int pcap_timeout;     /* 表示捕获数据返回的时间 , 以毫秒计算. 实际上它表示的就是 Libpcap 函数中的 pcap_open_live函数的 timeout 参数 , 默认值 1024*/

};

 

/*

 * 返回值 : 调用成功返回 1,失败返回 0

 * 参   数 : 无

 * 功   能 : 对 Libnids 初始化, 这是所有设计基于 Libnids 的程序最开始调用的函数 . 它的主要内容包括打开网络接口 , 打开文件 , 编译过滤规则 ,

 *     判断网络链路层类型, 进行必要的初始化工作

 */

int nids_init (void);

/*

 * 返回值 : 无

 * 参   数 : 回调函数名字

 * 功   能 : 注册一个能够检测所有 IP 数据包的回调函数, 包括 IP 碎片 .e.g

         nids_register_ip_frag(ip_frag_function);

         void ip_frag_function(struct ip * a_packet,int len)

         a_packet 表示接收的IP 数据包 len 表示接收的数据包长度

         此回调函数可以检测所有的IP 数据包 , 包括 IP 碎片

 */

void nids_register_ip_frag (void (*));      /**/

/*

 * 返回值 : 无

 * 参   数 : 回调函数名字

 * 功   能 : 注册一个回调函数 , 此回调函数可以接收正常的IP 数据包 .e.g

         nids_register_ip_frag(ip_frag_function);

         void ip_frag_function(struct ip * a_packet)

         a_packet 表示接收的IP 数据包

         此回调函数可以接收正常的IP 数据包 , 并在此函数中对捕获数到的 IP数据包进行分析 .

 */

void nids_register_ip (void (*));     /**/

/*

 * 返回值 : 无

 * 参   数 : 回调函数

 * 功   能 : 注册一个 TCP 连接的回调函数. 回调函数的类型定义如下 :

          void tcp_callback(struct tcp_stream * ns,void ** param)

          ns 表示一个TCP 连接的所有信息 , param 表示要传递的参数信息 , 可以指向一个 TCP连接的私有数据

           此回调函数接收的TCP 数据存放在 half_stream 的缓存中 , 应该马上取出来 ,一旦此回调函数返回 , 此数据缓存中存储的数据就不存在

           了 .half_stream 成员 offset描述了被丢弃的数据字节数 . 如果不想马上取出来 , 而是等到存储一定数量的数据之后再取出来, 那么可

           以使用函数nids_discard(struct tcp_stream * ns, int num_bytes)来处理 . 这样回调函数返回时 ,Libnids 将丢弃缓存数据之前

           的 num_bytes 字节的数据 .如果不调用 nids_discard()函数 , 那么缓存数据的字节应该为 count_new 字节 . 一般情况下, 缓存中的数据

           应该是count-offset 字节

 */

void nids_register_tcp (void (*));

/*

 * 返回值 : 无

 * 参   数 : 回调函数

 * 功   能 : 注册一个分析 UDP 协议的回调函数, 回调函数的类型定义如下 :

          void udp_callback(struct tuple4 * addr,char *buf,int len,struct ip *iph)

          addr 表示地址端口信息buf 表示 UDP 协议负载的数据内容 len表是 UDP 负载数据的长度 iph 表示一个IP 数据包 , 包括 IP 首部 ,UDP 首部以及UDP 负载内容

 */

void nids_register_udp (void (*));

/*

 * 返回值 : 无

 * 参   数 : 表示一个 TCP 连接

 * 功   能 : 终止 TCP 连接 . 它实际上是调用 Libnet的函数进行构造数据包 , 然后发送出去

 */

void nids_killtcp (struct tcp_stream *);

/*

 * 返回值 : 无

 * 参   数 : 参数 1 一个 TCP 连接 参数 2 个数

 * 功   能 : 丢弃参数 2 字节 TCP 数据 , 用于存储更多的数据

 */

void nids_discard (struct tcp_stream *, int);

/*

 * 返回值 : 无

 * 参   数 : 无

 * 功   能 : 运行 Libnids, 进入循环捕获数据包状态. 它实际上是调用 Libpcap 函数 pcap_loop()来循环捕获数据包

 */

void nids_run (void);

/*

 * 返回值 : 调用成功返回文件描述符 ,失败返回 -1

 * 参   数 : 无

 * 功   能 : 获得文件描述符号

 */

int nids_getfd (void);

/*

 * 返回值 : 调用成功返回个数 ,失败返回负数

 * 参   数 : 表示捕获数据包的个数

 * 功   能 : 调用 Libpcap 中的捕获数据包函数pcap_dispatch()

 */

int nids_dispatch (int);

/*

 * 返回值 : 调用成功返回 1,失败返回 0

 * 参   数 : 无

 * 功   能 : 调用 Libpcap 中的捕获数据包函数pcap_next()

 */

int nids_next (void);

 

extern struct nids_prm nids_params;       /*libnids.c定以了一个全部变量 , 其定义和初始值在 nids_params*/

extern char *nids_warnings[];        

extern char nids_errbuf[];

extern struct pcap_pkthdr *nids_last_pcap_header;

 

struct nids_chksum_ctl {      /* 描述的是计算校验和 , 用于决定是否计算校验和*/

         u_int netaddr;               /* 表示地址 */

         u_int mask;                   /* 表示掩码 */

         u_int action;                 /* 表示动作 , 如果是NIDS_DO_CHKSUM, 表示计算校验和; 如果是 NIDS_DONT_CHKSUM, 表示不计算校验和 */

         u_int reserved;              /* 保留未用 */

};

/*

 * 返回值 : 无

 * 参   数 : 参数 1 表示 nids_chksum_ctl 列表 参数 2 表示列表中的个数

 * 功   能 : 决定是否计算校验和 . 它是根据数据结构nids_chksum_ctl 中的action 进行决定的 , 如果所要计算的对象不在列表中 , 则必须都要计算校验和

 */

extern void nids_register_chksum_ctl(struct nids_chksum_ctl *, int);

 

#endif /* _NIDS_NIDS_H */